Een ransomwarebende keert zich tegen zijn eigen soort

In een ontwikkeling die zelfs doorgewinterde cybersecuritywatchers als ongebruikelijk bestempelen, heeft de afpersingsgroep ShinyHunters de verantwoordelijkheid opgeëist voor het hacken van een bevriende cybercriminele organisatie: de Clop-ransomwarebende. Volgens Infosecurity Magazine bekladde ShinyHunters de darkweb-lekwebsite van Clop en beweert het cruciale operationele gegevens van de groep te hebben gestolen.

Ransomwarebendes concurreren doorgaans om slachtoffers en reputatie, maar vallen elkaar zelden rechtstreeks aan. Wanneer ze dat wel doen, wijst dat op instabiliteit binnen het criminele ecosysteem die reële gevolgen kan hebben voor de mensen en organisaties die al verwikkeld zijn geraakt in eerdere afpersingscampagnes van Clop.

Waarom deze aanval verder reikt dan criminele rivaliteit

Clop is een van de productievere ransomware- en data-afpersingsoperaties van de afgelopen jaren, bekend van grootschalige campagnes die misbruik maken van kwetsbaarheden in veelgebruikte bestandsoverdracht- en bedrijfssoftware. Een bekladding van een lekwebsite klinkt op zichzelf misschien als niet meer dan digitale graffiti tussen rivaliserende hackers. Maar de bewering dat ShinyHunters ook operationele gegevens heeft gestolen, werpt een ernstiger zorg op: als die gegevens informatie bevatten over eerdere slachtoffers van Clop, onderhandelingen over betalingen of gestolen bestanden, zouden ze kunnen worden blootgesteld, verkocht of gebruikt voor nieuwe afpersingspogingen tegen organisaties die dachten dat hun blootstelling bij Clop al was afgehandeld.

Zoals uiteengezet in een gerelateerd rapport over ShinyHunters' inbreuk op Clop en de nieuwe risico's die dit voor slachtoffers creëert, kan dit soort onderlinge strijd tussen afpersingsgroepen de schade juist vermenigvuldigen in plaats van verminderen. Gegevens die ooit door één criminele groep werden gecontroleerd, kunnen nu circuleren onder meerdere dreigingsactoren, elk met hun eigen prikkels om er geld aan te verdienen.

Het rimpeleffect voor eerdere Clop-slachtoffers

Voor organisaties die eerder doelwit waren van Clop, of ze nu losgeld hebben betaald, een schikking hebben onderhandeld, of simpelweg gegevens gestolen en gelekt hebben gekregen, is dit incident een herinnering dat de gevolgen van een ransomwareaanval niet noodzakelijk eindigen wanneer de directe crisis voorbij is. Als ShinyHunters daadwerkelijk interne Clop-gegevens heeft verkregen, is er een reële mogelijkheid dat gevoelige details die verband houden met eerdere inbreuken in nieuwe vormen kunnen opduiken: opnieuw gepubliceerd op andere lekwebsites, genoemd in nieuwe afpersingspogingen, of verkocht aan andere criminele kopers.

Dit is een van de minder besproken privacy-implicaties van rivaliteit tussen ransomwarebendes. Slachtoffers van de oorspronkelijke aanval kunnen te maken krijgen met een tweede golf van blootstellingsrisico, niet gedreven door hun eigen beveiligingspositie, maar door chaos binnen de criminele groep die hen in de eerste plaats als doelwit had gekozen. Het overzicht over hoe de inbreuk van ShinyHunters op Clop nieuwe risico's voor slachtoffers creëert schetst hoe deze secundaire blootstelling het vermogen van een organisatie om een incident volledig af te sluiten kan compliceren, zelfs lang nadat de oorspronkelijke inbreuk werd gemeld.

Wat dit voor u betekent

Als uw organisatie ooit betrokken was bij een ransomware-incident dat verband hield met Clop, hetzij als direct slachtoffer, hetzij via een relatie met een externe leverancier, is dit nieuws het waard om op te letten. De bewering dat interne Clop-gegevens zijn gestolen, betekent dat eerder gecompromitteerde informatie opnieuw risico kan lopen op blootstelling, zelfs als u dacht dat dat hoofdstuk was afgesloten.

Voor alle anderen is dit incident een nuttige herinnering dat de criminele groepen achter ransomwareaanvallen niet monolithisch of stabiel zijn. Onderlinge strijd, rebranding en druk van wetshandhaving dragen allemaal bij aan een veranderend landschap waarin gegevens onvoorspelbaar van eigenaar kunnen wisselen. Die onvoorspelbaarheid is precies waarom proactieve monitoring en sterke beveiligingshygiëne belangrijk zijn, ongeacht welke groep oorspronkelijk verantwoordelijk was voor een inbreuk.

Concrete aandachtspunten

Organisaties met enige geschiedenis van blootstelling aan Clop of vergelijkbare ransomware-operaties zouden de volgende stappen moeten overwegen:

  • Beoordeel eerdere documentatie over incidentrespons met betrekking tot Clop-aanvallen en bevestig welke gegevens destijds bekend stonden als blootgesteld.
  • Monitor darkweb- en lekwebsite-activiteit op het opnieuw opduiken van eerder gestolen gegevens, vooral gezien de beweringen over gestolen operationele informatie.
  • Herbeoordeel de hygiëne van inloggegevens, inclusief wachtwoorden en toegangssleutels die mogelijk zijn genoemd in eerdere gestolen datasets, aangezien oude blootstellingen opnieuw relevant kunnen worden.
  • Blijf op de hoogte via betrouwbare berichtgeving naarmate deze situatie zich ontwikkelt, aangezien beweringen van afpersingsgroepen niet altijd onafhankelijk worden geverifieerd en details kunnen veranderen.

De ShinyHunters-hack van Clop is nog steeds in ontwikkeling, en niet elke bewering van beide groepen kan voor waar worden aangenomen. Maar de episode onderstreept een bredere waarheid over ransomware: de risico's voor slachtoffers eindigen niet altijd wanneer de aanvallers doorgaan naar hun volgende doelwit, of in dit geval, wanneer ze zelf doelwit worden.