ปฏิบัติการแรนซัมแวร์รายใหม่กำลังยื่นข้อเสนอเชิงรุกแก่ผู้ที่อาจกลายเป็นอาชญากร จากรายงานของ eSecurity Planet ระบุว่า Dark Project เสนอส่วนแบ่ง 80% ของค่าไถ่ให้กับพันธมิตร และอ้างว่ามีเหยื่อแล้ว 38 ราย โมเดลพันธมิตรของ Dark Project แรนซัมแวร์เป็นเครื่องเตือนใจว่าเศรษฐศาสตร์ของการข่มขู่กรรโชกยังคงเปลี่ยนแปลงไปในทางที่เป็นประโยชน์ต่อผู้โจมตี และคนทั่วไปมักรู้สึกถึงผลกระทบเมื่อองค์กรที่ถือข้อมูลของพวกเขาตกเป็นเป้าโจมตี
บทความนี้ครอบคลุมสิ่งที่ทราบจากรายงาน เหตุใดโครงสร้างการจ่ายเงินจึงมีความสำคัญ และสิ่งที่ทั้งองค์กรและบุคคลสามารถทำได้ เนื้อหาต้นฉบับมีไม่มาก所以我们จึงยึดตามสิ่งที่ยืนยันได้: ส่วนแบ่งพันธมิตร 80% และการอ้างว่ามีเหยื่อ 38 ราย
การจ่ายเงินพันธมิตร 80% ของ Dark Project ทำงานอย่างไร
Dark Project ใช้โมเดลแรนซัมแวร์-as-a-service (RaaS) ในรูปแบบ RaaS กลุ่มแกนหลักจะสร้างและดูแลมัลแวร์และโครงสร้างพื้นฐานโดยรอบ พันธมิตรซึ่งเป็นผู้ปฏิบัติการแยกต่างหากจะดำเนินการบุกรุกและพยายามข่มขู่กรรโชกจริง เมื่อเหยื่อจ่ายเงิน เงินจะถูกแบ่งระหว่างสองฝ่าย
ในกรณีนี้ การแบ่งตามรายงานให้พันธมิตรได้รับ 80% ของค่าไถ่แต่ละครั้ง ผู้ปฏิบัติการเก็บส่วนที่เหลือ ตัวเลขเหยื่อ 38 รายเป็นการอ้างสิทธิ์ของกลุ่ม ซึ่งหมายความว่าควรถือว่ายังไม่ได้รับการยืนยันจนกว่าจะได้รับการยืนยันจากองค์กรที่เกี่ยวข้องหรือนักวิจัยอิสระ
การแบ่งแยกแรงงานคือจุดสำคัญของโมเดลนี้ นักพัฒนามุ่งเน้นไปที่เครื่องมือ เว็บไซต์รั่วไหล และโครงสร้างพื้นฐานการเจรจา พันธมิตรมุ่งเน้นไปที่การเจาะระบบ แต่ละฝ่ายทำงานน้อยกว่าทีมที่เป็นอิสระเต็มรูปแบบ ซึ่งเป็นเหตุผลที่โมเดลนี้แพร่หลายอย่างกว้างขวาง สำหรับมุมมองเชิงลึกเกี่ยวกับวิธีการดำเนินงานของกลุ่มที่-established ภายใต้แนวทางนี้ โปรดดูโปรไฟล์แรนซัมแวร์ BlackCat/ALPHV ของเรา
เหตุใดการแบ่ง RaaS ที่ใจกว้างจึงลดอุปสรรคต่อการข่มขู่กรรโชก
เปอร์เซ็นต์พันธมิตรที่สูงเป็นเครื่องมือในการสรรหาบุคลากร กลุ่มใหม่ๆ ต้องแข่งขันกับแบรนด์ที่-established เพื่อดึงดูดผู้บุกรุกที่มีทักษะ และส่วนแบ่งที่ใหญ่ขึ้นเป็นวิธีหนึ่งในการดึงดูดพวกเขา ส่วนแบ่ง 80% ทำให้ข้อเสนอมีความน่าสนใจทางการเงินสำหรับใครก็ตามที่สามารถเข้าถึงเครือข่ายได้
นอกจากนี้ยังมีผลด้านทักษะ เนื่องจากแพลตฟอร์มจัดหาเครื่องมือเข้ารหัสและโครงสร้างพื้นฐานการรั่วไหล พันธมิตรจึงไม่จำเป็นต้องเขียนมัลแวร์หรือดำเนินการเจรจา สิ่งนี้ลดมาตรฐานทางเทคนิคและขยายกลุ่มคนที่สามารถพยายามโจมตีได้
ผลลัพธ์คือการพยายามโจมตีที่มากขึ้น กระจายไปยังเป้าหมายที่มากขึ้น รวมถึงองค์กรที่ถือบันทึกข้อมูลอ่อนไหวเกี่ยวกับผู้คนแต่มีงบประมาณด้านความปลอดภัยจำกัด รูปแบบนี้ปรากฏให้เห็นในเหตุการณ์ต่างๆ เช่น การโจมตีแรนซัมแวร์ต่อองค์กรไม่แสวงหากำไรที่ให้บริการผู้รอดชีวิตจากการค้ามนุษย์ ซึ่งความสำคัญไม่ได้มาจากความซับซ้อนทางเทคนิคมากนัก แต่มาจากผู้ที่ได้รับผลกระทบ
สิ่งที่องค์กรควรตรวจสอบและเสริมความแข็งแกร่ง
เนื่องจากพันธมิตรเป็นผู้ที่บุกรุก ผู้ป้องกันควรเน้นไปที่เส้นทางทั่วไปในการเข้าสู่เครือข่ายมากกว่าการสร้างแบรนด์ของกลุ่มใดกลุ่มหนึ่ง ลำดับความสำคัญในทางปฏิบัติ包括:
- การเข้าถึงระยะไกล: ตรวจสอบ VPN, รีโมทเดสก์ท็อป และบริการอื่นๆ ที่เปิดเผยต่อภายนอก บังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยและแพตช์อย่างทันท่วงที
- ข้อมูลรับรอง: เฝ้าระวังการเข้าสู่ระบบที่ผิดปกติ รหัสผ่านที่ใช้ซ้ำ และบัญชีที่มีสิทธิ์เกินความจำเป็น
- การเคลื่อนย้ายข้อมูล: ตรวจสอบการถ่ายโอนข้อมูลออกขนาดใหญ่หรือที่ไม่คาดคิด เนื่องจากการโจมตีสมัยใหม่มักเกี่ยวข้องกับการขโมยข้อมูลก่อนที่จะเข้ารหัสสิ่งใดๆ
- การสำรองข้อมูล: เก็บสำเนาแบบออฟไลน์หรือแบบที่ไม่สามารถเปลี่ยนแปลงได้ และทดสอบการกู้คืนอย่างสม่ำเสมอ การสำรองข้อมูลช่วยในการกู้คืน แต่ไม่ได้ย้อนกลับการขโมยข้อมูล คำอธิบายการข่มขู่กรรโชกซ้ำสอง ของเราอธิบายเหตุผล
- การตรวจสอบเว็บไซต์รั่วไหล: ติดตามว่าองค์กรหรือผู้ขายของคุณปรากฏบนเว็บไซต์ข่มขู่กรรโชกหรือไม่ เพื่อให้คุณสามารถดำเนินการได้ตั้งแต่เนิ่นๆ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คนส่วนใหญ่จะไม่ตกเป็นเป้าโดยตรงของพันธมิตร RaaS การเปิดเผยเกิดขึ้นทางอ้อม: นายจ้าง บริษัทประกัน ผู้ให้บริการด้านสุขภาพ หรือสายการบินถือข้อมูลของคุณ และองค์กรนั้นถูกโจมตี เมื่อกลุ่มข่มขู่กรรโชกเผยแพร่ไฟล์ที่ถูกขโมย ข้อมูลสามารถแพร่กระจายได้อย่างกว้างขวาง ดังเช่นในการรั่วไหลของบันทึกนักเดินทางสนามบินสหราชอาณาจักร 8.7 ล้านรายการ
หากบริการที่คุณใช้ตกเป็นเป้า โปรดพิจารณาขั้นตอนเหล่านี้:
- อ่านประกาศอย่างเป็นทางการอย่างละเอียด สังเกตประเภทของข้อมูลที่เกี่ยวข้องและมาตรการป้องกันที่เสนอ เช่น การติดตามเครดิต
- เปลี่ยนรหัสผ่าน สำหรับบริการนั้น และสำหรับบัญชีอื่นใดที่คุณใช้รหัสผ่านซ้ำ ใช้ตัวจัดการรหัสผ่านเพื่อสร้างรหัสผ่านที่ไม่ซ้ำกัน
- เปิดใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย ทุกที่ที่มีให้ใช้
- ระวังฟิชชิ่ง ข้อมูลติดต่อที่ถูกขโมยมักถูกใช้สำหรับการหลอกลวงติดตามผลที่น่าเชื่อถือซึ่งอ้างถึงการละเมิดข้อมูล อย่าคลิกลิงก์ในข้อความที่ไม่คาดคิด ไปที่เว็บไซต์ขององค์กรโดยตรง
- ติดตามบัญชีทางการเงิน และพิจารณาการอายัดเครดิตหากข้อมูลระบุตัวตน เช่น หมายเลขประกันสังคม ถูกเปิดเผย
- เก็บบันทึก ของประกาศและกิจกรรมที่น่าสงสัยใดๆ
บทสรุป
โมเดลพันธมิตรของ Dark Project แรนซัมแวร์แสดงให้เห็นแนวโน้มที่ยั่งยืน: เมื่อการแบ่งรายได้เอื้อประโยชน์ต่อผู้ที่ทำการบุกรุก ผู้คนจำนวนมากขึ้นก็ยินดีที่จะลอง เหยื่อ 38 รายที่อ้างนั้นยังไม่ได้รับการยืนยัน แต่โครงสร้างเบื้องหลังคือสิ่งที่สำคัญ องค์กรควรเสริมความแข็งแกร่งจุดเข้าถึงและเฝ้าระวังการขโมยข้อมูล และบุคคลควรพร้อมที่จะดำเนินการอย่างรวดเร็วเมื่อบริษัทที่พวกเขาไว้วางใจเปิดเผยการละเมิดข้อมูล
เพื่อทำความเข้าใจว่าทำไมการกู้คืนจากข้อมูลสำรองจึงไม่หยุดการข่มขู่กรรโชกสมัยใหม่ โปรดอ่านคำอธิบายการข่มขู่กรรโชกซ้ำสอง ของเรา เพื่อดูว่าข้อมูลที่ถูกขโมยสามารถหมายถึงอะไรสำหรับผู้คนจริงๆ โปรดอ่านรายงานของเราเกี่ยวกับการละเมิดข้อมูลแรนซัมแวร์ Beacon Mutual
