Еволюиращата психология на рансъмуер бележките

Рансъмуер заплахите – зловредните програми, криптиращи информацията на системата и искащи откуп за връщането им в първоначалния им вид – представляват интерес за специалистите не само по отношение на тяхната кодова структура и метод на разпространение, но и по отношение на това как те действат на жертвата в психологически план – чрез представяната на десктопа на компютъра ѝ бележка за откуп. Именно това и разглежда любопитен материал на Йотам Гутман от SentinelOne, озаглавен: „Мисловни игри. Еволюиращата психология на рансъмуер бележките“.

„За разлика от много други типове зловредни програми, рансъмуерът не крие своята активност. Той се самообявява на жертвата и принуждава своята мишена да действа (да плати откуп). По какъв начин са се развили начините, по които рансъмуерът впряга страховете, вярванията, мотивите и ценностите на жертвата, както в отговор на атакуващата страна, учейки се от собствените си грешки – което дава в резултат това, че жертвата не плаща, така и поведението на жертвите, и на защитната индустрия – като по-добра подготвеност в създаването на отдалечени архиви и декриптори“, очертава насоките на проучването си Гутман. Той разглежда пътя на рансъмуер авторите от първия регистриран случай на изпратен криптовирус до последните методи на престъпниците, които се подсигуряват, освен с криптиране на данните и с кражбата и поставянето им онлайн.

А споменатият първи случай на разпространение на криптовирус е от далечната 1989, когато биолог с името Джоузеф Поп разпраща по пощата (не електронната) 20 000 дискети с етикет върху тях: „Информация за СПИН: Въвеждащи дискети“ до присъстващите на свиканата от Световната здравна организация конференция по въпросите на СПИН в шведската столица Стокхолм. След изпълнението си, зловредната програма скрива директориите в системата, криптира файловите имена и иска от жертвите да изпратят до пощенска кутия в Панама $189 за декриптиране на данните. Парите, които Поп изкарва са малко, тъй като скоро след старта на кампанията му, биват създадени декриптори. Има обаче нанесени огромни щети – някои медицински институции губят изследвания, правени в продължение на десет години заради споменатия инцидент.

В бележката за откуп, придружаващ програмата, Поп използва няколко вида съобщения, в които подобно и на други след него, той се подиграва, а в други сплашва жертвите си.

Години след това, рансъмуер заплахите не са предпочитан метод от престъпниците. Когато те отново „идват на мода“, популярен метод за изнудване става съобщение, в което се представя часовник, отброяващ времето до унищожаване на ключа за декриптиране/данните преди плащането на откуп от страна на жертвата. Този метод обаче не се оказва толкова успешен по отношение на извличането на финансова полза за престъпниците.

„Този механизъм е добре известен от света на маркетинга и се използва, за да се създаде чувство на спешност“, пише Гутман. „Само че много от жертвите на рансъмуера не можели да платят в границите на посоченото време или не разбирали какво точно трябва да направят, или пък губили цялото време в търсене на помощ и така много от тях пропускали срока, което принуждавало хакерите да изпълнят заплахата си и да изтрият декриптиращия ключ“. Скоро обаче престъпниците осъзнават рисковете тук и променят тактиката си, предлагайки намаление на сумата, ако жертвата се свърже по-скоро с нападателя си.

Друг метод за сплашване се явява придружаване на криптирането със звуци и стряскащи изображения, което цели да смути и е невъзможно за игнориране. Така например печално известният Cerber използва VBScript, за да възпроизведе аудио съобщение, което оповестява нанесените вреди. Друг любопитен момент тук се явява включването на латинската сентенция Quod me non necat fortiorem facit – „Това, което не ме убива, ме прави по-силен“, послание с неизвестен характер. Вероятно да стимулира жертвата да проявява по-голямо внимание по отношение на киберсигурността си.

Следваща крачка в еволюцията на методите на хакерите се явява използването на по-агресивни методи, като например предупреждението, че искането за намаляне на откупа, само ще увеличи исканата сума, и обратното – проявата на привидна загриженост и съчувствие от страна на хакерите към жертвата – колкото и иронично да звучи това. Така например, друга известна заплаха – Snake – уверява жертвата, че няма нужда от притеснение и че всичко ще се разреши бързо.

Отново вариант на Cerber посочва и следващата стъпка в развитието на методите на престъпниците, която се наблюдава и днес. Започнала отпреди няколко години, тя се заключава в това, че преди процеса на криптиране, престъпниците извличат част от информацията с цел да разберат има ли нещо в нея, което може да им донесе допълнителен доход, освен откупа, който те така или иначе може и да не получат. Наблюдава се все по-често и заплашване да бъде публикувана чувствителна информация, ако не бъде платен откуп. Примери за това идват от рансъмуер заплахи, като DopplePaymer и Maze. По този начин, даже и да се сдобие с декриптиращ инструмент или има архив на заключената информация, жертвата е принудена да плати на изнудвачите си, ако не иска накърняване на имиджа си или нематериални загуби под някаква форма.

И един от последните примери, които дава Гутман е съвсем скорошен. Той е свързан с програма, която след декриптирането на данните, от жертвата се иска не определена сума пари, а да качи своя гола снимка, за да получи обратно данните си – заплаха, която, както предполага Гутман е дело на хлапета или подрастващи, а не на опитни престъпници. Фактът, че те могат да работят с този тип програми и знаят как да ги разпространяват, само сочи как днес кода на рансъмуер програмите са в ръцете на всички, заключава Гутман.

„Психологическия ефект на киберпрестъплението и на рансъмуера конкретно, са всеобхватни. За много жертви то дава като резултат уплаха и стрес, мъчително притеснение, недоумение и чувство на безпомощност“, пише Гутман. „Обикновено, тези, които са преживели подобен тип киберпрестъпление предават, че чувстват ефектите месеци наред след инцидента. В този смисъл, пренебрежението може всъщност да се окаже спасение за жертвите, но за нещастие, това е само една страна, от която жертвите на рансъмуера ще продължат да страдат и в обозримото бъдеще“.