Пореден връх в рансъмуер атаките

Криптовирусите или т.нар. „рансъмуер“ са тук и изглежда не мислят скоро да си ходят. Всяка година и даже всеки месец вече четем за огромно увеличение на рансъмуер атаките и тази есен не е изключение от това правило. Това сочат данните на NCC Group и наскоро публикуван от тях доклад, посочващ септември като рекорден за рансъмуер атаките в глобален план. В конкретни числа, става въпрос за увеличение със 153% на годишна база.

Макар и заплаха, която вече наближава 40 години (първите криптовируси датират от средата на 80-те години на миналия век), криптовирусите не изчезват, а чрез нововъведения от страна на техните автори, атаките чрез тях се увеличават постоянно. Без съмнение една тенденция, възникнала в последните години е сред големите фактори за тяхното все по-голямо разпространение. Става дума за нов бизнес модел – т.нар. „рансъмуер като услуга“, при който професионални хакери, обикновено авторите на рансъмуер заплахите, отдават „под наем“ кодова база и командната структура за провеждане на атаките на други хакери срещу процент от откупа. За съжаление, схемата действа безотказно. Профилирането и професионализирането на киберпрестъпната сцена също допринася за този ръст, като днес има хакерски групи (т.нар. „брокери на първоначален достъп“, Initial Access Brokers, IABs), професионализирали се в кражбата на записи за вход в корпоративни мрежи, VPN-и и сървъри, които след това те продават на въпросните рансъмуер банди. Засилващото се взаимодействие между различните киберпрестъпни групи също дава резултат, като разпространителите на заплахи, като Qakbot, Emotet и др. си сътрудничат успешно с тези рансъмуер банди.

По отношение на доклада на NCC в него се отчитат 514 проведени рансъмуер атаки, което е увеличение спрямо втория най-успешен месец тук за тях – юли с 502 атаки. Атаките с двойно изнудване (такива, при които хакерите извличат чувствителна информация, криптират данните, а след това искат откуп за декриптиране на информацията и за това да не я публикуват онлайн) бележат ръст също – със 76% на годишна база.

По отношение на географското разпределение на атаките, САЩ са били цел номер едно на хакерите с 50% от общия брой набези, следвани от Европа (30%) и Азия (20%).

Що се отнася до рансъмуер семействата, чрез които са провеждани тези атаки, то най-често използван е LockBit 3.0, следван от LostTrust, BlackCat и един от новите играчи на рансъмуер сцената – RansomedVC. Прави впечатление отсъствието на Cl0p, рансъмуер банда, нашумяла с атаките си над високопрофилни цели чрез експлоатирането на уязвимост в MOVEit Transfer от по-рано тази година. Според специалистите, изчезването на Cl0P е очаквано заради всичкия шум, вдигнал се около тях. Според NCC е много вероятно те да изчакват да мине известно време, за да се появят отново.

Впечатление правят новопоявилата се група на RansomedVC, които внасят нововъведение в традиционните рансъмуер атаки. Те не само доставят рансъмуер, но и правят допълнително разузнаване в мрежата и софтуерната среда на жертвата, търсят уязвимости и заплашват въпросната компания, че ще бъде докладвана на съответните органи заради пропуските им в сигурността. Големите компании традиционно подлежат на санкции по GDPR, ако са допуснали такива.

Повече за откритията на NCC Group в доклада им за рансъмуер сцената през септември, може да прочетете тук (pdf).