Hive продължава живота си чрез нова рансъмуер група

В началото на тази година Федералното бюро за разследвания на САЩ заедно със свои европейски колеги и специалисти по сигурност успяха да прекратят операциите на Hive – една от най-активните рансъмуер банди в последните години, виновна за атаките над стотици компании и организации и за щети в милиони долари. Едно от нещата, с които Hive се отличаваха от други киберпрестъпни банди се явяваше това, че те не се притесняваха да атакуват и здравни заведения – нещо, което е един вид табу в кодекса на поведение на много други техни колеги. Вероятно и това, заедно с мащаба на действията им, провокира властите да предприемат преки офанзивни действия срещу тях и да приключат съществуването на бандата. Но изглежда, че кодът на Hive е жив и се използва вече активно. Това става ясно от разследване на Bitdefender.

Hive беше активен играч на рансъмуер сцената до началото на тази година и макар да имаше сходства с други подобни престъпни организации, те също така и се отличаваха от много от тях. Групата следва модерните тенденции на киберпрестъпното поле, а именно двойното изнудване и предлагането на програмата и командната структура зад нея под наем или т.нар. модел на „рансъмуер като услуга“. Но за разлика от доста други рансъмуер групи, Hive се явяват изключително стройна организация в оперативен план, със стройна структура и „отдели“, специализирани в различни дейности. Групата използва различни техники за проникване в мрежата и експлойти за множество уязвимости. Кодът на програмата бива добре защитен от анализ и операциите им надлежно прикрити.

През октомври Bitdefender се натъкват на новопоявила се група на рансъмуер сцената с името Hunters International. Анализът на основната програма, с която те провеждат атаките си довело до извода специалистите, че те използват макар и променена версия на Hive. Самите Hunters International признават, че използват код и командната структура на Hive, но са самостоятелен играч. И макар и засега жертвите им да са малко на брой, Bitdefender смятат, че това може да се промени поради спецификата на ъндърграунд икономиката.

„Репутацията играе критично важна роля при рансъмуер като услуга модела и след разбиването и последвалото прочистване на операциите на Hive, Hunters International са изправени пред задачата да демонстрират своята компетентност преди да бъдат привлечени високопрофилни „партньори“, пишат Bitdefender.

Действията на Hive изглежда следват тенденция в рансъмуер света, в който една киберпрестъпна организация се задържа не повече от две до три години, натрупват известно състояние (често в мащаб от няколко милиона долара), след което потъват в неизвестност, а мястото им в медиите скоро е заето от действията на друга киберпрестъпна банда. А защо самите Hive не са продължили дейността си, Bitdefender обясняват просто:

„За разлика от един законен бизнес, който може да се възстанови от бекъпи, възстановяването тук не опира само до системите. Става дума за избягването на силата на закона и повторното изграждане на една нелегална операция. Това е процес, който е изключително интензивен по отношение на изискваните усилия и отнема много време. В този смисъл, да продадат кода си може би е резултат от убеждението им, че усилията и ресурсите, които трябва да вложат за рестартиране на бизнеса им и избягването на преследване от страна на силовите органи, не си си струва“, заключават Bitdefender.