Lodowisko Thialf zaatakowane przez gang ransomware The Gentlemen

Co się stało z lodowiskiem Thialf

Thialf, słynne holenderskie lodowisko znane na całym świecie z organizacji mistrzostw w łyżwiarstwie szybkim, padło ofiarą cyberataku. Według Microsoftu, grupa stojąca za włamaniem, znana jako The Gentlemen, wykradła dane z obiektu i grozi ich opublikowaniem w darknecie, jeśli w ciągu kilku dni nie zostanie zapłacony okup.

To podręcznikowy przykład działania gangu ransomware stosującego podwójne wymuszenie: atakujący nie tylko blokują pliki, ale najpierw kradną wrażliwe dane i wykorzystują groźbę ich publicznego ujawnienia jako dźwignię. Dla instytucji takiej jak Thialf może to oznaczać, że dokumenty pracownicze, informacje finansowe, dane dotyczące sprzedaży biletów lub inne szczegóły operacyjne trafią na sprzedaż lub do bezpłatnego pobrania na forach przestępczych, jeśli termin upłynie bez zapłaty.

Jak działa model podwójnego wymuszenia stosowany przez The Gentlemen

Schemat podwójnego wymuszenia stał się domyślnym podejściem w przypadku najpoważniejszych operacji ransomware i wydaje się, że The Gentlemen podążają tym samym wzorcem udokumentowanym w wielu innych sprawach. Najpierw atakujący włamują się do sieci i po cichu wynoszą dane, zanim wdrożą szyfrowanie. Dopiero gdy dane są już bezpiecznie w ich posiadaniu, blokują systemy ofiary i ujawniają się, często z licznikiem czasu i dowodem na to, co zabrali, w postaci strony ujawniającej dane w darknecie.

Ta dwutorowa taktyka nacisku ma na celu zamknięcie najłatwiejszej drogi ucieczki dla ofiar. Nawet organizacja posiadająca solidne kopie zapasowe i zdolna do przywrócenia zaszyfrowanych systemów bez płacenia okupu wciąż mierzy się z drugim zagrożeniem: publicznym ujawnieniem skradzionych plików. Ta kombinacja sprawiła, że podwójne wymuszenie jest znacznie skuteczniejsze niż starszy, pojedynczy model groźby oparty wyłącznie na szyfrowaniu i dlatego badacze bezpieczeństwa coraz częściej ostrzegają, że kopie zapasowe są konieczne, ale same w sobie już nie wystarczają.

Wyjaśnienie modelu Ransomware-as-a-Service i rekrutacji partnerów

Tym, co sprawia, że grupy takie jak The Gentlemen są szczególnie trudne do zlikwidowania, jest to, że nie działają jako pojedyncza, ściśle kontrolowana ekipa. Analiza Microsoftu opisuje tę grupę jako rozwijającą się poprzez rekrutację partnerów w ramach umów ransomware-as-a-service – modelu biznesowego, w którym zespół główny tworzy i utrzymuje złośliwe oprogramowanie, infrastrukturę negocjacyjną i strony do publikacji danych, a następnie wynajmuje ten zestaw narzędzi niezależnym partnerom, którzy przeprowadzają właściwe ataki.

Ta struktura franczyzowa oznacza, że zapłacony okup niekoniecznie trafia do jednego mózgu operacji. Jest dzielony między twórców i partnera, który przeprowadził atak, a także oznacza, że działania organów ścigania wymierzone w jedną grupę rzadko eliminują podstawowe zagrożenie. Partnerzy po prostu przenoszą się do innej marki ransomware-as-a-service i kontynuują pracę. To model biznesowy stworzony z myślą o odporności i jest to jeden z powodów, dla których ransomware pozostaje uporczywym problemem, nawet gdy poszczególne gangi powstają i upadają. Wyciekłe wewnętrzne rozmowy szczegółowo opisane w śledztwie podcastu BBC w sprawie gangu ransomware Conti dały rzadki wgląd w to, jak korporacyjne i zhierarchizowane mogą być te operacje za kulisami.

Dlaczego same VPN-y nie powstrzymają ransomware i co naprawdę pomaga

Warto jasno powiedzieć o czymś, co wiele relacji pomija: VPN nie zapobiegłby takiemu atakowi i żadne pojedyncze narzędzie tego nie zrobi. Gangi ransomware zazwyczaj dostają się do środka przez e-maile phishingowe, skradzione dane uwierzytelniające, niezałatane oprogramowanie lub odsłonięte usługi zdalnego dostępu, a nie przez luki, które ma zamykać konsumencki VPN. Organizacje potrzebują zamiast tego warstwowej ochrony: uwierzytelniania wieloskładnikowego, segmentacji sieci, regularnych kopii zapasowych offline, narzędzi do wykrywania zagrożeń na punktach końcowych i szkoleń pracowników w zakresie rozpoznawania prób phishingu.

Decyzja o tym, czy zapłacić, staje się naprawdę trudna, a dane tutaj są zniechęcające dla każdego, kto ma nadzieję, że zapłata gwarantuje czyste rozwiązanie. Raport omówiony przez Proofpoint na temat płacących okup często ponownie atakowanych wykazał, że znaczna część organizacji, które zapłaciły raz, staje się celem po raz drugi, co sugeruje, że zapłata może oznaczyć ofiarę jako łatwy cel, zamiast zamykać incydent. Nie każda organizacja decyduje się ustąpić. Szwajcarski producent Stadler Rail publicznie odrzucił żądanie okupu w wysokości 12,3 miliona dolarów od gangu Everest, pokazując, że odmowa jest realną, choć trudną ścieżką, którą niektóre ofiary wybierają.

Co to oznacza dla Ciebie

Dla większości czytelników incydent w Thialf nie stanowi bezpośredniego zagrożenia, ale jest użytecznym przypomnieniem, jak działają współczesne operacje ransomware i dlaczego wciąż odnoszą sukcesy. Jeśli pracujesz w organizacji, zwłaszcza takiej, która przetwarza dane klientów, pracowników lub gości, lekcja jest taka, że zapobieganie musi nastąpić na długo przed tym, jak zacznie tykać zegar odliczający atakujących. Jeśli jesteś gościem, pracownikiem lub partnerem Thialf zaniepokojonym o swoje dane, wypatruj oficjalnych komunikatów ze strony obiektu i bądź czujny na próby phishingu, które powołują się na to naruszenie, ponieważ atakujący i oportuniści często wykorzystują wiadomości o wycieku do przeprowadzania kolejnych oszustw.

Praktyczne wnioski

• Zakładaj, że każda organizacja przechowująca Twoje dane może paść ofiarą gangu ransomware stosującego podwójne wymuszenie; pytaj firmy, z którymi masz kontakt, jak wyglądają ich procedury reagowania na incydenty i ochrony danych.
• Jeśli zarządzasz systemami IT, nadaj priorytet uwierzytelnianiu wieloskładnikowemu, łataniu i kopiom zapasowym offline ponad jakikolwiek pojedynczy produkt bezpieczeństwa, w tym VPN-y.
• Nie zakładaj, że zapłacenie okupu rozwiązuje incydent w czysty sposób. Dowody sugerują, że ponowne atakowanie jest powszechne wśród organizacji, które płacą.
• Uważaj na e-maile phishingowe odwołujące się do naruszenia w Thialf lub podobnych incydentów, ponieważ atakujący często wykorzystują publiczne wiadomości o wycieku do przeprowadzania kolejnych oszustw.
• Śledź, jak dotknięte organizacje zareagują w nadchodzących dniach. Decyzja Thialf o tym, czy zapłacić, dostarczy kolejnego punktu danych w trwającej debacie na temat płacenia okupów.

Ponieważ operacje ransomware-as-a-service, takie jak The Gentlemen, nadal rekrutują partnerów i doskonalą taktyki podwójnego wymuszenia, incydenty takie jak ten w Thialf prawdopodobnie będą nadal trafiać na nagłówki. Bycie na bieżąco z tym, jak przebiegają te ataki, i naciskanie na organizacje, na których polegasz, aby poważnie traktowały zapobieganie, pozostaje jednym z najbardziej praktycznych kroków dostępnych dla społeczeństwa.