Operacja prowadzona przez Europol w dziewięciu krajach mocno uderzyła w gang ransomware KillSec. Władze informują o trzech aresztowaniach i 110 TB skonfiskowanych danych, a Departament Sprawiedliwości USA postawił zarzuty holenderskiemu podejrzanemu znanemu jako „Archduke". Ten przewodnik wyjaśniający rozbicie ransomware KillSec opisuje, co skonfiskowano, co wiadomo o akcie oskarżenia oraz co się zmienia, a co nie, dla ofiar i zwykłych obrońców.

Co właściwie skonfiskowano w Operacji KillSwitch

Według doniesień Operacja KillSwitch przyniosła trzy aresztowania i konfiskatę 110 TB od grupy KillSec. W akcji wzięło udział dziewięć krajów. Osobne publiczne komunikaty organów ścigania opisują ją jako wspólną, sekwencyjną operację prowadzoną przez FBI San Juan, wymierzoną w grupę, którą FBI nazywa Kill Security Ransomware Group.

Ogłoszenie samego Europolu, jak pojawia się w wynikach wyszukiwania, dodaje pewną skalę. Opisuje trzy aresztowania i osiem przeszukań w czterech krajach europejskich, w operacji wymierzonej w grupę powiązaną z około 1000 ataków na całym świecie. Zawiadomienie rządu szwajcarskiego datuje demontaż infrastruktury IT wykorzystywanej przez KillSec na 30 września. Nagłówek Europolu odnosi się również do konfiskaty serwerów i strony wyciekowej.

Liczba 110 TB ma znaczenie z praktycznego powodu. Gangi ransomware, które kradną dane przed ich zaszyfrowaniem, przechowują te dane na infrastrukturze, którą kontrolują, a ich konfiskata może dać śledczym dowody, listy ofiar, a w niektórych przypadkach sposób na ostrzeżenie dotkniętych organizacji. Podsumowanie, które przeanalizowaliśmy, nie mówi, jaka część z 110 TB to skradzione dane ofiar, a jaka to inny materiał, więc do wszelkich twierdzeń o ich zawartości należy podchodzić ostrożnie, dopóki urzędnicy nie powiedzą więcej.

Kim jest „Archduke" i co zarzuca DOJ

DOJ postawił zarzuty holenderskiemu podejrzanemu posługującemu się pseudonimem „Archduke". Podsumowanie źródłowe nie precyzuje konkretnych zarzutów, roli podejrzanego w grupie ani na jakim etapie proceduralnym znajduje się sprawa. Nie będziemy zgadywać tych szczegółów.

Jedna uwaga ostrożności: nagłówek ogłoszenia Europolu odnosi się do nastolatka podejrzanego o kierowanie KillSec, a niektórzy dostawcy zabezpieczeń opublikowali artykuły o aresztowaniu młodego domniemanego lidera. Materiały dostępne dla nas nie potwierdzają, że ta osoba i oskarżony „Archduke" to ta sama osoba, więc ich nie łączymy. Akt oskarżenia jest również zarzutem, a nie wyrokiem skazującym. Dokumenty sądowe i oficjalne oświadczenia DOJ będą wiarygodnym miejscem do sprawdzania zarzutów w miarę ich rozwoju.

Co rozbicie oznacza dla ofiar KillSec

Dla organizacji już dotkniętych przez KillSec wiadomość jest zachęcająca, ale niepełna. Badacze bezpieczeństwa twierdzą, że grupa wykorzystywała luki w oprogramowaniu i błędne konfiguracje przechowywania w chmurze, aby włamać się do około 1000 organizacji. Skonfiskowane serwery i skonfiskowana strona wyciekowa mogą ograniczyć zdolność grupy do wywierania presji na ofiary poprzez publikowanie skradzionych plików.

Ale rozbicie to nie sprzątanie. Warto pamiętać o kilku rzeczach:

  • Dane, które już zostały skradzione, mogły zostać skopiowane gdzie indziej. Konfiskata serwerów nie gwarantuje, że każda kopia zniknęła.
  • Zaszyfrowane systemy pozostają zaszyfrowane. O ile śledczy nie udostępnią pomocy w odszyfrowaniu, odzyskiwanie nadal zależy od własnych kopii zapasowych.
  • Gangi ransomware często się rozpadają lub rebrandują. Aresztowania niektórych członków niekoniecznie kończą taktyki stosowane przez grupę.
  • Ofiary mogą być kontaktowane. Jeśli uważasz, że zostałeś dotknięty, obserwuj kontakt ze strony organów ścigania i zgłoś incydent właściwymi kanałami w swoim kraju.

Jeśli Twoja organizacja była celem KillSec, zakładaj, że skradzione dane mogą nadal wypłynąć, i kontynuuj resetowanie poświadczeń, obowiązki powiadamiania o naruszeniu i monitorowanie tak, jak byś to robił w innym przypadku.

Zabezpieczenia przed ransomware, które nadal mają znaczenie: kopie zapasowe, segmentacja i ograniczenia VPN

Metody przypisywane KillSec, wykorzystywanie luk w oprogramowaniu i błędnie skonfigurowanego przechowywania w chmurze, są powszechne wśród grup ransomware. Dlatego podstawy nadal mają największe znaczenie, niezależnie od tego, kto jest w areszcie w tym miesiącu.

Kopie zapasowe. Przechowuj wiele kopii, w tym co najmniej jedną kopię offline lub niezmienną, do której atakujący nie mogą dotrzeć za pomocą skradzionych poświadczeń. Regularnie testuj przywracanie, ponieważ kopia zapasowa, której nigdy nie przywracałeś, jest założeniem, a nie planem.

Segmentacja sieci. Oddzielenie systemów ogranicza, jak daleko może się przemieszczać intruz. Jeśli jeden komputer lub konto w chmurze zostanie przejęte, segmentacja może powstrzymać to przed przekształceniem się w szyfrowanie na skalę całej firmy.

Łatanie i konfiguracja. Ponieważ luki i błędne konfiguracje przechowywania były częścią opisywanego scenariusza, przejrzyj publicznie dostępne oprogramowanie pod kątem aktualizacji i sprawdź, czy przechowywanie w chmurze nie jest eksponowane szerzej niż zamierzano.

Gdzie pasuje VPN. VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN i może ukryć Twój adres IP przed odwiedzanymi stronami. Nie łata podatnego oprogramowania, nie naprawia błędnie skonfigurowanego zasobnika pamięci ani nie chroni kopii zapasowych. Traktuj go jako jedną ograniczoną warstwę prywatności, a nie obronę przed ransomware.

Przewodnik CISA StopRansomware to powszechnie cytowane źródło do budowania pełniejszego planu reakcji.

Co to oznacza dla Ciebie

Jeśli jesteś osobą prywatną, ta operacja nie jest powodem, by zmieniać swoje nawyki z dnia na dzień, ale jest dobrym impulsem, by sprawdzić, czy ważne pliki są zapisane gdzieś, gdzie ransomware nie może dotrzeć. Jeśli zarządzasz małą firmą lub zespołem, rozbicie nie usuwa ryzyka ze strony podobnych grup stosujących podobne metody.

Szerszy sygnał jest taki, że międzynarodowa współpraca może dotrzeć do infrastruktury ransomware i ludzi za nią stojących. To jest przydatne, ale działa równolegle z Twoim własnym przygotowaniem, a nie zamiast niego.

Najważniejsze wnioski

  • Operacja KillSwitch obejmowała dziewięć krajów, trzy aresztowania i konfiskatę 110 TB, wraz z aktem oskarżenia DOJ wobec holenderskiego podejrzanego „Archduke".
  • Akt oskarżenia jest zarzutem; szczegóły zarzutów nie znalazły się w podsumowaniu, które przeanalizowaliśmy.
  • Rozbicie nie odszyfrowuje plików ani nie gwarantuje, że skradzione dane zniknęły.
  • Przejrzyj w tym tygodniu własną konfigurację kopii zapasowych i segmentacji sieci, w tym czy masz kopię offline i czy testowałeś przywracanie.
  • Używaj VPN dla prywatności, jeśli chcesz, ale nie licz na niego jako ochronę przed ransomware.