Booba Project ransomware-gruppen er en finansielt motivert utpresningsoperasjon som lister opp ofre på et lekkasjesite og truer med å publisere stjålne opplysninger med mindre en løsesum betales. Offentlig informasjon om gruppen er begrenset, men omrisset er klart nok til å være nyttig: dens rapporterte mål er konsentrert i USA, med ytterligere ofre identifisert andre steder, inkludert et selskap i Sveits.

Dette innlegget forklarer hva som er kjent, hvordan utpresningsmodellen fungerer, og hva vanlige folk og små bedrifter kan gjøre for å redusere skaden hvis dataene deres havner i gale hender.

Hvem Booba Project retter seg mot

Ifølge gruppens profil publisert av trusselintelligensplattformen Mallory, er Booba Projects rapporterte ofre konsentrert i USA. Andre ofre er identifisert utenfor landet, noe som viser at gruppen ikke er strengt begrenset til ett marked.

Kildematerialet gir ikke en detaljert oversikt over bransjer, antall ofre eller de tekniske metodene gruppen bruker for å trenge inn, og det ville være en feil å fylle disse hullene med gjetninger. Det som kan sies, er at gruppen passer inn i et kjent mønster: den er motivert av penger, ikke politikk, og den velger organisasjoner som har data verdifulle nok til å presse dem til å betale.

For lesere er det praktiske poenget at beliggenhet ikke gjør en organisasjon trygg. En gruppe med hovedsakelig amerikansk fokus kan fortsatt nå en bedrift i Europa, som den sveitsiske saken nedenfor viser.

Hvordan lekkasjesite-utpresningsmodellen fungerer

Booba Project følger det som vanligvis kalles dobbel utpressing. I stedet for bare å låse systemer, stjeler operatørene også data og legger deretter press på to måter:

  • Operasjonelt press: hvis systemer krypteres, kan offeret bli ute av stand til å arbeide normalt.
  • Eksponeringspress: gruppen publiserer offerets navn på et lekkasjesite og truer med å frigjøre de stjålne filene med mindre en løsesum betales.

Lekkasjesiten er nøkkelverktøyet. En offentlig oppføring fungerer både som en trussel og en frist. Den forteller offeret, kundene og pressen at en hendelse har skjedd, selv før noen filer er frigitt. Det er derfor gjenoppretting fra sikkerhetskopier, selv om det er essensielt, ikke løser problemet fullt ut. Sikkerhetskopier kan bringe systemer tilbake på nett, men de kan ikke gjøre stjålne data ustjålne.

Oppføringen i seg selv er også bare en påstand. Lekkasjesite-oppføringer gjøres av kriminelle, og mengdene med data de sier de har, er ikke uavhengig verifisert som standard. Behandle dem som signaler om å undersøke, ikke som bevis.

Hva Zynex-påstanden viser om gruppens aktivitet

Gruppens rekkevidde utenfor USA illustreres av dens påstand mot Zynex, et sveitsiskbasert selskap. Som dekket i vår rapport om Booba ransomware-gruppens påstand mot det sveitsiske firmaet Zynex, sier gruppen at den stjal omtrent 1,4 GB data.

Det tallet er gruppens egen påstand. Det er et nyttig eksempel på hvordan disse påstandene vanligvis fremstår: et navngitt offer, et oppgitt volum av stjålne data og en trussel om å publisere dem.

Saken reiser også juridiske spørsmål for selskaper som opererer i Sveits. Siden 1. september 2023 har bedrifter der arbeidet under den reviderte føderale loven om databeskyttelse. Vår forklaring om sveitsisk databeskyttelseslovgivning etter 2023 dekker rammeverket og er et godt utgangspunkt for å forstå hvilke forpliktelser som kan følge av et datatyveri.

Hva dette betyr for deg

De fleste vil aldri forholde seg direkte til en ransomware-gruppe. Det mer sannsynlige scenariet er at et selskap du gjør forretninger med, for eksempel en tjenesteleverandør, en leverandør eller en arbeidsgiver, er oppført på et lekkasjesite og informasjonen din er blant de stjålne filene.

Det betyr at eksponeringen din ofte avhenger av beslutninger tatt av andre. Du kan ikke stoppe bruddet, men du kan begrense hva en stjålet fil kan brukes til.

Tiltak forbrukere og små bedrifter kan ta for å begrense eksponering

For enkeltpersoner:

  • Bruk et unikt passord for hver konto, lagret i en passordbehandler, slik at én lekket legitimasjon ikke låser opp andre.
  • Slå på flerfaktorautentisering der det tilbys, helst med en autentiseringsapp eller sikkerhetsnøkkel.
  • Vær årvåken overfor phishing som refererer til et reelt brudd. Kriminelle bruker ofte nyheter om en hendelse for å få svindelmeldinger til å virke troverdige.
  • Vurder en kredittfrysning hvis sensitive identifikatorer som nasjonale ID-numre var involvert, og følg med på kontoutskrifter for uvanlig aktivitet.

For små bedrifter:

  • Oppbevar sikkerhetskopier offline eller uforanderlige, og test gjenoppretting av dem, slik at kryptering alene ikke kan stanse driften.
  • Samle inn og oppbevar bare dataene du trenger. Data du ikke lenger har, kan ikke stjeles.
  • Begrens hvem som kan få tilgang til sensitive filer, og bruk programvareoppdateringer raskt.
  • Forbered en plan for hendelseshåndtering før du trenger den, inkludert hvem du skal ringe, hvordan du varsler kunder, og hvilke juridiske rapporteringsplikter som gjelder i din jurisdiksjon.
  • Segmenter nettverk slik at én kompromittert enhet ikke eksponerer alt.

Hvis du er oppført på et lekkasjesite, involver juridisk rådgiver og hendelsesrespondenter raskt. Betaling garanterer ikke at data vil bli slettet, og det kan finansiere ytterligere angrep.

Viktige punkter

Booba Project ransomware-gruppen er en påminnelse om at moderne utpressing handler like mye om stjålne data som om låste systemer. Dens rapporterte fokus på amerikanske organisasjoner, pluss minst ett sveitsisk offer, viser at geografi gir liten beskyttelse.

Sterke, unike passord, flerfaktorautentisering, minimal datalagring og testede sikkerhetskopier er fortsatt de mest effektive forsvarene. For å se hvordan en Booba Project-påstand ser ut i praksis, les vår dekning av Zynex-påstanden, og for den juridiske siden av et brudd, se vår guide til sveitsisk databeskyttelsesoverholdelse.