En ny vri på en gammel utpressingsmanus

Løsepengevirus-gjenger har lenge stolt på frykt og hastverk for å presse ofre til å betale. Nå, ifølge rapportering om en ordning kalt «Ransom Busters», har minst én løsepengevirus-tilknyttet aktør funnet en ny vinkel: å utgi seg for å være de helt folkene som skal hjelpe ofrene med å komme seg.

I stedet for bare å kreve betaling og forsvinne etter angrepet, skal denne aktøren angivelig kontakte ofre med tilbud om assistanse, og presentere seg selv som en hendelsesgjenopprettingstjeneste. Haken er at denne «hjelpen» ikke er nøytral. Den ser ut til å være utformet for å avlede løsepengebetalinger bort fra legitime kanaler og tilbake i lommene på det samme kriminelle økosystemet som forårsaket sikkerhetsbruddet i utgangspunktet.

Dette er et betydelig taktikkskifte. Tradisjonelle løsepengevirus-operasjoner er bygget rundt en enkel, om enn brutal, transaksjon: kryptere data, kreve betaling, levere en dekrypteringsnøkkel (kanskje). Ved å sette inn et falskt gjenopprettingslag i den prosessen, kan angripere manipulere desperate ofre to ganger — én gang under det opprinnelige sikkerhetsbruddet, og igjen mens de prøver å finne en vei ut av det.

Hvorfor ofre er spesielt sårbare for denne ordningen

Organisasjoner rammet av løsepengevirus opererer ofte i krisemodus. Systemer er nede, ledelsen er under press, og beslutningstakere leter febrilsk etter enhver troverdig vei til å gjenopprette driften. Det miljøet er akkurat det som gjør en falsk «gjenopprettingstjeneste» effektiv. Ofre vurderer ikke nødvendigvis hvert tilbud om hjelp med et skeptisk blikk; de ser etter en rask løsning.

Denne taktikken spiller også på en bredere trend der løsepengevirus-aktører visker ut linjen mellom angriper og hjelper. Den minner om andre nylige saker der trusselaktører har utgit seg for å være betrodde roller for å få tilgang eller innflytelse, for eksempel Silent Ransom Group som fysisk utga seg for å være IT-ansatte ved advokatfirmaer for å manipulere ansatte innenfra. Enten etterligningen skjer fysisk eller gjennom et falskt gjenopprettingsmerke, er målet det samme: utnytte tillit i det nøyaktige øyeblikket en organisasjon er minst rustet til å verifisere hvem de faktisk har med å gjøre.

Løsepengevirus-grupper har også vist at de er villige til å målrette et bredt spekter av sektorer når muligheten byr seg, som sett da gruppen SpaceBears rammet den franske telekomleverandøren Stellar. Taktikker som «Ransom Busters»-ordningen tyder på at selv etter et første angrep, kan ofre på tvers av bransjer ikke anta at faren er over når forhandlingene har begynt.

Personvernkonsekvensene av falske gjenopprettingstjenester

Personvernimplikasjonene her går utover den økonomiske vinkelen. Når et offer engasjerer seg med det de tror er en legitim gjenopprettingstjeneste, kan de dele sensitive detaljer om nettverket sitt, dataeksponeringen sin, intern beslutningstaking, og til og med betalingsvilligheten sin. Hvis den «tjenesten» faktisk er kontrollert av, eller tilknyttet, angriperen, går all den informasjonen rett tilbake til folkene som er ansvarlige for sikkerhetsbruddet.

Det skaper en tilbakemeldingssløyfe som gagner angriperen på alle stadier: de får betalt, de får etterretning om hvordan offeret responderer, og de kan til og med få en ny sjanse til å presse ut penger under dekke av legitim assistanse. For enhver organisasjon som allerede håndterer kompromitterte data, multipliserer denne typen ordning eksponeringen i stedet for å løse den.

Hva dette betyr for deg

Hvis organisasjonen din noen gang blir rammet av løsepengevirus, kan presset for å finne en rask løsning være intenst, men denne ordningen er en påminnelse om at ikke alle tilbud om hjelp under en krise er ekte. Gjenopprettingsfirmaer, forhandlere og cybersikkerhetskonsulenter bør alltid verifiseres uavhengig, ideelt gjennom henvisninger, etablert omdømme, eller din cyberforsikringsleverandør, heller enn gjennom kontakter som dukker opp uoppfordret rett etter et angrep.

Det er også verdt å huske at legitime hendelsesresponsteam vanligvis ikke dukker opp fra intet med uønskede tilbud umiddelbart etter et sikkerhetsbrudd. Enhver uventet henvendelse som hevder å hjelpe med løsepengeforhandlinger eller datagjenoppretting fortjener ekstra gransking før noen informasjon, eller penger, skifter hender.

Konkrete tiltak

  • Verifiser enhver hendelsesgjenopprettings- eller forhandlingstjeneste gjennom pålitelige, uavhengige kanaler før du engasjerer deg, spesielt hvis de kontakter deg først.
  • Involver politiet og cyberforsikringsleverandøren din tidlig; de kan hjelpe med å skille legitime gjenopprettingspartnere fra opportunistiske aktører.
  • Unngå å dele detaljert informasjon om sikkerhetsbruddet ditt, systemene dine eller betalingsintensjonene dine med noen part hvis legitimasjon ikke er bekreftet.
  • Behandle uønskede tilbud om hjelp etter et sikkerhetsbrudd med samme skepsis som du ville anvendt på det opprinnelige løsepengekravet.

Ordninger som «Ransom Busters» viser at løsepengevirus-utpressing ikke alltid slutter når løsepengekravet dukker opp. Å være forsiktig med hvem du stoler på i etterkant av et angrep er like viktig som å forsvare seg mot det opprinnelige sikkerhetsbruddet.