Новая вымогательская операция делает агрессивное предложение потенциальным преступникам. Согласно репортажу eSecurity Planet, Dark Project предлагает партнёрам 80% выкупных платежей и заявляет о 38 жертвах на данный момент. Партнёрская модель ransomware Dark Project — напоминание о том, что экономика вымогательства продолжает смещаться в пользу атакующих, и что обычные люди часто ощущают последствия, когда организация, хранящая их данные, подвергается атаке.

В этом посте рассматривается то, что известно из репортажа, почему структура выплат имеет значение и что могут сделать как организации, так и частные лица. Исходный материал краток, поэтому мы придерживаемся того, что он подтверждает: 80% доли партнёра и заявление о 38 жертвах.

Как работает 80%-я партнёрская выплата Dark Project

Dark Project следует модели ransomware-as-a-service (RaaS). В схеме RaaS основная группа создаёт и поддерживает вредоносное ПО и инфраструктуру вокруг него. Партнёры, являющиеся отдельными операторами, осуществляют фактические вторжения и попытки вымогательства. Когда жертва платит, деньги делятся между двумя сторонами.

Здесь, согласно сообщениям, разделение даёт партнёрам 80% каждого выкупного платежа. Операторы оставляют себе остаток. Цифра в 38 жертв — это заявление, сделанное группой, а значит, к ней следует относиться как к непроверенной до подтверждения вовлечёнными организациями или независимыми исследователями.

Разделение труда — суть модели. Разработчики сосредоточены на инструментарии, сайтах утечек и инфраструктуре переговоров. Партнёры сосредоточены на проникновении. Каждая сторона выполняет меньший объём работы, чем полностью независимая команда, — именно поэтому модель получила столь широкое распространение. Для более глубокого изучения того, как действовала устоявшаяся группа в рамках этого подхода, см. наш профиль ransomware BlackCat/ALPHV.

Почему щедрые доли RaaS снижают барьер для вымогательства

Высокий процент партнёра — это инструмент вербовки. Более новые группы вынуждены конкурировать за опытных взломщиков с устоявшимися брендами, и большая доля — один из способов привлечь их. Доля в 80% делает предложение финансово привлекательным для любого, кто может получить доступ к сети.

Есть также эффект навыков. Поскольку платформа предоставляет инструменты шифрования и инфраструктуру утечек, партнёру не нужно писать вредоносное ПО или вести переговорную операцию. Это снижает технический порог и расширяет круг людей, способных попытаться совершить атаку.

Результат — больше попыток, распределённых по большему числу целей, включая организации, которые хранят конфиденциальные записи о людях, но имеют ограниченные бюджеты на безопасность. Эта закономерность видна в таких инцидентах, как атака ransomware на некоммерческую организацию, помогающую выжившим от торговли людьми, где значимость определялась не столько технической изощрённостью, сколько тем, кто пострадал.

Что организациям следует отслеживать и укреплять

Поскольку именно партнёры осуществляют взлом, защитникам следует сосредоточиться на общих путях проникновения в сеть, а не на брендинге какой-либо отдельной группы. Практические приоритеты включают:

  • Удалённый доступ: Проверьте VPN, удалённый рабочий стол и другие внешне доступные сервисы. Обеспечьте многофакторную аутентификацию и своевременно устанавливайте исправления.
  • Учётные данные: Следите за необычными входами, повторно используемыми паролями и учётными записями с избыточными привилегиями.
  • Перемещение данных: Отслеживайте крупные или неожиданные исходящие передачи, поскольку современные атаки, как правило, включают кражу данных перед шифрованием.
  • Резервные копии: Храните офлайн- или неизменяемые копии и регулярно тестируйте восстановление. Резервные копии помогают восстановлению, но не отменяют кражу данных. Наш разбор двойного вымогательства объясняет почему.
  • Мониторинг сайтов утечек: Отслеживайте, появляются ли ваша организация или поставщики на сайтах вымогателей, чтобы действовать заблаговременно.

Что это значит для вас

Большинство людей никогда не станут прямой целью партнёра RaaS. Подверженность возникает косвенно: работодатель, страховщик, поставщик медицинских услуг или авиакомпания хранит ваши данные, и эта организация подвергается атаке. Когда вымогательские группы публикуют украденные файлы, информация может широко распространяться, как в случае утечки 8,7 млн записей путешественников аэропортов Великобритании.

Если затронут используемый вами сервис, рассмотрите следующие шаги:

  1. Внимательно прочитайте официальное уведомление. Отметьте, какие категории данных были затронуты и какая защита предлагается, например мониторинг кредитной истории.
  2. Смените пароль для этого сервиса и для любого другого аккаунта, где вы его повторно использовали. Используйте менеджер паролей для создания уникальных паролей.
  3. Включите многофакторную аутентификацию везде, где она доступна.
  4. Следите за фишингом. Украденные контактные данные часто используются для убедительных последующих мошенничеств, ссылающихся на утечку. Не переходите по ссылкам в неожиданных сообщениях; заходите на сайт организации напрямую.
  5. Отслеживайте финансовые счета и рассмотрите заморозку кредитной истории, если были раскрыты такие идентификаторы, как номера социального страхования.
  6. Сохраняйте записи уведомлений и любой подозрительной активности.

Главный вывод

Партнёрская модель ransomware Dark Project иллюстрирует устойчивую тенденцию: когда распределение доходов благоприятствует тому, кто осуществляет вторжение, больше людей готовы попробовать. 38 заявленных на данный момент жертв не подтверждены, но важна структура, стоящая за ними. Организациям следует укреплять точки доступа и следить за кражей данных, а частным лицам — быть готовыми действовать быстро, когда компания, которой они доверяют, раскрывает утечку.

Чтобы понять, почему восстановление из резервных копий не останавливает современное вымогательство, прочитайте наш разбор двойного вымогательства. Чтобы увидеть, что украденные данные могут значить для реальных людей, прочитайте наш материал об утечке ransomware Beacon Mutual.