Розслідування кіберзлочинності пов’язало адміністратора програми-вимагача Qilin з Олексієм Михайловичем Яковцевим, 36-річним чоловіком, який мешкає в Санкт-Петербурзі, Росія. Оскільки адміністратора програми-вимагача Qilin ідентифіковано за іменем, віком і містом, ця історія є рідкісним викриттям у тій царині кіберзлочинності, де оператори зазвичай ховаються за псевдонімами. Вона також порушує практичне питання: що означає назване ім’я для жертв і що можуть зробити звичайні люди та малі організації проти вимагання на основі викрадення даних?

Спершу зауваження про обережність. Наразі повідомлення коротке, і деталі походять із висновків розслідування, а не з рішення суду. Цей зв’язок слід читати як атрибуцію, а не як доведений юридичний висновок.

Адміністратора програми-вимагача Qilin ідентифіковано: на кого вказує розслідування

Згідно зі статтею, розслідування пов’язує адміністратора Qilin з Олексієм Михайловичем Яковцевим, якому 36 років і який мешкає в Санкт-Петербурзі, Росія. Це весь обсяг того, що підтверджує джерело. Воно не описує, як слідчі дійшли цього висновку, які докази його підтверджують або чи вживав якийсь правоохоронний орган заходів.

Ця прогалина має значення. Атрибуція в кіберзлочинності часто будується з суміші витоків чатів, слідів інфраструктури та операційних помилок, і сила кожної ланки різна. Доки не буде опубліковано більше або доки якийсь орган не підтвердить висновок, ставтеся до імені як до заявленої версії. За оновленнями варто стежити, але не слід вважати це остаточно встановленим.

Як угруповання програм-вимагачів, як-от Qilin, атакують жертв

У вихідній статті не деталізуються методи Qilin, тому корисно пояснити, як зазвичай працює сучасне вимагання через програми-вимагачі. Багато груп більше не покладаються лише на блокування файлів. Вони спершу копіюють конфіденційні дані з мережі жертви, потім шифрують системи, а далі тиснуть на жертву двома погрозами: заплатити за ключ розшифрування й заплатити, щоб викрадені дані не були опубліковані на сайті витоків.

Саме через цю модель подвійного вимагання резервні копії самі по собі не є повним захистом. Навіть якщо організація відновить усе з чистої копії, викрадені дані все одно залишаються в руках злочинців. Клієнти, пацієнти, працівники та партнери можуть опинитися під загрозою, навіть якщо вони ніколи не взаємодіяли з нападниками.

Багато операцій із програмами-вимагачами також працюють як послуга. Основна команда підтримує шкідливе програмне забезпечення та інфраструктуру, тоді як афіліати здійснюють вторгнення. Якщо ви хочете побачити, як цей розподіл праці виглядає зсередини, наш звіт про відкритий сервер, пов’язаний з афіліатами програм-вимагачів INC і The Gentlemen пропонує рідкісний погляд на те, як злочинці насправді працюють щодня.

Що змінює викриття, а що ні

Прив’язка імені й міста до адміністратора може мати значення, але сама по собі вона рідко припиняє операцію. Ось реалістичний погляд на вплив.

Що це може змінити:

  • Це підвищує особистий ризик для названої особи, зокрема обмеження на подорожі, санкції або увагу слідства.
  • Це може зробити афіліатів і партнерів обережнішими щодо довіри до операції.
  • Це дає захисникам і слідчим ще одну нитку, за яку можна потягнути, зіставляючи інфраструктуру й грошові потоки.

Що це зазвичай не змінює:

  • Наявним жертвам це автоматично не допомагає. Викрадені дані, які вже злили, залишаються злитими.
  • Шкідливе програмне забезпечення й тактики не зникають. Афіліати, інструменти та сценарії можуть перейти до інших брендів.
  • Особу, яка мешкає в Росії, іноземним органам може бути важко дістати, тож арешт не гарантований. У статті не повідомляється про жоден арешт.

Коротко кажучи, ідентифікація — це точка тиску, а не вимкнення. Ваш захист не повинен залежати від зникнення однієї групи.

Що це означає для вас

Більшість людей ніколи не стануть безпосередньою ціллю переговорів угруповання програм-вимагачів, але багато хто постраждає від них. Ваші дані зберігаються в лікарнях, роздрібних мережах, роботодавців, школах і постачальників послуг. Коли когось із них атакують вимаганням через викрадення даних, ваша інформація може опинитися у витоці.

Це означає дві речі. По-перше, ви не можете повністю контролювати, чи буде зламано компанію, якою ви користуєтеся. По-друге, ви можете контролювати, якої шкоди завдадуть вам викрадені дані. Унікальні паролі, багатофакторна автентифікація та обережне ставлення до неочікуваних повідомлень обмежують те, що нападник може зробити з викраденими даними. Якщо ви керуєте малим бізнесом або керуєте пристроями домогосподарства, ті самі базові заходи стосуються і ваших власних систем.

Практичні кроки, щоб зменшити вашу схильність до програм-вимагачів

Жоден із цих кроків не є чимось екзотичним, і разом вони суттєво знижують ризик.

  1. Тримайте офлайн- або незмінні резервні копії. Зберігайте принаймні одну копію від’єднаною від вашої мережі, щоб програма-вимагач не могла її зашифрувати. Періодично перевіряйте відновлення з неї.
  2. Увімкніть багатофакторну автентифікацію. Насамперед для електронної пошти, банківських сервісів, хмарного сховища та будь-яких інструментів віддаленого доступу. Де можливо, надавайте перевагу застосункам-автентифікаторам або апаратним ключам над SMS.
  3. Використовуйте менеджер паролів і унікальні паролі. Якщо один сервіс зазнає витоку, повторно використані облікові дані не повинні відкривати доступ до ваших інших акаунтів.
  4. Своєчасно встановлюйте оновлення. Оновлюйте операційні системи, браузери, маршрутизатори та бізнес-програмне забезпечення щойно з’являються виправлення.
  5. Ставтеся скептично до небажаних повідомлень. Фішинг залишається поширеним способом потрапити в мережу. Перевіряйте неочікувані запити через окремий канал.
  6. Обмежуйте те, що ви зберігаєте й поширюєте. Дані, які вам більше не потрібні, — це дані, які не можна викрасти. Видаляйте старі файли та закривайте невикористані акаунти.
  7. Захищайте конфіденційні комунікації. Використовуйте наскрізно зашифровані месенджери для приватних розмов і надійний VPN у ненадійних мережах, як-от публічний Wi-Fi. VPN не зупиняє програми-вимагачі, але зменшує схильність до підслуховування з’єднання.

Головне

Ідентифікований у цьому розслідуванні адміністратор програми-вимагача Qilin — помітна подія, але повідомлення все ще тонке, а практичний вплив на жертв обмежений. Вимагання через програми-вимагачі залежить від викрадених даних, слабких контролів доступу та непідготовлених цілей, і ці умови зберігаються незалежно від того, хто стоїть за певним брендом.

Скористайтеся цим моментом, щоб зміцнити власне налаштування: робіть офлайн-резервні копії, увімкніть MFA на ключових акаунтах і перенесіть приватні розмови в зашифровані канали. Щоб отримати ще один рідкісний погляд зсередини того, як діють афіліати програм-вимагачів, прочитайте наш матеріал про виявлення SOCRadar відкритого сервера, пов’язаного з атаками INC і The Gentlemen, і заглядайте сюди за оновленнями, якщо атрибуцію Qilin буде підтверджено або оскаржено.