Група під назвою WhiteArmor привертає увагу дослідників безпеки кампанією тиску, спрямованою на глобальні логістичні компанії. Згідно з вихідним звітом, група висуває вимоги про викуп у розмірі п'яти мільйонів доларів і публікує жертв на сайтах зливів у мережі Tor. Дослідники також кажуть, що група заявляє, ніби її шифрувальник майже готовий. Ця деталь важлива, оскільки вона свідчить, що вимагання логістичних даних через ransomware WhiteArmor незабаром може перейти від чистого викрадення даних до чогось більш руйнівного.

Джерельний матеріал обмежений, і багато деталей про конкретних жертв та обсяг викрадених даних залишаються непідтвердженими. Нижче наведено те, про що повідомлялося, що це може означати та що пересічні люди можуть із цим зробити.

Як працює модель вимагання WhiteArmor

Згідно зі звітом, WhiteArmor поводиться не як традиційний оператор ransomware. Замість того щоб спершу блокувати системи, група зосередилася на викраденні даних, а потім на тиску на жертв із вимогою сплатити.

Група діє через сайти зливів у мережі Tor. Жертви публікуються публічно разом із таймерами зворотного відліку та вимогами про викуп. Структура покликана створювати відчуття терміновості: цокаючий годинник, названа компанія та цінник. Сума в п'ять мільйонів доларів — це вимога, про яку повідомлялося у зв'язку з логістичними цілями.

Важливо ставитися до цих переліків як до заяв. Ім'я на сайті зливів показує те, що кримінальна група каже, ніби вона зробила, а не те, що було незалежно підтверджено. Розміщення Whirlpool на сайті зливів WhiteArmor — корисний приклад того, як такі записи виглядають і чому ми відокремлюємо заяву про вимагання від перевірених фактів.

Від викрадення даних до подвійного вимагання: що означає шифрувальник

Дослідники безпеки, на яких посилається звіт, кажуть, що WhiteArmor заявляє, ніби її шифрувальник майже готовий. Якщо це правда, це свідчило б про ескалацію від чистого викрадення даних до тактики подвійного вимагання.

Подвійне вимагання поєднує дві загрози. Зловмисники викрадають дані й погрожують їх опублікувати, а потім ще й шифрують системи, щоб жертва не могла нормально працювати. Сплата в будь-якому разі стає важче обґрунтованою: ключ дешифрування не гарантує, що викрадені дані буде видалено.

Для логістичних компаній додатковий тиск очевидний. Доставка та вантажоперевезення залежать від постійної координації, тому простій може поширюватися на постачальників, перевізників і клієнтів. Група, яка має і сайт зливів, і робочий шифрувальник, мала б більше важелів впливу, ніж та, що покладається лише на дані. Зауважте, що заява про шифрувальник походить від самої групи в переказі дослідників, тому до неї слід ставитися обережно, доки її не буде підтверджено.

Що логістичні злами можуть розкрити про споживачів

Логістичні компанії зберігають інформацію, яку легко не помітити. Залежно від компанії та задіяних систем, платформи доставки й відправлення можуть обробляти імена, адреси, номери телефонів, електронні адреси та відомості про те, що надсилається й отримується. Джерельний звіт не уточнює, які саме споживчі дані взяла WhiteArmor, тому читачам не слід припускати якийсь конкретний витік. Але загальну категорію даних варто розуміти.

Така інформація корисна для шахраїв. Злочинець, який знає ваше ім'я, адресу та очікувану доставку, може скласти переконливе фальшиве повідомлення про пропущену посилку або митний збір. Навіть часткові дані можуть зробити фішинг особистим.

Що це означає для вас

Більшість людей ніколи не матимуть справи з WhiteArmor безпосередньо. Ваш ризик виникає опосередковано, через компанії, які обробляють ваші відправлення. Ви можете навіть не знати, яка логістична фірма стоїть за конкретною доставкою, оскільки вантажні брокери та сторонні постачальники часто працюють за retailer'ом, у якого ви насправді замовили.

Практичний ризик стосується менше ваших пристроїв і більше подальшого шахрайства: фішингових SMS, фальшивих повідомлень про доставку та спроб захоплення акаунтів, які використовують злиті деталі, щоб виглядати легітимно. VPN не зупиняє злам у компанії, яка зберігає ваші дані, тому корисні засоби захисту тут — це гігієна акаунтів і скептицизм.

Кроки для захисту ваших акаунтів і персональних даних

  • Перегляньте акаунти доставки та відправлення. Перевірте, які перевізники, маркетплейси та retailer'и зберігають вашу адресу та платіжні дані, і видаліть акаунти, якими ви більше не користуєтеся.
  • Використовуйте надійні унікальні паролі. Менеджер паролів робить це реальним. Саме повторне використання перетворює один злам на кілька.
  • Увімкніть двофакторну автентифікацію. Віддавайте перевагу застосунку-автентифікатору або апаратному ключу замість SMS, де сервіс це дозволяє.
  • Ставтеся до повідомлень про доставку з підозрою. Не переходьте за посиланнями в несподіваних SMS або електронних листах про посилки. Заходьте безпосередньо в офіційний застосунок або на сайт перевізника й самі вводьте номер відстеження.
  • Стежте за нетиповою активністю. Перевіряйте платіжні картки та електронні акаунти на предмет незнайомих списань або сповіщень про вхід.
  • Обмежуйте те, чим ви ділитеся. Де можливо, уникайте збереження платіжних даних у сервісах доставки й використовуйте лише ту інформацію, яка справді потрібна для доставки.

Головні висновки

Кампанія вимагання логістичних даних через ransomware WhiteArmor показує, як публічні сайти зливів, таймери зворотного відліку та великі вимоги про викуп використовуються, щоб змусити до сплати, і як заявлений шифрувальник міг би ще підвищити ставки. Багато конкретних деталей залишаються непідтвердженими, тому обережність щодо як заяв групи, так і будь-яких припущень про витік є виправданою.

Найкраща відповідь — діяти щодо того, що ви контролюєте. Перегляньте свої акаунти доставки та відправлення вже сьогодні, перейдіть на надійні унікальні облікові дані та увімкніть двофакторну автентифікацію. Щоб конкретно побачити, як з'являється розміщення WhiteArmor і що залишається непідтвердженим, прочитайте наш розбір розміщення на сайті зливів Whirlpool.