Kogo atakuje grupa ransomware Booba Project?

Zgodnie z profilem grupy opracowanym przez Mallory jej zgłaszane ofiary koncentrują się w Stanach Zjednoczonych, choć inne ofiary zidentyfikowano poza tym krajem, w tym firmę w Szwajcarii.

Czym jest podwójne wymuszenie i jak wykorzystuje je Booba Project?

Grupa kradnie dane i wywiera presję na dwa sposoby: presję operacyjną poprzez szyfrowanie, które może uniemożliwić ofiarom normalną pracę, oraz presję związaną z ujawnieniem poprzez umieszczenie ofiary na stronie wycieku danych i grożenie udostępnieniem skradzionych plików, jeśli okup nie zostanie zapłacony.

Dlaczego kopie zapasowe nie rozwiązują w pełni problemu ataku Booba Project?

Kopie zapasowe mogą przywrócić systemy do działania, ale nie mogą odwrócić kradzieży danych, które zostały już zabrane i co do których grożono publikacją na stronie wycieku danych.

Którą szwajcarską firmę Booba Project wskazała jako ofiarę?

Grupa zgłosiła roszczenie wobec Zynex, firmy z siedzibą w Szwajcarii, twierdząc, że ukradła około 1,4 GB danych.

Grupa ransomware Booba Project: cele w USA, szwajcarska ofiara

Q: Czy można ufać twierdzeniom ze stron wycieku danych o skradzionych danych?

Nie — wpisy na stronach wycieku danych są tworzone przez przestępców, a ilości danych, które rzekomo posiadają, nie są domyślnie niezależnie weryfikowane, więc należy traktować je jako sygnały do zbadania, a nie jako dowód.

Grupa ransomware Booba Project to nastawiona na zysk operacja wymuszeniowa, która umieszcza ofiary na stronie wycieku danych i grozi publikacją skradzionych informacji, jeśli okup nie zostanie zapłacony. Publiczne informacje o grupie są ograniczone, ale zarys jest wystarczająco jasny, by być użytecznym: jej zgłaszane cele koncentrują się w Stanach Zjednoczonych, a dodatkowe ofiary zidentyfikowano w innych miejscach, w tym firmę w Szwajcarii.

Ten artykuł wyjaśnia, co wiadomo, jak działa model wymuszenia oraz co zwykli ludzie i małe firmy mogą zrobić, aby ograniczyć szkody, jeśli ich dane trafią w niepowołane ręce.

Kogo atakuje Booba Project

Zgodnie z profilem grupy opublikowanym przez platformę threat intelligence Mallory, zgłaszane ofiary Booba Project koncentrują się w Stanach Zjednoczonych. Inne ofiary zidentyfikowano poza tym krajem, co pokazuje, że grupa nie ogranicza się ściśle do jednego rynku.

Materiał źródłowy nie zawiera szczegółowego podziału na branże, liczby ofiar ani technicznych metod, których grupa używa do włamania, i błędem byłoby uzupełnianie tych luk domysłami. Można powiedzieć, że grupa wpisuje się w znany schemat: kieruje nią motywacja finansowa, a nie polityczna, i wybiera organizacje, które posiadają dane wystarczająco cenne, by wywrzeć na nie presję w celu zapłaty.

Dla czytelników praktyczny wniosek jest taki, że lokalizacja nie zapewnia organizacji bezpieczeństwa. Grupa skoncentrowana głównie na USA może nadal dotrzeć do firmy w Europie, co pokazuje poniższy szwajcarski przypadek.

Jak działa model wymuszenia oparty na stronie wycieku danych

Booba Project stosuje to, co powszechnie nazywa się podwójnym wymuszeniem. Zamiast jedynie szyfrować systemy, operatorzy kradną również dane, a następnie wywierają presję na dwa sposoby:

Presja operacyjna: jeśli systemy zostaną zaszyfrowane, ofiara może nie być w stanie normalnie pracować.
Presja związana z ujawnieniem: grupa publikuje nazwę ofiary na stronie wycieku danych i grozi udostępnieniem skradzionych plików, jeśli okup nie zostanie zapłacony.

Strona wycieku danych jest kluczowym narzędziem. Publiczny wpis działa zarówno jako groźba, jak i termin. Informuje ofiarę, jej klientów i prasę, że doszło do incydentu, jeszcze zanim jakiekolwiek pliki zostaną ujawnione. Dlatego odtworzenie z kopii zapasowych, choć istotne, nie rozwiązuje w pełni problemu. Kopie zapasowe mogą przywrócić systemy do działania, ale nie mogą odwrócić kradzieży danych.

Sam wpis jest również jedynie twierdzeniem. Wpisy na stronach wycieku danych są tworzone przez przestępców, a ilości danych, które rzekomo posiadają, nie są domyślnie niezależnie weryfikowane. Należy traktować je jako sygnały do zbadania, a nie jako dowód.

Co twierdzenie dotyczące Zynex pokazuje o działalności grupy

Zasięg grupy poza Stanami Zjednoczonymi ilustruje jej twierdzenie dotyczące Zynex, firmy z siedzibą w Szwajcarii. Jak opisano w naszym raporcie na temat twierdzenia grupy ransomware Booba dotyczącego szwajcarskiej firmy Zynex, grupa twierdzi, że ukradła około 1,4 GB danych.

Ta liczba jest twierdzeniem samej grupy. To użyteczny przykład tego, jak zazwyczaj wyglądają takie roszczenia: nazwana ofiara, podana ilość skradzionych danych i groźba ich publikacji.

Sprawa rodzi również pytania prawne dla firm działających w Szwajcarii. Od 1 września 2023 r. przedsiębiorstwa w tym kraju funkcjonują na podstawie zrewidowanej Federalnej ustawy o ochronie danych. Nasz przewodnik po zgodności ze szwajcarską ustawą o ochronie danych od 2023 roku omawia te ramy prawne i jest dobrym punktem wyjścia do zrozumienia, jakie obowiązki mogą wynikać z kradzieży danych.

Co to oznacza dla Ciebie

Większość ludzi nigdy nie będzie miała do czynienia bezpośrednio z grupą ransomware. Bardziej prawdopodobny scenariusz jest taki, że firma, z którą prowadzisz interesy, na przykład dostawca usług, dostawca lub pracodawca, zostanie umieszczona na stronie wycieku danych, a Twoje informacje znajdą się wśród skradzionych plików.

Oznacza to, że Twoje narażenie często zależy od decyzji podejmowanych przez innych. Nie możesz powstrzymać naruszenia, ale możesz ograniczyć to, do czego można wykorzystać skradziony plik.

Kroki, które konsumenci i małe firmy mogą podjąć, aby ograniczyć narażenie

Dla osób prywatnych:

Używaj unikalnego hasła do każdego konta, przechowywanego w menedżerze haseł, aby jedno ujawnione poświadczenie nie odblokowywało innych.
Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, najlepiej za pomocą aplikacji uwierzytelniającej lub klucza bezpieczeństwa.
Bądź czujny na phishing odwołujący się do rzeczywistego naruszenia. Przestępcy często wykorzystują wieści o incydencie, aby wiadomości oszustów wyglądały wiarygodnie.
Rozważ zamrożenie kredytu, jeśli w grę wchodziły wrażliwe identyfikatory, takie jak numery dokumentów tożsamości, i obserwuj wyciągi pod kątem nietypowej aktywności.

Dla małych firm:

Utrzymuj kopie zapasowe offline lub niezmienne i testuj ich odtwarzanie, aby samo szyfrowanie nie mogło zatrzymać działalności.
Gromadź i przechowuj tylko te dane, których potrzebujesz. Danych, których już nie posiadasz, nie można ukraść.
Ogranicz, kto może uzyskiwać dostęp do wrażliwych plików, i terminowo stosuj aktualizacje oprogramowania.
Przygotuj plan reagowania na incydenty, zanim będzie potrzebny, obejmujący to, do kogo zadzwonić, jak powiadomić klientów i jakie prawne obowiązki zgłaszania mają zastosowanie w Twojej jurysdykcji.
Segmentuj sieci, aby jedno zainfekowane urządzenie nie ujawniało wszystkiego.

Jeśli zostaniesz umieszczony na stronie wycieku danych, szybko zaangażuj radcę prawnego i specjalistów ds. reagowania na incydenty. Zapłata nie gwarantuje usunięcia danych i może finansować kolejne ataki.

Najważniejsze wnioski

Grupa ransomware Booba Project przypomina, że współczesne wymuszenie w równym stopniu dotyczy skradzionych danych, co zablokowanych systemów. Jej zgłaszane ukierunkowanie na organizacje w USA, a także co najmniej jedna szwajcarska ofiara, pokazują, że geografia zapewnia niewielką ochronę.

Silne, unikalne hasła, uwierzytelnianie wieloskładnikowe, minimalne przechowywanie danych i przetestowane kopie zapasowe pozostają najskuteczniejszą obroną. Aby zobaczyć, jak twierdzenie Booba Project wygląda w praktyce, przeczytaj nasze omówienie twierdzenia dotyczącego Zynex, a jeśli chodzi o prawną stronę naruszenia, zapoznaj się z naszym przewodnikiem po zgodności ze szwajcarską ochroną danych.