Một chiến dịch ransomware mới đang đưa ra lời chào mời hấp dẫn đối với những kẻ tội phạm tiềm năng. Theo báo cáo từ eSecurity Planet, Dark Project cung cấp cho các chi nhánh 80% khoản thanh toán tống tiền và tuyên bố đã có 38 nạn nhân cho đến nay. Mô hình chi nhánh ransomware Dark Project là lời nhắc nhở rằng kinh tế học của hoạt động tống tiền liên tục chuyển dịch theo hướng có lợi cho kẻ tấn công, và rằng những người bình thường thường phải chịu hậu quả khi một tổ chức nắm giữ dữ liệu của họ bị tấn công.
Bài viết này đề cập đến những gì đã biết từ báo cáo, tại sao cơ cấu chi trả lại quan trọng, và cả tổ chức lẫn cá nhân có thể làm gì. Nguồn tài liệu khá ngắn gọn, vì vậy chúng tôi chỉ dựa vào những gì nó xác nhận: tỷ lệ chia sẻ 80% cho chi nhánh và tuyên bố về 38 nạn nhân.
Cách thức chi trả 80% cho chi nhánh của Dark Project hoạt động
Dark Project theo mô hình ransomware-as-a-service (RaaS). Trong một thỏa thuận RaaS, một nhóm nòng cốt xây dựng và duy trì phần mềm độc hại cùng cơ sở hạ tầng xung quanh nó. Các chi nhánh, là những nhà vận hành riêng biệt, thực hiện các cuộc xâm nhập và nỗ lực tống tiền thực tế. Khi nạn nhân trả tiền, số tiền được chia giữa hai bên.
Ở đây, tỷ lệ chia được báo cáo dành cho các chi nhánh 80% mỗi khoản thanh toán tống tiền. Các nhà vận hành giữ phần còn lại. Con số 38 nạn nhân là tuyên bố của nhóm, nghĩa là nó nên được coi là chưa được xác minh cho đến khi được xác nhận bởi các tổ chức liên quan hoặc các nhà nghiên cứu độc lập.
Sự phân chia lao động chính là điểm mấu chốt của mô hình. Các nhà phát triển tập trung vào công cụ, trang rò rỉ và cơ sở hạ tầng đàm phán. Các chi nhánh tập trung vào việc xâm nhập. Mỗi bên làm ít việc hơn so với một nhóm hoàn toàn độc lập, đó là lý do tại sao mô hình này đã lan rộng đến vậy. Để có cái nhìn sâu hơn về cách một nhóm đã hoạt động theo cách tiếp cận này, hãy xem hồ sơ ransomware BlackCat/ALPHV của chúng tôi.
Tại sao tỷ lệ chia RaaS hào phóng lại hạ thấp rào cản tống tiền
Tỷ lệ phần trăm cao cho chi nhánh là một công cụ tuyển dụng. Các nhóm mới hơn phải cạnh tranh để có được những kẻ xâm nhập lành nghề với các thương hiệu đã có tiếng, và phần chia lớn hơn là một cách để thu hút họ. Tỷ lệ 80% khiến lời đề nghị trở nên hấp dẫn về mặt tài chính đối với bất kỳ ai có thể giành được quyền truy cập vào mạng.
Còn có một hiệu ứng về kỹ năng. Vì nền tảng cung cấp công cụ mã hóa và cơ sở hạ tầng rò rỉ, một chi nhánh không cần phải viết phần mềm độc hại hoặc điều hành một hoạt động đàm phán. Điều đó hạ thấp rào cản kỹ thuật và mở rộng nhóm người có thể thử thực hiện một cuộc tấn công.
Kết quả là nhiều nỗ lực hơn, trải rộng trên nhiều mục tiêu hơn, bao gồm các tổ chức nắm giữ hồ sơ nhạy cảm về con người nhưng có ngân sách bảo mật hạn chế. Mô hình này có thể thấy rõ trong các sự cố như cuộc tấn công ransomware nhắm vào một tổ chức phi lợi nhuận phục vụ những người sống sót sau nạn buôn người, nơi tầm quan trọng đến ít từ sự tinh vi kỹ thuật hơn là từ việc ai bị ảnh hưởng.
Những gì tổ chức nên giám sát và củng cố
Vì các chi nhánh là những người đột nhập, những người phòng thủ nên tập trung vào các con đường phổ biến vào mạng thay vì vào thương hiệu của bất kỳ nhóm cụ thể nào. Các ưu tiên thực tế bao gồm:
- Truy cập từ xa: Xem xét VPN, remote desktop và các dịch vụ tiếp xúc bên ngoài khác. Thực thi xác thực đa yếu tố và vá lỗi kịp thời.
- Thông tin đăng nhập: Theo dõi các đăng nhập bất thường, mật khẩu được sử dụng lại và các tài khoản có đặc quyền quá mức.
- Di chuyển dữ liệu: Giám sát các chuyển giao ra ngoài lớn hoặc bất thường, vì các cuộc tấn công hiện đại thường liên quan đến việc đánh cắp dữ liệu trước khi mã hóa bất cứ thứ gì.
- Sao lưu: Giữ các bản sao ngoại tuyến hoặc bất biến và kiểm tra khôi phục thường xuyên. Sao lưu giúp khôi phục, nhưng chúng không hoàn tác được việc đánh cắp dữ liệu. Bài giải thích về tống tiền kép của chúng tôi giải thích lý do tại sao.
- Giám sát trang rò rỉ: Theo dõi xem tổ chức của bạn hoặc các nhà cung cấp có xuất hiện trên các trang tống tiền hay không, để bạn có thể hành động sớm.
Điều này có ý nghĩa gì với bạn
Hầu hết mọi người sẽ không bao giờ là mục tiêu trực tiếp của một chi nhánh RaaS. Sự phơi nhiễm đến gián tiếp: một người sử dụng lao động, công ty bảo hiểm, nhà cung cấp dịch vụ chăm sóc sức khỏe hoặc hãng hàng không nắm giữ dữ liệu của bạn, và tổ chức đó bị tấn công. Khi các nhóm tống tiền công bố các tệp bị đánh cắp, thông tin có thể lan truyền rộng rãi, như trong vụ rò rỉ 8,7 triệu hồ sơ hành khách sân bay Vương quốc Anh.
Nếu một dịch vụ bạn sử dụng bị tấn công, hãy cân nhắc các bước sau:
- Đọc kỹ thông báo chính thức. Ghi chú những loại dữ liệu nào liên quan và bất kỳ biện pháp bảo vệ nào được cung cấp, chẳng hạn như giám sát tín dụng.
- Thay đổi mật khẩu cho dịch vụ đó, và cho bất kỳ tài khoản nào khác mà bạn đã sử dụng lại mật khẩu. Sử dụng trình quản lý mật khẩu để tạo mật khẩu duy nhất.
- Bật xác thực đa yếu tố ở bất cứ nơi nào có sẵn.
- Cảnh giác với lừa đảo phishing. Thông tin liên hệ bị đánh cắp thường được sử dụng cho các vụ lừa đảo tiếp theo thuyết phục có đề cập đến vụ vi phạm. Không nhấp vào liên kết trong các tin nhắn bất ngờ; truy cập trực tiếp vào trang web của tổ chức.
- Theo dõi tài khoản tài chính và cân nhắc đóng băng tín dụng nếu các thông tin nhận dạng như số An sinh Xã hội bị lộ.
- Lưu giữ hồ sơ về các thông báo và bất kỳ hoạt động đáng ngờ nào.
Điểm mấu chốt
Mô hình chi nhánh ransomware Dark Project minh họa một xu hướng bền vững: khi tỷ lệ chia doanh thu có lợi cho người thực hiện xâm nhập, nhiều người sẵn sàng thử hơn. 38 nạn nhân được tuyên bố cho đến nay là chưa được xác nhận, nhưng cấu trúc đằng sau chúng mới là điều quan trọng. Các tổ chức nên củng cố các điểm truy cập và theo dõi việc đánh cắp dữ liệu, và các cá nhân nên sẵn sàng hành động nhanh chóng khi một công ty họ tin tưởng tiết lộ một vụ vi phạm.
Để hiểu tại sao khôi phục từ bản sao lưu không ngăn được nạn tống tiền hiện đại, hãy đọc bài giải thích về ransomware tống tiền kép của chúng tôi. Để thấy dữ liệu bị đánh cắp có thể có ý nghĩa gì đối với người thật, hãy đọc bài đưa tin của chúng tôi về vụ vi phạm ransomware Beacon Mutual.
