Een internationale rechtshandhavingsoperatie heeft de infrastructuur van de KillSec-ransomwaregroep ontmanteld, en de arrestaties bij de KillSec-ransomware-ontmanteling omvatten drie verdachten. Berichtgeving over de zaak zegt dat de vermeende leider een tiener is. Het nieuws is een echte overwinning voor onderzoekers, maar het is de moeite waard om te kijken wat het wel en niet verandert voor mensen met een thuiscomputer en kleine netwerken.

Wat de arrestaties bij de KillSec-ransomware-ontmanteling omvatten

Volgens het rapport van SecurityWeek heeft de politie de infrastructuur van KillSec ontmanteld en drie verdachten gearresteerd als onderdeel van een internationale operatie. Berichtgeving van andere media voegt enkele details toe. De aankondiging van Europol, zoals samengevat in zoekresultaten, beschrijft drie arrestaties en acht huiszoekingen in vier Europese landen, gericht op een groep die in verband wordt gebracht met ongeveer 1.000 aanvallen wereldwijd. Andere berichten zeggen dat de autoriteiten vijf servers en de leaksite van de groep in beslag hebben genomen, en dat de vermeende leider 16 jaar oud is. Sommige media zeggen dat Catalaanse autoriteiten betrokken waren bij de arrestatie van de tiener, en één beschrijft de inspanning als Operatie KillSwitch.

Een waarschuwing: de arrestaties worden in sommige berichten als voorlopig beschreven, en één medium merkte op dat de formulering van Europol over het exacte aantal en de rollen van degenen die zijn vastgehouden enigszins vaag is. Dit zijn verdachten, geen veroordeelden, en details kunnen veranderen naarmate het onderzoek vordert.

Hoe een door tieners geleide ransomwaregroep wordt geïdentificeerd

Het bronmateriaal legt niet precies uit hoe onderzoekers de vermeende leider hebben getraceerd, dus het zou een vergissing zijn om te gokken. Wat de zaak wel laat zien, is de algemene vorm van moderne ransomware-handhaving. Groepen zijn afhankelijk van servers, leaksites en communicatiekanalen, en elk daarvan is een plek waar bewijs zich kan ophopen. Wanneer de politie die infrastructuur in beslag neemt, kunnen ze toegang krijgen tot gegevens die terugwijzen naar de mensen die deze beheren.

De zaak daagt ook een gangbaar mentaal beeld uit van ransomware-operators als doorgewinterde, ongrijpbare professionals. Berichten dat een 16-jarige vermeend een groep leidde die in verband wordt gebracht met ongeveer 1.000 aanvallen suggereren dat de drempel om mee te doen lager kan zijn dan velen aannemen. Ransomware wordt al lang als een dienst aangeboden, met tools en infrastructuur die beschikbaar zijn voor mensen die mogelijk niet over diepgaande technische vaardigheden beschikken. Dat verlaagt de drempel voor aanvallers en maakt hen in sommige gevallen makkelijker te vinden, omdat minder ervaren operators doorgaans meer fouten maken.

Het grensoverschrijdende karakter van de operatie is ook belangrijk. Huiszoekingen in vier landen wijzen op de coördinatie die nodig is wanneer slachtoffers, servers en verdachten zich in verschillende rechtsgebieden bevinden.

Waarom ontmantelingen de ransomware-dreiging zelden beëindigen

Het in beslag nemen van een leaksite en servers ontwricht een groep, maar wist de methoden die de groep effectief maakten niet uit. De tools, tactieken en affiliates achter een operatie kunnen elders verdergaan. Criminelen die arrestatie ontlopen, kunnen van naam veranderen, zich bij een andere groep aansluiten of op nieuwe infrastructuur opnieuw beginnen.

We hebben al gezien hoe groepen hierop anticiperen. Ons rapport over hoe DeadLock-ransomware de Session-app toevoegde om ontmantelingen te ontwijken laat zien dat operators hun communicatie specifiek zo ontwerpen dat het verliezen van een server niet betekent dat de hele operatie verloren gaat. Ontmantelingen verhogen de kosten van zakendoen voor criminelen, maar ze zijn één onderdeel van een langdurige strijd, geen definitieve overwinning.

Er is ook de kwestie van de slachtoffers. Zelfs wanneer een groep wordt ontwricht, staan organisaties die al door een aanval zijn getroffen nog steeds voor het herstel. De nasleep van een incident zoals de ransomware-aanval in Suisun City, waardoor het stadhuis zeven dagen gesloten bleef, illustreert hoeveel schade een enkele succesvolle intrusie kan aanrichten, ongeacht wat er later met de aanvallers gebeurt. (Dat incident is in de berichtgeving die wij hebben niet verbonden aan KillSec.)

Wat dit voor u betekent

Voor de meeste mensen veranderde het praktische risico van ransomware niet op de dag van deze arrestaties. Eén groep die offline gaat, verwijdert het bredere criminele ecosysteem niet, en dezelfde toegangspunten, zoals phishing-e-mails, niet-gepatchte software en hergebruikte of zwakke wachtwoorden, blijven beschikbaar voor andere aanvallers.

Dat gezegd hebbende, is het nieuws een nuttige herinnering om uw eigen verdediging te controleren, vooral als u een thuiskantoor of een klein bedrijfsnetwerk beheert zonder toegewijd IT-team:

  • Houd offline of aparte back-ups bij. Een back-up die altijd verbonden is met uw computer kan samen met al het andere worden versleuteld. Houd ten minste één kopie losgekoppeld of opgeslagen op een plek die uw hoofdaccount niet kan overschrijven, en test of u daadwerkelijk kunt herstellen.
  • Installeer updates tijdig. Besturingssystemen, browsers, routerfirmware en bedrijfssoftware ontvangen allemaal beveiligingsfixes. Schakel automatische updates in waar u kunt.
  • Gebruik sterke, unieke wachtwoorden en multi-factorauthenticatie. Dit geldt met name voor e-mail, cloudopslag en tools voor externe toegang.
  • Wees sceptisch over onverwachte bijlagen en links. Phishing blijft een veelvoorkomende manier om binnen te komen, en geen enkele arrestatie verandert dat.
  • Beperk externe toegang. Als u geen remote desktop of vergelijkbare diensten aan het internet blootgesteld hoeft te hebben, schakel ze dan uit.

De conclusie

De arrestaties bij de KillSec-ransomware-ontmanteling tonen aan dat gecoördineerd politiewerk zelfs groepen met een groot aantal slachtoffers kan bereiken, en dat de mensen erachter jonger en minder gepolijst kunnen zijn dan verwacht. Ze betekenen niet dat de dreiging is verdwenen. Groepen passen zich aan, zoals het DeadLock-voorbeeld aantoont, dus de veiligste aanpak is om back-ups, updates en sterke authenticatie als doorlopende gewoonten te behandelen in plaats van te wachten op de volgende arrestatie om uw risico te verlagen. Neem deze week tien minuten om te bevestigen dat uw back-ups werken en dat multi-factorauthenticatie is ingeschakeld voor uw belangrijkste accounts.