En uppsättning interna konversationer från Silent Ransom Group (SRG) har analyserats av hotunderrättelseföretaget KELA, och de läckta chattarna från Silent Ransom Group ger en sällsynt inblick i hur en modern utpressningsgrupp tänker och arbetar. Detaljerna är viktiga för stora företag, men de är också viktiga för små organisationer och privatpersoner vars konton och data kan komma att användas som påtryckningsmedel.

Det här inlägget håller sig till det som KELA-analysen tillgängliggör. Den publicerade sammanfattningen är kortfattad, så där detaljer saknas i källan säger vi det i stället för att gissa.

Vilka Silent Ransom Group är

SRG är en utpressningsgrupp. Enligt KELA:s rapport fortsätter grupper som den att existera eftersom modellen fungerar och är svår att utrota, och den uthålligheten är en del av det som gör dem farliga. Analysen ställer också frågan om amerikanska organisationer är mer av ett mål än andra, vilket tyder på att offrens geografi är en av de frågor som de läckta konversationerna hjälper till att besvara.

Den viktigaste punkten är affärsmodellen. I stället för att enbart förlita sig på att låsa filer med kryptering fokuserar grupper i den här kategorin på att få åtkomst, ta data och sedan utöva påtryckningar. Det tillvägagångssättet sänker den tekniska tröskeln och flyttar kampen från system till människor och rykten.

Vad de läckta chattarna avslöjar om hur de arbetar

KELA-analysen, som bygger på de läckta interna chattarna, går igenom hur gruppen bygger upp sin ransomware- och utpressningsverksamhet. Den vinkel som är mest relevant för vardagliga läsare är beroendet av telefonbaserat IT-utgivande. I den här typen av attack ringer någon till en anställd och utger sig för att vara från helpdesken och guidar dem sedan till att lämna ut åtkomst eller godkänna något de inte borde.

Vi har behandlat den här taktiken mer ingående i vår artikel om IT-utgivningsbedrägeri via helpdesk, som tittar på hur bedrägeriet är organiserat bakom kulisserna. Den är värd att läsa om du vill ha de operativa detaljerna.

Det övergripande mönstret är att stulen data, inte krypterade filer, blir påtryckningspunkten. Offer kan kanske återställa system från säkerhetskopior och ändå möta hotet om läckt information. Det är samma förskjutning som beskrivs i vår rapportering om hur ransomware hoppar över kryptering och ändå får betalt.

Varför stulna inloggningsuppgifter och data spelar roll för personlig integritet

Det är lätt att läsa en sådan här historia som ett företagsproblem. Men data som en grupp som SRG stjäl tillhör ofta vanliga människor: kunder, patienter, anställda och klienter. Ett enda lyckat telefonsamtal till en anställd kan exponera register som innehåller namn, kontaktuppgifter och kontoinformation.

För privatpersoner visar sig risken på några olika sätt:

  • Din information kan finnas hos en organisation som blir måltavla, även om du aldrig gjort något fel.
  • Inloggningsuppgifter som återanvänds mellan tjänster kan göra en exponering till flera.
  • Utpressningsmeddelanden kan riktas direkt till dig när dina uppgifter väl är i kriminella händer.

Ett VPN stoppar inget av detta. Det krypterar din trafik och maskerar din IP-adress, men det kan inte hindra någon från att prata med en helpdeskanställd så att de lämnar ut åtkomst, eller stoppa en tredje part från att läcka data de har om dig. Försvaret som spelar roll här är vanor och kontohygien.

Praktiska steg för att minska din exponering

Du kan inte kontrollera hur varje organisation skyddar dina data, men du kan begränsa skadan och göra dig själv och din arbetsplats till svårare mål.

Verifiera innan du litar på en uppringare. Om någon påstår sig vara IT-support, lägg på och kontakta helpdesken via ett nummer du redan känner till. Legitim support har inget emot det. Var särskilt vaksam mot förfrågningar om att installera programvara, godkänna en inloggningsprompt eller läsa upp en kod.

Skärp multifaktorautentiseringen. Aktivera MFA överallt där det erbjuds, och föredra appbaserade eller hårdvarubaserade metoder framför textmeddelanden där det är möjligt. Godkänn aldrig en prompt som du inte själv har utlöst.

Använd unika lösenord. En lösenordshanterare gör detta realistiskt. Om ett konto exponeras håller unika lösenord problemet begränsat.

Håll säkerhetskopior testade och offline. Säkerhetskopior hjälper om filer krypteras, men kom ihåg att de inte gör något mot datastöld. Behandla dem som ett lager, inte hela planen.

Begränsa vad du delar. Ju mindre personliga data en organisation har om dig, desto mindre finns det att läcka. Tänk efter två gånger innan du lämnar ut valfria uppgifter.

För små organisationer: skriv ner en verifieringsrutin för helpdesken, till exempel en återringsregel eller ett gemensamt kodord, och se till att varje anställd känner till den. Utbilda personalen i att brådska är en vanlig manipulationstaktik.

Vad detta innebär för dig

De läckta chattarna från Silent Ransom Group är en påminnelse om att många attacker börjar med ett samtal, inte med en skadlig programvara. Oavsett om du driver ett litet kontor eller bara har konton hos många företag är de mest användbara försvaren lågteknologiska: bekräfta identiteter, skydda inloggningar med stark MFA och utgå från att data som andra har kan komma att exponeras så småningom.

Viktiga slutsatser

  • Granska din rutin för säkerhetskopiering och kom ihåg att säkerhetskopior inte skyddar mot stulen data.
  • Granska dina MFA-inställningar och ersätt svaga metoder där du kan.
  • Sätt upp eller se över vanor för verifiering av helpdesken, hemma och på jobbet.
  • För djupare sammanhang, läs vår bevakning av IT-utgivningsbedrägeri via helpdesk och förskjutningen mot utpressning enbart via datastöld.

Några minuter som läggs på dessa kontroller nu är långt billigare än att hantera ett utpressningsmeddelande senare.