En ny ransomware-operation gör en aggressiv satsning mot blivande kriminella. Enligt rapportering från eSecurity Planet erbjuder Dark Project partner 80 % av utpressningsbetalningarna och hävdar 38 offer hittills. Dark Projects partner-modell för ransomware är en påminnelse om att utpressningens ekonomi fortsätter att förskjutas till angriparnas fördel, och att vanliga människor ofta drabbas när en organisation som håller deras data utsätts.

Det här inlägget täcker vad som är känt från rapporteringen, varför utbetalningsstrukturen spelar roll, och vad både organisationer och privatpersoner kan göra. Källmaterialet är kortfattat, så vi håller oss till det som bekräftas: 80 %-andelen till partner och påståendet om 38 offer.

Hur Dark Projects 80 %-utbetalning till partner fungerar

Dark Project följer modellen ransomware-as-a-service (RaaS). I ett RaaS-upplägg bygger och underhåller en kärngrupp skadlig kod och infrastrukturen runt den. Partner, som är separata operatörer, genomför de faktiska intrången och utpressningsförsöken. När ett offer betalar delas pengarna mellan de två sidorna.

Här ger den rapporterade fördelningen partner 80 % av varje utpressningsbetalning. Operatörerna behåller resten. Siffran 38 offer är ett påstående från gruppen, vilket innebär att den bör betraktas som overifierad tills den bekräftats av de inblandade organisationerna eller oberoende forskare.

Arbetsfördelningen är själva poängen med modellen. Utvecklarna fokuserar på verktyg, läcksajter och förhandlingsinfrastruktur. Partner fokuserar på att ta sig in. Varje sida gör mindre arbete än en helt fristående grupp skulle göra, vilket är anledningen till att modellen har spridits så brett. För en djupare titt på hur en etablerad grupp har arbetat enligt detta tillvägagångssätt, se vår BlackCat/ALPHV-ransomware-profil.

Varför generösa RaaS-fördelningar sänker tröskeln till utpressning

En hög partnerprocent är ett rekryteringsverktyg. Nyare grupper måste konkurrera om skickliga intrångsaktörer mot etablerade varumärken, och en större andel är ett sätt att locka dem. En 80 %-andel gör erbjudandet ekonomiskt attraktivt för alla som kan få åtkomst till ett nätverk.

Det finns också en kompetenseffekt. Eftersom plattformen tillhandahåller krypteringsverktygen och läckinfrastrukturen behöver en partner inte skriva skadlig kod eller driva en förhandlingsoperation. Det sänker den tekniska ribban och breddar poolen av personer som kan försöka sig på en attack.

Resultatet är fler försök, spridda över fler mål, inklusive organisationer som håller känsliga register om människor men har begränsade säkerhetsbudgetar. Mönstret syns i incidenter som ransomware-attacken mot en ideell organisation som hjälper överlevande av människohandel, där betydelsen kom mindre från teknisk sofistikering än från vem som drabbades.

Vad organisationer bör övervaka och härda

Eftersom det är partnerna som tar sig in bör försvarare fokusera på de vanliga vägarna in i ett nätverk snarare än på någon enskild grupps varumärke. Praktiska prioriteringar inkluderar:

  • Fjärråtkomst: Granska VPN, fjärrskrivbord och andra externt exponerade tjänster. Tvinga fram flerfaktorsautentisering och lappa snabbt.
  • Inloggningsuppgifter: Håll utkik efter ovanliga inloggningar, återanvända lösenord och konton med överdrivna privilegier.
  • Dataförflyttning: Övervaka stora eller oväntade utgående överföringar, eftersom moderna attacker vanligtvis innebär att data stjäls innan något krypteras.
  • Säkerhetskopior: Behåll offline- eller oföränderliga kopior och testa återställning regelbundet. Säkerhetskopior hjälper till med återställning, men de ångrar inte datastöld. Vår förklaring om dubbel utpressning förklarar varför.
  • Övervakning av läcksajter: Spåra om din organisation eller leverantörer dyker upp på utpressningssajter, så att du kan agera tidigt.

Vad detta innebär för dig

De flesta människor kommer aldrig att vara det direkta målet för en RaaS-partner. Exponeringen kommer indirekt: en arbetsgivare, försäkringsgivare, vårdgivare eller ett flygbolag håller dina data, och den organisationen attackeras. När utpressningsgrupper publicerar stulna filer kan informationen spridas brett, som i läckan av 8,7 miljoner brittiska flygplatsresenärers uppgifter.

Om en tjänst du använder drabbas, överväg dessa steg:

  1. Läs det officiella meddelandet noggrant. Notera vilka kategorier av data som berördes och eventuellt skydd som erbjuds, såsom kreditövervakning.
  2. Byt ditt lösenord för den tjänsten, och för alla andra konton där du återanvänt det. Använd en lösenordshanterare för att skapa unika lösenord.
  3. Aktivera flerfaktorsautentisering där det är tillgängligt.
  4. Var uppmärksam på nätfiske. Stulna kontaktuppgifter används ofta för övertygande uppföljningsbedrägerier som hänvisar till intrånget. Klicka inte på länkar i oväntade meddelanden; gå direkt till organisationens webbplats.
  5. Övervaka finansiella konton och överväg en kreditspärr om identifierare som personnummer exponerats.
  6. Spara dokumentation över meddelanden och eventuell misstänkt aktivitet.

Slutsatsen

Dark Projects partner-modell för ransomware illustrerar en bestående trend: när intäktsfördelningen gynnar personen som gör intrånget är fler villiga att försöka. De 38 offer som hittills hävdats är obekräftade, men strukturen bakom dem är det som spelar roll. Organisationer bör härda åtkomstpunkter och bevaka datastöld, och privatpersoner bör vara beredda att agera snabbt när ett företag de litar på avslöjar ett intrång.

För att förstå varför återställning från säkerhetskopior inte stoppar modern utpressning, läs vår förklaring om dubbel utpressning. För att se vad stulna data kan innebära för verkliga människor, läs vår rapportering om Beacon Mutual-ransomware-intrånget.