Vad hände: Förhandlaren som arbetade för båda sidor

När ett företag drabbas av ransomware är ett av de första samtalen till en förhandlare: en specialist som får förtroendet att agera mellan ett panikslaget offer och en kriminell liga, med uppgift att minska lösensummekravet eller köpa tid för återställning. Den relationen bygger helt på förtroende. Enligt rapportering från Malwarebytes bröt en sådan förhandlare det förtroendet på det mest skadliga sätt som är möjligt. Istället för att hjälpa offer att stå emot BlackCat-ligan, matade han i hemlighet kriminella med information inifrån de förhandlingar han förväntades sköta å offrens vägnar.

Resultatet blev ett insiderhot-scenario med en ransomware-förhandlare som kostade offren miljoner. Istället för att fungera som en brandvägg mellan ett företag och dess angripare blev förhandlaren i praktiken en andra angripare, med privilegierad tillgång till offrets ekonomiska gränser, juridiska strategi och betalningsvilja. Det är ungefär så illa som ett incidenthanteringsmisslyckande kan bli, eftersom det förvandlar just den skyddsmekanism organisationer betalar för till en belastning.

Hur Ransomware-as-a-Service-ligor rekryterar betrodda mellanhänder

BlackCat, även känt som ALPHV, fungerar som en ransomware-as-a-service-grupp (RaaS), vilket innebär att de licensierar ut sin skadliga programvara och infrastruktur till affiliates som utför attacker och delar på vinsten. Denna affärsmodell har alltid byggt på att nätverk av människor som är villiga att samarbeta för en del av intäkterna, från initiala åtkomstmäklare som säljer stulna inloggningsuppgifter till affiliates som distribuerar den faktiska krypteringsnyttolasten. En komprometterad eller medskyldig förhandlare är helt enkelt den logiska förlängningen av det nätverket: någon inbäddad i det legitima incidenthanteringsekosystemet som kan dela underrättelser som ligan aldrig skulle kunna få tag på själv.

Det är just därför detta fall är betydelsefullt bortom själva BlackCat. Ransomwareligor förstår alltmer att den svagaste länken i en intrångsrespons inte alltid är en brandvägg eller en opatchad server. Det kan vara en person, och specifikt en person som offret har valt att lita på under den mest stressande stunden i en säkerhetsincident. Samma princip om att utnyttja förtroende och åtkomst syns över hela landskapet av ransomware och datautpressning, inklusive i incidenter som ShinyHunters intrång i Europarådets HR-system, där angripare återigen visade hur effektivt kriminella grupper kan dra nytta av intern åtkomst när de väl hittar en väg in.

Varför detta utökar angreppsytan för intrångsoffer

De flesta organisationer tänker på risken för ransomware i termer av sitt eget nätverk: endpoints, servrar, säkerhetskopior, utbildning av anställda. Långt färre tänker på risken som introduceras av de leverantörer och konsulter de tar in efter att en attack redan har startat. Men en förhandlare, liksom en forensisk utredare eller en intrångscoach, har ofta tillgång till några av de mest känsliga uppgifter ett företag har under en kris: lösensumman offret är berett att betala, vilka data som faktiskt stals, och hur desperat organisationen är att undvika offentliggörande.

När denna åtkomst missbrukas förvärras skadan. Offren förlorar inte bara pengar till själva lösensumman, de förlorar allt inflytande de hade i förhandlingarna, eftersom ligan redan känner till deras slutbud innan samtalen ens börjar. Detta fall är en påminnelse om att leverantörskedjan för incidenthantering förtjänar samma granskning som vilken annan leverantörsrelation som helst, och att förtroende i en kris aldrig ska tas för givet bara för att någon har rätt titel.

Hur man granskar incidenthanterare och förhandlare innan en kris inträffar

Den bästa tiden att granska en ransomware-förhandlare eller incidenthanteringsfirma är innan en attack inträffar, inte under en, när tidspress gör noggrann due diligence nästan omöjlig. Organisationer kan vidta flera konkreta åtgärder:

  • Bekräfta firmans meritlista och begär referenser från tidigare klienter som har upplevt liknande incidenter.
  • Fråga hur firman granskar sin egen personal, inklusive bakgrundskontroller och interna kontroller för vem som kan få tillgång till förhandlingsdetaljer.
  • Kräv dokumenterade, verifierbara kommunikationsloggar under varje förhandling, istället för att enbart förlita sig på en enda kontaktperson.
  • Involvera externt juridiskt ombud eller en andra säkerhetsrådgivare för att oberoende verifiera större beslut, såsom lösensummor eller betalningstidpunkt.
  • Bygg upp dessa leverantörsrelationer och kontrakt i förväg, som en del av en incidenthanteringsfördröjning, istället för att försöka hitta hjälp mitt under en pågående incident.

Vad detta betyder för dig

Om din organisation har en plan för hantering av ransomware är detta fall ett bra tillfälle att se över vem som faktiskt ingår i den planen och hur väl du känner dem. Ett insiderhot från en ransomware-förhandlare är sällsynt, men konsekvenserna är tillräckligt allvarliga för att en måttlig mängd förebyggande granskning ska vara värd ansträngningen. Samma logik gäller för alla tredjeparter med privilegierad tillgång under ett intrång: forensiska utredare, juridiska ombud och PR-byråer förtjänar samma granskning som du skulle tillämpa på en ny programvaruleverantör.

Viktiga slutsatser

  • Granska incidenthanterings- och förhandlingsfirmor innan en kris, inklusive bakgrundskontroller av personal och referenser.
  • Kräv dokumenterade och verifierbara loggar över alla förhandlingar om lösensumma istället för att förlita sig på en enda betrodd individ.
  • Behandla tredjepartsinsatser som en del av din angreppsyta, inte bara ditt försvar.
  • Håll dig informerad om hur ransomware- och utpressningsgrupper utnyttjar förtroende i varje steg av ett intrång, från initial åtkomst till slutlig förhandling.