En cyberkriminalitetsetterforskning har knyttet administratoren av Qilin-utpressingsprogramvaren til Aleksey Mikhailovich Yakovtsev, en 36 år gammel mann som bor i St. Petersburg, Russland. Med Qilin-utpressingsprogramvarens admin identifisert ved navn, alder og by, er historien en sjelden avsløring i et hjørne av cyberkriminalitet der operatører vanligvis gjemmer seg bak aliaser. Det reiser også et praktisk spørsmål: hva betyr et navn for ofrene, og hva kan vanlige mennesker og små organisasjoner gjøre med datatyveri-utpressing?
En advarsel først. Rapporteringen så langt er kortfattet, og detaljene kommer fra en etterforsknings funn snarere enn en domstolsavgjørelse. Koblingen bør leses som en tilskrivelse, ikke en bevist rettslig konklusjon.
Qilin-utpressingsprogramvare-admin identifisert: Hvem etterforskningen peker på
Ifølge artikkelen knytter etterforskningen administratoren av Qilin til Aleksey Mikhailovich Yakovtsev, som er 36 år og bor i St. Petersburg, Russland. Det er hele omfanget av det kilden bekrefter. Den beskriver ikke hvordan etterforskerne kom til denne konklusjonen, hvilke bevis som støtter den, eller om noen rettshåndhevende myndighet har iverksatt tiltak.
Det tomrommet er viktig. Tilskrivelse i cyberkriminalitet er ofte bygget på en blanding av lekkede samtaler, infrastrukturspor og operasjonelle feil, og styrken i hver lenke varierer. Inntil mer er publisert eller en myndighet bekrefter funnet, bør navnet behandles som en rapportert påstand. Det er verdt å følge med på for oppdateringer, men ikke noe å behandle som avgjort.
Hvordan utpressingsgjenger som Qilin rammer ofre
Kildeartikkelen beskriver ikke Qilins metoder, så det er nyttig å forklare hvordan moderne utpressingsprogramvare-utpressing generelt fungerer. Mange grupper stoler ikke lenger bare på å låse filer. De kopierer først sensitive data ut av offerets nettverk, krypterer deretter systemene, og presser så offeret med to trusler: betal for en dekrypteringsnøkkel, og betal for å stoppe de stjålne dataene fra å bli publisert på et lekkasjenettsted.
Denne dobbeltutpressingsmodellen er grunnen til at sikkerhetskopier alene ikke er et fullstendig forsvar. Selv om en organisasjon gjenoppretter alt fra en ren kopi, er de stjålne dataene fortsatt i kriminelles hender. Kunder, pasienter, ansatte og partnere kan bli eksponert selv om de aldri har hatt noe med angriperne å gjøre.
Mange utpressingsprogramvare-operasjoner fungerer også som en tjeneste. Et kjerneteam vedlikeholder skadevaren og infrastrukturen, mens tilknyttede utfører inntrengingene. Hvis du vil få et glimt av hvordan den arbeidsdelingen ser ut fra innsiden, tilbyr vår rapport om en åpen server knyttet til INC- og The Gentlemen-utpressingsprogramvare-tilknyttede et sjeldent innblikk i hvordan kriminelle faktisk jobber dag for dag.
Hva en avsløring endrer og ikke endrer
Å sette et navn og en by til en administrator kan bety noe, men det avslutter sjelden en operasjon på egen hånd. Her er et realistisk bilde av påvirkningen.
Hva det kan endre:
- Det øker den personlige risikoen for personen som navngis, inkludert reiserestriksjoner, sanksjoner eller etterforskningsmessig oppmerksomhet.
- Det kan gjøre tilknyttede og partnere mer forsiktige med å stole på operasjonen.
- Det gir forsvarere og etterforskere en ny tråd å nøste opp når de kartlegger infrastruktur og pengeflyter.
Hva det vanligvis ikke endrer:
- Eksisterende ofre får ikke automatisk hjelp. Stjålne data som er lekket, forblir lekket.
- Skadevaren og taktikkene forsvinner ikke. Tilknyttede, verktøy og playbooks kan flytte til andre merker.
- En person som bor i Russland kan være vanskelig for utenlandske myndigheter å nå, så en arrestasjon er ikke garantert. Artikkelen rapporterer ingen arrestasjon.
Kort sagt, en identifisering er et presspunkt, ikke en nedstengning. Ditt forsvar bør ikke avhenge av at én gruppe forsvinner.
Hva dette betyr for deg
De fleste vil aldri være det direkte målet for en utpressingsgjengs forhandling, men mange vil bli påvirket av en. Dataene dine ligger hos sykehus, forhandlere, arbeidsgivere, skoler og tjenesteleverandører. Når en av dem rammes av datatyveri-utpressing, kan informasjonen din havne i lekkasjen.
Det betyr to ting. For det første kan du ikke fullt ut kontrollere om et selskap du bruker blir brutt inn i. For det andre kan du kontrollere hvor mye skade stjålne data gjør mot deg. Unike passord, flerfaktorautentisering og forsiktig håndtering av uventede meldinger begrenser alle hva en angriper kan gjøre med lekkede detaljer. Hvis du driver en liten bedrift eller administrerer en husholdnings enheter, gjelder de samme grunnleggende tingene for dine egne systemer.
Praktiske tiltak for å redusere din eksponering mot utpressingsprogramvare
Ingen av disse tiltakene er eksotiske, og sammen reduserer de risikoen betydelig.
- Hold sikkerhetskopier offline eller uforanderlige. Lagre minst én kopi frakoblet nettverket ditt slik at utpressingsprogramvare ikke kan kryptere den. Test gjenoppretting fra den med jevne mellomrom.
- Slå på flerfaktorautentisering. Prioriter e-post, bank, skylagring og alle verktøy for ekstern tilgang. Foretrekk autentiseringsapper eller hardware-nøkler fremfor SMS der det er mulig.
- Bruk en passordbehandler og unike passord. Hvis én tjeneste lekker, bør gjenbrukte påloggingsdetaljer ikke låse opp dine andre kontoer.
- Oppdater raskt. Oppdater operativsystemer, nettlesere, rutere og forretningsprogramvare så snart rettelser er tilgjengelige.
- Vær skeptisk til uoppfordrede meldinger. Nettfisking er fortsatt en vanlig vei inn i et nettverk. Verifiser uventede forespørsler gjennom en separat kanal.
- Begrens hva du lagrer og deler. Data du ikke lenger trenger, er data som ikke kan stjeles. Slett gamle filer og lukk ubrukte kontoer.
- Beskytt sensitiv kommunikasjon. Bruk ende-til-ende-kryptert meldingsutveksling for private samtaler, og en anerkjent VPN på upålitelige nettverk som offentlig Wi-Fi. En VPN stopper ikke utpressingsprogramvare, men den reduserer eksponeringen for snoking på tilkoblingen.
Konklusjonen
Qilin-utpressingsprogramvare-adminen identifisert i denne etterforskningen er en bemerkelsesverdig utvikling, men rapporteringen er fortsatt tynn og den praktiske effekten på ofre er begrenset. Utpressingsprogramvare-utpressing avhenger av stjålne data, svake tilgangskontroller og uforberedte mål, og disse forholdene vedvarer uavhengig av hvem som står bak et gitt merke.
Bruk dette øyeblikket til å herde ditt eget oppsett: lag offline sikkerhetskopier, aktiver MFA på nøkkelkontoene dine, og flytt private samtaler til krypterte kanaler. For et annet sjeldent innblikk i hvordan utpressingsprogramvare-tilknyttede opererer, les vår dekning av SOCRadar-oppdagelsen av en åpen server knyttet til INC- og The Gentlemen-angrep, og kom tilbake hit for oppdateringer hvis Qilin-tilskrivelsen bekreftes eller utfordres.
