Kiinnostaako 10,000,000 XNUMX XNUMX dollaria? Oletko valmis antamaan Clop ransomware -ryhmän?

Kiinnostaako 10,000,000 XNUMX XNUMX dollaria? Oletko valmis antamaan Clop ransomware -ryhmän?

Aikaleima: 28. kesäkuuta 2023 2
Lähdesolmu: 2737905
by Alasturvallisuuskirjailija

Uusin korkean profiilin kyberrikollisuuden hyväksikäytöt Clop ransomware -ryhmästä johtuvat eivät ole perinteisiä kiristysohjelmahyökkäyksiäsi (jos "perinteinen" on oikea sana kiristysmekanismille, joka juontaa juurensa vasta vuoteen 1989).

Perinteiset kiristysohjelmahyökkäykset ovat sellaisia, joissa tiedostosi sekoitetaan, yrityksesi suistuu täysin ja näkyviin tulee viesti, joka kertoo, että tietojesi salauksenpurkuavain on saatavilla...

…mikä on tyypillisesti silmiä hivelevä rahasumma.

Rikollinen evoluutio

Kuten voit kuvitella, ottaen huomioon ransomware palaa Ennen kuin kaikilla oli Internet-yhteys (ja kun verkossa olleiden tiedonsiirtonopeutta ei mitattu gigabitteinä tai jopa megabitteinä sekunnissa, vaan usein vain kilobitteinä), ajatus tiedostojen salaamisesta sinne, missä ne olivat, oli ällöttävä temppu säästää aikaa.

Rikolliset päätyivät tietojesi täydelliseen hallintaan ilman, että heidän tarvitsisi ensin ladata kaikkea ja sitten korvata alkuperäiset tiedostot levylle.

Parempi vielä huijareille, että he saattoivat etsiä satoja, tuhansia tai jopa miljoonia tietokoneita kerralla, eikä heidän tarvinnut pitää hallussaan kaikkia tietojasi "myydä ne takaisin" sinulle. (Ennen kuin pilvitallennustilasta tuli kuluttajapalvelu, levytila ​​varmuuskopiointia varten oli kallista, eikä sitä ollut helppo hankkia pyynnöstä hetkessä.)

Tiedostosalaavien kiristysohjelmien uhrit päätyvät ironisesti toimimaan haluttomina omien tietojensa vankilanvartijoina.

Heidän tiedostonsa jätetään houkuttelevasti ulottuville, usein niiden alkuperäisillä tiedostonimillä (tosin ylimääräisellä tunnisteella, kuten .locked lisätty päähän hieromaan suolaa haavaan), mutta se on täysin käsittämätön sovelluksille, jotka yleensä avasivat ne.

Mutta nykypäivän pilvipalvelumaailmassa kyberhyökkäykset, joissa lunnasohjelmarikolliset itse asiassa ottavat kopiot kaikista tai ainakin monista tärkeistä tiedostoistasi, eivät ole pelkästään teknisesti mahdollisia, vaan myös yleisiä.

Selvyyden vuoksi useissa, ellei useimmissa tapauksissa, hyökkääjät salaavat myös paikallisia tiedostoja, koska he voivat.

Loppujen lopuksi tiedostojen sekoitus tuhansilla tietokoneilla samanaikaisesti on yleensä paljon nopeampaa kuin niiden kaikkien lataaminen pilveen.

Paikalliset tallennuslaitteet tarjoavat tyypillisesti useita gigabittejä sekunnissa datakaistanleveyden kiintolevyä kohden tietokonetta kohti, kun taas monissa yritysverkoissa on muutaman sadan megabitin tai jopa vähemmän internet-yhteys jaettu kaikkien kesken.

Kaikkien tiedostojesi salaus kaikissa kannettavissa tietokoneissasi ja palvelimissasi kaikissa verkoissasi tarkoittaa, että hyökkääjät voivat kiristää sinut yrityksesi konkurssin perusteella, jos et pysty palauttamaan varmuuskopioitasi ajoissa.

(Nykyiset kiristysohjelmarikolliset tekevät usein kaikkensa tuhotakseen niin paljon varmuuskopioiduista tiedoista kuin he voivat löytää ennen tiedostojen sekoitusosion suorittamista.)

Ensimmäinen kiristyksen kerros sanoo, "Maksa, ja annamme sinulle salauksen purkuavaimet, joita tarvitset kaikkien tiedostojen rekonstruoimiseksi juuri siellä missä ne ovat kussakin tietokoneessa, joten vaikka sinulla olisi hitaita, osittaisia ​​tai ei ollenkaan varmuuskopioita, olet pian taas toiminnassa. kieltäydyt maksamasta, ja yrityksesi jää samaan paikkaan, kuolleena veteen."

Samaan aikaan, vaikka roistoilla on aikaa vain varastaa mielenkiintoisimpia tiedostojasi joistakin mielenkiintoisimmista tietokoneistasi, he saavat kuitenkin toisen Damokleen miekan päähäsi.

Tämä toinen kiristyskerros kulkee samaa linjaa, "Maksa ja lupaamme poistaa varastetut tiedot; kieltäydymme maksamasta, emmekä vain pidä siitä kiinni, vaan lähdemme siitä villiin."

Roistot uhkaavat yleensä myydä palkintotietosi muille rikollisille, välittää ne maasi sääntelijöille ja tiedotusvälineille tai yksinkertaisesti julkaista ne avoimesti verkossa, jotta kaikki voivat ladata ja nauttia.

Unohda salaus

Joissakin kyberkiristyshyökkäyksissä tietosi jo varastaneet rikolliset joko ohittavat tiedostojen sekoitusosan tai eivät pysty poistamaan sitä.

Siinä tapauksessa uhria kiristetään vain siksi, että he pitävät roistot hiljaa, ei siksi, että he saavat tiedostojaan takaisin, jotta heidän liiketoimintansa saadaan taas pyörimään.

Näin näyttää tapahtuneen viimeaikaisessa korkean profiilin aikana MOVEit-hyökkäykset, jossa Clop-jengi tai sen tytäryhtiöt tiesivät hyödynnettävästä nollapäivän haavoittuvuudesta ohjelmistossa, joka tunnetaan nimellä MOVEit…

…jossa vain sattuu olemaan kyse yritystietojen lataamisesta, hallinnasta ja turvallisesta jakamisesta, mukaan lukien komponentti, jonka avulla käyttäjät pääsevät järjestelmään millään monimutkaisemmalla kuin web-selaimillaan.

Valitettavasti nollapäivän aukko oli MOVEitin verkkopohjaisessa koodissa, joten jokainen, joka oli aktivoinut verkkopohjaisen käytön, altisti vahingossa yrityksen tiedostotietokantansa etäinjektoiville SQL-komennoille.

Ilmeisesti yli 130 yrityksen epäillään saaneen tietoja ennen kuin MOVEit-nollapäivä löydettiin ja korjattiin.

Monet uhreista näyttävät olevan työntekijöitä, joiden palkkatiedot on rikottu ja varastettu – ei siksi, että heidän oma työnantajansa olisi ollut MOVEit-asiakas, vaan koska heidän työnantajansa ulkoistettu palkanlaskennan käsittelijä oli, ja heidän tiedot varastettiin kyseisen palveluntarjoajan palkkatietokannasta.

Lisäksi näyttää siltä, ​​että ainakin osa tällä tavalla hakkeroiduista organisaatioista (joko suoraan oman MOVEit-järjestelmän kautta tai epäsuorasti jonkin palveluntarjoajansa kautta) olivat Yhdysvaltain julkisia palveluelimiä.

Palkitse nappauksista

Tämä olosuhteiden yhdistelmä johti siihen, että US Rewards for Justice (RFJ) -tiimi, joka on osa Yhdysvaltain ulkoministeriötä (maasi vastine voi olla nimellä Foreign Affairs tai Foreign Ministry), muistutti kaikkia Twitterissä seuraavasti:

RFJ:t omat nettisivut kertovat, kuten yllä olevassa twiitissä lainataan:

Rewards for Justice tarjoaa jopa 10 miljoonan dollarin palkkion tiedoista, jotka johtavat sellaisen henkilön tunnistamiseen tai sijaintiin, joka toimiessaan vieraan hallituksen ohjauksessa tai valvonnassa osallistuu haitallisiin kybertoimintoihin Yhdysvaltain kriittistä infrastruktuuria vastaan. Computer Fraud and Abuse Act (CFAA).

Ei ole selvää, voivatko ilmoittajat saada useita 10,000,000 10 10 dollarin kerrannaisia, jos he tunnistavat useita rikoksentekijöitä, ja jokainen palkkio määritellään "jopa" XNUMX miljoonaksi dollariksi eikä laimentamattomaksi XNUMX miljoonaksi dollariksi joka kerta…

…mutta on mielenkiintoista nähdä, päättääkö joku yrittää lunastaa rahat.

Aikaleima:

Lisää aiheesta Naked Security