Interesuje Cię 10,000,000 XNUMX XNUMX $? Gotowy do oddania ekipy ransomware Clop?

Interesuje Cię 10,000,000 XNUMX XNUMX $? Gotowy do oddania ekipy ransomware Clop?

Znacznik czasu: 28 czerwca 2023 2:59
Węzeł źródłowy: 2737905
by Nagi pisarz Security

Najnowsze głośne exploity cyberprzestępczości przypisywane załodze Clop ransomware nie są tradycyjnym rodzajem ataków ransomware (jeśli „tradycyjne” jest właściwym słowem dla mechanizmu wymuszeń, który sięga zaledwie 1989 roku).

Konwencjonalne ataki ransomware polegają na zaszyfrowaniu plików, całkowitym wykolejeniu firmy i pojawieniu się komunikatu informującego, że dostępny jest klucz odszyfrowywania danych…

…za zwykle oszałamiającą kwotę pieniędzy.

Ewolucja przestępcza

Jak możesz sobie wyobrazić, biorąc pod uwagę to ransomware powraca do czasów, zanim wszyscy mieli dostęp do Internetu (i kiedy ci, którzy byli online, mieli prędkość przesyłania danych mierzoną nie w gigabitach ani nawet megabitach na sekundę, ale często tylko w kilobitach), pomysł szyfrowania plików tam, gdzie się znajdują, był nikczemną sztuczką Oszczędzaj czas.

Przestępcy uzyskali pełną kontrolę nad Twoimi danymi, bez konieczności uprzedniego przesyłania wszystkiego, a następnie nadpisywania oryginalnych plików na dysku.

Co więcej, oszuści mogą atakować setki, tysiące, a nawet miliony komputerów jednocześnie i nie muszą przechowywać wszystkich twoich danych w nadziei, że ci je „odsprzedają”. (Zanim przechowywanie w chmurze stało się usługą konsumencką, miejsce na dysku na kopie zapasowe było drogie i nie można było go łatwo uzyskać na żądanie w jednej chwili).

Jak na ironię, ofiary oprogramowania ransomware szyfrującego pliki stają się niechętnymi strażnikami więziennymi swoich danych.

Ich pliki są kusząco pozostawiane w zasięgu ręki, często z oryginalnymi nazwami plików (choć z dodatkowym rozszerzeniem, takim jak .locked dodany na końcu, aby wcierać sól w ranę), ale całkowicie niezrozumiały dla aplikacji, które zwykle je otwierają.

Ale w dzisiejszym świecie przetwarzania w chmurze cyberataki, w których oszuści ransomware faktycznie pobierają kopie wszystkich lub przynajmniej wielu ważnych plików, są nie tylko technicznie możliwe, ale są powszechne.

Żeby było jasne, w wielu, jeśli nie w większości przypadków, osoby atakujące szyfrują również twoje pliki lokalne, ponieważ mogą.

W końcu szyfrowanie plików na tysiącach komputerów jednocześnie jest generalnie znacznie szybsze niż przesyłanie ich wszystkich do chmury.

Lokalne urządzenia pamięci masowej zazwyczaj zapewniają przepustowość danych rzędu kilku gigabitów na sekundę na dysk na komputer, podczas gdy wiele sieci korporacyjnych ma połączenie internetowe o przepustowości kilkuset megabitów na sekundę lub nawet mniej, dzielone między wszystkich.

Zaszyfrowanie wszystkich plików na wszystkich laptopach i serwerach we wszystkich sieciach oznacza, że ​​osoby atakujące mogą szantażować Cię na podstawie bankructwa Twojej firmy, jeśli nie będziesz w stanie odzyskać swoich kopii zapasowych na czas.

(Dzisiejsi oszuści ransomware często robią wszystko, co w ich mocy, aby zniszczyć jak najwięcej danych z kopii zapasowych, ile mogą znaleźć, zanim zaszyfrują plik).

Pierwsza warstwa szantażu mówi: „Zapłać, a otrzymasz od nas klucze deszyfrujące potrzebne do odtworzenia wszystkich plików dokładnie tam, gdzie się znajdują na każdym komputerze, więc nawet jeśli masz powolne, częściowe kopie zapasowe lub nie masz ich wcale, wkrótce znów będziesz działać; odmów zapłaty, a twoje operacje biznesowe pozostaną tam, gdzie są, martwe w wodzie”.

Jednocześnie, nawet jeśli oszuści mają czas tylko na kradzież niektórych z najciekawszych plików z niektórych z najciekawszych komputerów, mimo to dostają drugi miecz Damoklesa, który trzyma nad twoją głową.

Ta druga warstwa szantażu polega na tym, „Zapłać, a my obiecujemy usunąć skradzione dane; odmówimy zapłaty, a my nie tylko będziemy się tego trzymać, ale zwariujemy z tym”.

Oszuści zazwyczaj grożą, że sprzedadzą Twoje trofea innym przestępcom, przekażą je organom regulacyjnym i mediom w Twoim kraju lub po prostu opublikują je online, aby każdy mógł je pobrać i zjeść.

Zapomnij o szyfrowaniu

W przypadku niektórych ataków cybernetycznych przestępcy, którzy już ukradli Twoje dane, albo pomijają część szyfrowania plików, albo nie są w stanie tego zrobić.

W takim przypadku ofiary są szantażowane tylko na podstawie uciszenia oszustów, a nie odzyskania plików w celu ponownego uruchomienia firmy.

Wydaje się, że tak właśnie stało się w ostatnim głośnym Ataki MOVEit, gdzie gang Clop lub jego podmioty stowarzyszone wiedziały o możliwej do wykorzystania luce dnia zerowego w oprogramowaniu znanym jako MOVEit…

…tak się składa, że ​​chodzi o przesyłanie, zarządzanie i bezpieczne udostępnianie danych firmowych, w tym komponent, który umożliwia użytkownikom dostęp do systemu za pomocą niczego bardziej złożonego niż ich przeglądarki internetowe.

Niestety, w internetowym kodzie MOVEit istniała luka dnia zerowego, więc każdy, kto aktywował dostęp przez Internet, nieumyślnie narażał swoje korporacyjne bazy danych plików na zdalnie wstrzykiwane polecenia SQL.

Najwyraźniej podejrzewa się, że ponad 130 firm ukradło dane, zanim wykryto i załatano MOVEit zero-day.

Wydaje się, że wiele ofiar to pracownicy, których dane listy płac zostały naruszone i skradzione – nie dlatego, że ich własny pracodawca był klientem MOVEit, ale dlatego, że zlecony na zewnątrz podmiot przetwarzający listy płac był, a ich dane zostały skradzione z bazy danych tego dostawcy.

Co więcej, wydaje się, że przynajmniej niektóre z organizacji, które zhakowano w ten sposób (bezpośrednio poprzez własną konfigurację MOVEit lub pośrednio za pośrednictwem jednego z ich dostawców usług) były amerykańskimi organami użyteczności publicznej.

Nagroda do zgarnięcia

Ta kombinacja okoliczności doprowadziła do tego, że zespół US Rewards for Justice (RFJ), będący częścią Departamentu Stanu USA (odpowiednik twojego kraju może nosić nazwę Foreign Affairs lub Foreign Ministry), przypomniał wszystkim na Twitterze, co następuje:

RFJ mówi własna strona internetowa, jak zacytowano w powyższym tweecie:

Rewards for Justice oferuje nagrodę w wysokości do 10 milionów USD za informacje prowadzące do identyfikacji lub lokalizacji jakiejkolwiek osoby, która działając na polecenie lub pod kontrolą obcego rządu, uczestniczy w złośliwych działaniach cybernetycznych przeciwko infrastrukturze krytycznej Stanów Zjednoczonych z naruszeniem ustawy o oszustwach i nadużyciach komputerowych (CFAA).

Nie jest jasne, czy informatorzy mogliby otrzymać kilka wielokrotności 10,000,000 10 10 dolarów, jeśli zidentyfikują wielu przestępców, a każda nagroda jest określona jako „do” XNUMX milionów dolarów, a nie nierozcieńczone XNUMX milionów dolarów za każdym razem…

…ale ciekawe będzie, czy ktoś zdecyduje się ubiegać o pieniądze.

Znak czasu:

Więcej z Nagie bezpieczeństwo