Uma nova operação de ransomware está fazendo uma oferta agressiva a criminosos em potencial. Segundo reportagem do eSecurity Planet, o Dark Project oferece aos afiliados 80% dos pagamentos de extorsão e alega 38 vítimas até agora. O modelo de afiliados do ransomware Dark Project é um lembrete de que a economia da extorsão continua mudando em favor dos atacantes, e que pessoas comuns frequentemente sentem as consequências quando uma organização que detém seus dados é atingida.
Este artigo aborda o que se sabe a partir da reportagem, por que a estrutura de pagamento importa e o que tanto organizações quanto indivíduos podem fazer. O material de origem é breve, então nos atemos ao que ele confirma: a participação de 80% dos afiliados e a alegação de 38 vítimas.
Como funciona o pagamento de 80% aos afiliados do Dark Project
O Dark Project segue o modelo de ransomware-as-a-service (RaaS). Em um arranjo de RaaS, um grupo central constrói e mantém o malware e a infraestrutura ao seu redor. Os afiliados, que são operadores separados, realizam as intrusões e tentativas de extorsão propriamente ditas. Quando uma vítima paga, o dinheiro é dividido entre os dois lados.
Aqui, a divisão relatada dá aos afiliados 80% de cada pagamento de extorsão. Os operadores ficam com o restante. O número de 38 vítimas é uma alegação feita pelo grupo, o que significa que deve ser tratado como não verificado até ser confirmado pelas organizações envolvidas ou por pesquisadores independentes.
A divisão de trabalho é o ponto central do modelo. Os desenvolvedores se concentram em ferramentas, sites de vazamento e infraestrutura de negociação. Os afiliados se concentram em obter acesso. Cada lado faz menos trabalho do que uma equipe totalmente independente faria, e é por isso que o modelo se espalhou tanto. Para uma análise mais aprofundada de como um grupo estabelecido tem operado sob essa abordagem, veja nosso perfil do ransomware BlackCat/ALPHV.
Por que divisões generosas de RaaS reduzem a barreira para a extorsão
Uma porcentagem alta para afiliados é uma ferramenta de recrutamento. Grupos mais novos precisam competir por invasores qualificados contra marcas estabelecidas, e uma fatia maior é uma forma de atraí-los. Uma participação de 80% torna a oferta financeiramente atraente para qualquer um que consiga obter acesso a uma rede.
Há também um efeito de habilidades. Como a plataforma fornece as ferramentas de criptografia e a infraestrutura de vazamento, um afiliado não precisa escrever malware nem operar uma negociação. Isso reduz a barreira técnica e amplia o conjunto de pessoas que podem tentar um ataque.
O resultado são mais tentativas, distribuídas por mais alvos, incluindo organizações que detêm registros sensíveis sobre pessoas mas têm orçamentos de segurança limitados. O padrão é visível em incidentes como o ataque de ransomware a uma organização sem fins lucrativos que atende sobreviventes de tráfico, em que a importância veio menos da sofisticação técnica do que de quem foi afetado.
O que as organizações devem monitorar e reforçar
Como os afiliados são os que invadem, os defensores devem se concentrar nas rotas comuns de entrada em uma rede, e não na marca de qualquer grupo específico. As prioridades práticas incluem:
- Acesso remoto: Revise VPN, desktop remoto e outros serviços expostos externamente. Imponha autenticação multifator e aplique patches prontamente.
- Credenciais: Fique atento a logins incomuns, senhas reutilizadas e contas com privilégios excessivos.
- Movimentação de dados: Monitore transferências de saída grandes ou inesperadas, já que ataques modernos normalmente envolvem o roubo de dados antes de criptografar qualquer coisa.
- Backups: Mantenha cópias offline ou imutáveis e teste a restauração regularmente. Backups ajudam na recuperação, mas não desfazem o roubo de dados. Nosso explicativo sobre dupla extorsão explica por quê.
- Monitoramento de sites de vazamento: Acompanhe se sua organização ou fornecedores aparecem em sites de extorsão, para que você possa agir cedo.
O que isso significa para você
A maioria das pessoas nunca será o alvo direto de um afiliado de RaaS. A exposição vem de forma indireta: um empregador, seguradora, prestador de cuidados de saúde ou companhia aérea detém seus dados, e essa organização é atacada. Quando grupos de extorsão publicam arquivos roubados, as informações podem circular amplamente, como no vazamento de 8,7 milhões de registros de viajantes de aeroportos do Reino Unido.
Se um serviço que você usa for atingido, considere estas etapas:
- Leia o aviso oficial com atenção. Anote quais categorias de dados foram envolvidas e qualquer proteção oferecida, como monitoramento de crédito.
- Altere sua senha desse serviço e de qualquer outra conta em que você a tenha reutilizado. Use um gerenciador de senhas para criar senhas únicas.
- Ative a autenticação multifator onde estiver disponível.
- Fique atento a phishing. Detalhes de contato roubados são frequentemente usados para golpes de acompanhamento convincentes que mencionam a violação. Não clique em links em mensagens inesperadas; vá diretamente ao site da organização.
- Monitore contas financeiras e considere um bloqueio de crédito se identificadores como números de Seguro Social foram expostos.
- Mantenha registros de avisos e de qualquer atividade suspeita.
A conclusão
O modelo de afiliados do ransomware Dark Project ilustra uma tendência duradoura: quando a divisão da receita favorece a pessoa que realiza a intrusão, mais pessoas estão dispostas a tentar. As 38 vítimas alegadas até agora não são confirmadas, mas a estrutura por trás delas é o que importa. As organizações devem reforçar os pontos de acesso e ficar atentas ao roubo de dados, e os indivíduos devem estar prontos para agir rapidamente quando uma empresa em que confiam divulga uma violação.
Para entender por que restaurar a partir de backups não impede a extorsão moderna, leia nosso explicativo sobre ransomware de dupla extorsão. Para ver o que dados roubados podem significar para pessoas reais, leia nossa cobertura da violação de ransomware da Beacon Mutual.
