Nowa operacja ransomware agresywnie zabiega o względy potencjalnych przestępców. Według doniesień eSecurity Planet, Dark Project oferuje afiliantom 80% okupów i twierdzi, że ma dotychczas 38 ofiar. Model afiliacyjny ransomware Dark Project przypomina, że ekonomia wymuszeń nieustannie przesuwa się na korzyść atakujących, a zwykli ludzie często odczuwają konsekwencje, gdy organizacja przechowująca ich dane zostaje zaatakowana.

Ten artykuł omawia to, co wiadomo z doniesień, dlaczego struktura wypłat ma znaczenie oraz co mogą zrobić zarówno organizacje, jak i osoby prywatne. Materiał źródłowy jest zwięzły, więc trzymamy się tego, co potwierdza: 80-procentowego udziału afiliantów i twierdzenia o 38 ofiarach.

Jak działa 80-procentowa wypłata dla afiliantów w Dark Project

Dark Project działa w modelu ransomware-as-a-service (RaaS). W ramach RaaS grupa rdzeniowa buduje i utrzymuje złośliwe oprogramowanie oraz otaczającą je infrastrukturę. Afilianci, będący odrębnymi operatorami, przeprowadzają faktyczne wtargnięcia i próby wymuszenia. Gdy ofiara płaci, pieniądze są dzielone między obie strony.

W tym przypadku raportowany podział daje afiliantom 80% każdego okupu. Operatorzy zatrzymują resztę. Liczba 38 ofiar to twierdzenie grupy, co oznacza, że należy je traktować jako niezweryfikowane, dopóki nie zostanie potwierdzone przez zaangażowane organizacje lub niezależnych badaczy.

Podział pracy jest sednem tego modelu. Twórcy koncentrują się na narzędziach, stronach wycieków i infrastrukturze negocjacyjnej. Afilianci koncentrują się na dostaniu się do środka. Każda ze stron wykonuje mniej pracy niż w pełni niezależna ekipa, dlatego model ten rozprzestrzenił się tak szeroko. Aby głębiej przyjrzeć się, jak ugruntowana grupa działała w ramach tego podejścia, zobacz nasz profil ransomware BlackCat/ALPHV.

Dlaczego hojne podziały w RaaS obniżają barierę do wymuszeń

Wysoki procent dla afiliantów to narzędzie rekrutacyjne. Nowsze grupy muszą konkurować o wykwalifikowanych intruzów z ugruntowanymi markami, a większy udział jest jednym ze sposobów na ich przyciągnięcie. 80-procentowy udział czyni ofertę finansowo atrakcyjną dla każdego, kto potrafi uzyskać dostęp do sieci.

Występuje tu również efekt umiejętności. Ponieważ platforma dostarcza narzędzia szyfrujące i infrastrukturę wycieków, afiliant nie musi pisać złośliwego oprogramowania ani prowadzić operacji negocjacyjnej. To obniża próg techniczny i poszerza pulę osób, które mogą podjąć próbę ataku.

Rezultatem jest więcej prób, rozłożonych na więcej celów, w tym organizacji, które przechowują wrażliwe dane o ludziach, ale mają ograniczone budżety na bezpieczeństwo. Wzorzec ten jest widoczny w incydentach takich jak atak ransomware na organizację non-profit wspierającą ocalałych z handlu ludźmi, gdzie znaczenie wynikało mniej z technicznego wyrafinowania, a bardziej z tego, kto został dotknięty.

Co organizacje powinny monitorować i zabezpieczać

Ponieważ to afilianci dokonują włamań, obrońcy powinni koncentrować się na typowych drogach wejścia do sieci, a nie na marce konkretnej grupy. Praktyczne priorytety obejmują:

  • Dostęp zdalny: Przejrzyj VPN, pulpit zdalny i inne usługi wystawione na działanie z zewnątrz. Wymuszaj uwierzytelnianie wieloskładnikowe i szybko instaluj poprawki.
  • Poświadczenia: Obserwuj nietypowe logowania, ponownie używane hasła i konta z nadmiernymi uprawnieniami.
  • Przepływ danych: Monitoruj duże lub nieoczekiwane transfery wychodzące, ponieważ współczesne ataki zazwyczaj obejmują kradzież danych przed szyfrowaniem czegokolwiek.
  • Kopie zapasowe: Przechowuj kopie offline lub niezmienne i regularnie testuj odtwarzanie. Kopie zapasowe pomagają w odzyskiwaniu danych, ale nie odwracają kradzieży danych. Nasze wyjaśnienie podwójnego wymuszenia wyjaśnia dlaczego.
  • Monitorowanie stron wycieków: Śledź, czy Twoja organizacja lub dostawcy pojawiają się na stronach wymuszeń, aby móc działać wcześnie.

Co to oznacza dla Ciebie

Większość ludzi nigdy nie będzie bezpośrednim celem afilianta RaaS. Ekspozycja jest pośrednia: pracodawca, ubezpieczyciel, świadczeniodawca opieki zdrowotnej lub linia lotnicza przechowuje Twoje dane i ta organizacja zostaje zaatakowana. Gdy grupy wymuszające publikują skradzione pliki, informacje mogą krążyć szeroko, jak w przypadku wycieku 8,7 mln rekordów podróżnych brytyjskich lotnisk.

Jeśli usługa, z której korzystasz, zostanie zaatakowana, rozważ następujące kroki:

  1. Uważnie przeczytaj oficjalne zawiadomienie. Zwróć uwagę, jakie kategorie danych były zaangażowane i jakie zaproponowano środki ochrony, takie jak monitorowanie kredytu.
  2. Zmień hasło do tej usługi oraz do każdego innego konta, na którym użyto tego samego hasła. Użyj menedżera haseł, aby tworzyć unikalne hasła.
  3. Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest dostępne.
  4. Uważaj na phishing. Skradzione dane kontaktowe są często wykorzystywane do przekonujących oszustw następczych, które nawiązują do naruszenia. Nie klikaj linków w nieoczekiwanych wiadomościach; wejdź bezpośrednio na stronę organizacji.
  5. Monitoruj konta finansowe i rozważ zamrożenie kredytu, jeśli ujawniono identyfikatory takie jak numery ubezpieczenia społecznego.
  6. Prowadź dokumentację zawiadomień i wszelkich podejrzanych działań.

Wnioski

Model afiliacyjny ransomware Dark Project ilustruje trwały trend: gdy podział przychodów faworyzuje osobę dokonującą wtargnięcia, więcej osób jest skłonnych spróbować. 38 ofiar zgłoszonych dotychczas jest niepotwierdzonych, ale to struktura za nimi ma znaczenie. Organizacje powinny zabezpieczać punkty dostępu i obserwować kradzież danych, a osoby prywatne powinny być gotowe do szybkiego działania, gdy zaufana firma ujawni naruszenie.

Aby zrozumieć, dlaczego odtwarzanie z kopii zapasowych nie powstrzymuje współczesnych wymuszeń, przeczytaj nasze wyjaśnienie podwójnego wymuszenia ransomware. Aby zobaczyć, co skradzione dane mogą oznaczać dla realnych ludzi, przeczytaj nasze omówienie naruszenia ransomware Beacon Mutual.