Международная правоохранительная операция ликвидировала инфраструктуру вымогательской группировки KillSec, и в рамках ликвидации KillSec арестованы трое подозреваемых. Сообщения по делу говорят, что предполагаемый лидер — подросток. Эта новость — настоящая победа для следователей, но стоит разобраться, что она меняет и что не меняет для людей, использующих домашние компьютеры и небольшие сети.

Что охватывают аресты в рамках ликвидации KillSec

Согласно отчёту SecurityWeek, полиция демонтировала инфраструктуру KillSec и арестовала трёх подозреваемых в рамках международной операции. Публикации других изданий добавляют некоторые детали. Заявление Europol, как оно изложено в результатах поиска, описывает три ареста и восемь обысков в четырёх европейских странах, нацеленных на группу, связанную примерно с 1 000 атак по всему миру. Другие отчёты сообщают, что власти изъяли пять серверов и сайт утечек группировки, а предполагаемому лидеру 16 лет. Некоторые издания говорят, что в аресте подростка участвовали каталонские власти, а одно описывает эти усилия как операцию KillSwitch.

Оговорка: в некоторых сообщениях аресты описываются как предварительные, и одно издание отметило, что формулировка Europol относительно точного числа и ролей задержанных несколько расплывчата. Это подозреваемые, а не осуждённые люди, и детали могут измениться по мере расследования.

Как выявляют вымогательскую группировку во главе с подростком

Исходные материалы не разъясняют точно, как следователи вышли на предполагаемого лидера, поэтому было бы ошибкой строить догадки. Что это дело действительно показывает, так это общую картину современного правоприменения в отношении вымогательского ПО. Группировки зависят от серверов, сайтов утечек и каналов связи, и каждое из этих мест — это точка, где могут накапливаться доказательства. Когда полиция изымает эту инфраструктуру, она может получить доступ к записям, которые указывают на людей, управляющих ею.

Это дело также разрушает распространённый образ операторов вымогательского ПО как опытных, неуязвимых профессионалов. Сообщения о том, что 16-летний предположительно возглавлял группу, связанную примерно с 1 000 атак, говорят о том, что порог входа может быть ниже, чем многие предполагают. Вымыогательское ПО давно работает как услуга, с инструментами и инфраструктурой, доступными людям, у которых может не быть глубоких технических навыков. Это снижает планку для атакующих и в некоторых случаях облегчает их поиск, поскольку менее опытные операторы склонны совершать больше ошибок.

Трансграничный характер операции тоже имеет значение. Обыски в четырёх странах указывают на координацию, необходимую, когда жертвы, серверы и подозреваемые находятся в разных юрисдикциях.

Почему ликвидации редко кладут конец угрозе вымогательского ПО

Изъятие сайта утечек и серверов нарушает работу группировки, но не стирает методы, которые делали её эффективной. Инструменты, тактики и партнёры, стоящие за операцией, могут переместиться в другое место. Преступники, избежавшие ареста, могут сменить бренд, присоединиться к другой команде или отстроиться на новой инфраструктуре.

Мы уже видели, как группировки планируют это. Наш отчёт о том, как вымогательское ПО DeadLock добавило приложение Session для обхода ликвидаций, показывает операторов, проектирующих свою связь специально так, чтобы потеря сервера не означала потерю всей операции. Ликвидации повышают стоимость ведения бизнеса для преступников, но они — лишь часть длительного противостояния, а не окончательная победа.

Есть также вопрос жертв. Даже когда группировка нарушена, организации, уже подвергшиеся атаке, всё ещё сталкиваются с восстановлением. Последствия такого инцидента, как атака вымогательского ПО в Суисун-Сити, из-за которой мэрия была закрыта семь дней, показывают, какой ущерб может нанести одно успешное вторжение, независимо от того, что позже произойдёт с атакующими. (Этот инцидент не связан с KillSec в имеющихся у нас сообщениях.)

Что это значит для вас

Для большинства людей практический риск от вымогательского ПО не изменился в день этих арестов. Уход одной группировки в офлайн не устраняет более широкую преступную экосистему, и те же точки входа, такие как фишинговые письма, необновлённое программное обеспечение и повторно используемые или слабые пароли, остаются доступными для других атакующих.

Тем не менее эта новость — полезное напоминание проверить собственную защиту, особенно если у вас домашний офис или сеть малого бизнеса, где нет выделенной ИТ-команды:

  • Держите офлайн- или отдельные резервные копии. Резервная копия, которая всегда подключена к вашему компьютеру, может быть зашифрована вместе со всем остальным. Держите хотя бы одну копию отключённой или храните её там, где ваша основная учётная запись не может её перезаписать, и проверяйте, что из неё действительно можно восстановиться.
  • Устанавливайте обновления promptly. Операционные системы, браузеры, прошивки роутеров и бизнес-программы — все получают исправления безопасности. Включайте автоматические обновления там, где можете.
  • Используйте надёжные уникальные пароли и многофакторную аутентификацию. Это особенно касается электронной почты, облачного хранилища и инструментов удалённого доступа.
  • Относитесь скептически к неожиданным вложениям и ссылкам. Фишинг остаётся распространённым способом проникновения, и никакой арест этого не меняет.
  • Ограничьте удалённый доступ. Если вам не нужны удалённый рабочий стол или подобные сервисы, открытые в интернет, отключите их.

Главное

Аресты в рамках ликвидации KillSec показывают, что скоординированная работа полиции может добраться даже до группировок с большим числом жертв, и что стоящие за ними люди могут быть моложе и менее опытными, чем ожидалось. Они не означают, что угроза исчезла. Группировки адаптируются, как демонстрирует пример DeadLock, поэтому самый безопасный подход — относиться к резервным копиям, обновлениям и надёжной аутентификации как к постоянным привычкам, а не ждать следующего ареста, чтобы снизить свой риск. Найдите десять минут на этой неделе, чтобы убедиться, что ваши резервные копии работают и что многофакторная аутентификация включена для ваших самых важных учётных записей.