En ny utpressingsprogramvare-operasjon kommer med et aggressivt tilbud til potensielle kriminelle. Ifølge rapportering fra eSecurity Planet tilbyr Dark Project tilknyttede selskaper 80 % av utpressingsbetalingene og hevder å ha 38 ofre så langt. Dark Projects tilknyttede modell er en påminnelse om at økonomien i utpressing stadig skifter i angripernes favør, og at vanlige folk ofte føler konsekvensene når en organisasjon som holder på dataene deres, blir rammet.

Dette innlegget dekker det som er kjent fra rapporteringen, hvorfor utbetalingsstrukturen er viktig, og hva både organisasjoner og enkeltpersoner kan gjøre. Kildematerialet er kort, så vi holder oss til det det bekrefter: 80 %-andelen til tilknyttede selskaper og påstanden om 38 ofre.

Hvordan Dark Projects 80 % utbetaling til tilknyttede selskaper fungerer

Dark Project følger modellen ransomware-as-a-service (RaaS). I en RaaS-ordning bygger og vedlikeholder en kjernelgruppe skadevaren og infrastrukturen rundt den. Tilknyttede selskaper, som er separate operatører, gjennomfører selve inntrengingene og utpressingsforsøkene. Når et offer betaler, deles pengene mellom de to partene.

Her gir den rapporterte fordelingen tilknyttede selskaper 80 % av hver utpressingsbetaling. Operatørene beholder resten. Tallet på 38 ofre er en påstand fremsatt av gruppen, noe som betyr at det bør behandles som ubekreftet til det er bekreftet av de involverte organisasjonene eller uavhengige forskere.

Arbeidsdelingen er poenget med modellen. Utviklerne fokuserer på verktøy, lekkasjesider og forhandlingsinfrastruktur. Tilknyttede selskaper fokuserer på å komme seg inn. Hver side gjør mindre arbeid enn en helt uavhengig gruppe ville gjort, og det er derfor modellen har spredt seg så bredt. For et dypere innblikk i hvordan en etablert gruppe har operert under denne tilnærmingen, se vår BlackCat/ALPHV-utpressingsprogramvare-profil.

Hvorfor rause RaaS-fordelinger senker terskelen for utpressing

En høy prosentandel til tilknyttede selskaper er et rekrutteringsverktøy. Nyere grupper må konkurrere om dyktige inntrengere mot etablerte merkevarer, og en større andel er én måte å tiltrekke dem på. En andel på 80 % gjør tilbudet økonomisk attraktivt for alle som kan få tilgang til et nettverk.

Det er også en kompetanseeffekt. Fordi plattformen leverer krypteringsverktøyene og lekkasjeinfrastrukturen, trenger ikke et tilknyttet selskap å skrive skadevare eller drive en forhandlingsoperasjon. Det senker den tekniske terskelen og utvider gruppen av personer som kan forsøke et angrep.

Resultatet er flere forsøk, spredt over flere mål, inkludert organisasjoner som holder sensitive registre om personer, men har begrensede sikkerhetsbudsjetter. Mønsteret er synlig i hendelser som utpressingsprogramvareangrepet på en ideell organisasjon som hjelper overlevende etter menneskehandel, der betydningen kom mindre fra teknisk raffinement enn fra hvem som ble rammet.

Hva organisasjoner bør overvåke og sikre

Fordi det er tilknyttede selskaper som bryter seg inn, bør forsvarere fokusere på de vanlige veiene inn i et nettverk snarere enn på noen enkelt gruppes merkevare. Praktiske prioriteringer inkluderer:

  • Fjerntilgang: Gå gjennom VPN, eksternt skrivebord og andre eksternt eksponerte tjenester. Håndhev flerfaktorautentisering og lapp hurtig.
  • Legitimasjon: Se etter uvanlige innlogginger, gjenbrukte passord og kontoer med overdrevne privilegier.
  • Databevegelse: Overvåk for store eller uventede utgående overføringer, siden moderne angrep vanligvis innebærer å stjele data før noe krypteres.
  • Sikkerhetskopier: Hold frakoblede eller uforanderlige kopier og test gjenoppretting regelmessig. Sikkerhetskopier hjelper med gjenoppretting, men de angrer ikke datatyveri. Vår forklaring om dobbel utpressing forklarer hvorfor.
  • Overvåking av lekkasjesider: Følg med på om din organisasjon eller leverandører dukker opp på utpressingssider, slik at du kan handle tidlig.

Hva dette betyr for deg

De fleste vil aldri bli det direkte målet for et RaaS-tilknyttet selskap. Eksponeringen kommer indirekte: en arbeidsgiver, forsikringsselskap, helseleverandør eller flyselskap holder på dataene dine, og den organisasjonen blir angrepet. Når utpressingsgrupper publiserer stjålne filer, kan informasjonen spre seg bredt, som i lekkasjen av 8,7 millioner britiske flyplassreisendes registre.

Hvis en tjeneste du bruker blir rammet, vurder disse trinnene:

  1. Les den offisielle meldingen nøye. Legg merke til hvilke kategorier data som var involvert, og eventuell beskyttelse som tilbys, for eksempel kredittovervåking.
  2. Endre passordet ditt for den tjenesten, og for enhver annen konto der du gjenbrukte det. Bruk en passordbehandler til å lage unike passord.
  3. Slå på flerfaktorautentisering der det er tilgjengelig.
  4. Vær på vakt mot phishing. Stjålne kontaktopplysninger brukes ofte til overbevisende oppfølgingssvindel som refererer til bruddet. Ikke klikk på lenker i uventede meldinger; gå direkte til organisasjonens nettsted.
  5. Overvåk finansielle kontoer og vurder en kredittfrysning hvis identifikatorer som personnummer ble eksponert.
  6. Ta vare på dokumentasjon av meldinger og all mistenkelig aktivitet.

Det viktigste

Dark Projects tilknyttede modell for utpressingsprogramvare illustrerer en varig trend: når inntektsfordelingen favoriserer personen som gjør inntrengingen, er flere villige til å prøve. De 38 ofrene som er hevdet så langt, er ubekreftet, men strukturen bak dem er det som betyr noe. Organisasjoner bør sikre tilgangspunkter og se etter datatyveri, og enkeltpersoner bør være klare til å handle raskt når et selskap de stoler på, avslører et brudd.

For å forstå hvorfor gjenoppretting fra sikkerhetskopier ikke stopper moderne utpressing, les vår forklaring om dobbel utpressing. For å se hva stjålne data kan bety for virkelige mennesker, les vår dekning av Beacon Mutual-utpressingsprogramvarebruddet.