Рансъмуер група използва AI чатбот при преговорите с жертвите си

Новопоявила се рансъмуер група използва иновативен начин да оказва натиск над жертвите си. Подвизаваща се като $$$, групата е разкрила наскоро нова RaaS (ransomware-as-a-service) платформа с името GLOBAL GROUP. RaaS или „рансъмуер като услуга“ е бизнес модел, използван от съвременните рансъмуер групи. При него създателите на престъпната схема отдават под наем зловреден код и контролна структура на други престъпници срещу процент от откупа, който те вземат от жертвите си. Специалисти по сигурност от Picus Security първи ги забелязват в рускоезичен хакерски форум с името Ramp4u. Там $$$ рекламират услугите си, обявявайки, че използват AI чатбот в специализирания си панел за преговори с жертвата.

Picus провеждат собствено разследване над $$$. Те изследват някои от зловредните програми на бандата и изходния ѝ код, конфигурацията на инфраструктурата им и контролната логика.

GLOBAL GROUP, установяват Picus, е наследник на други две рансъмуер кампании: Mamona RIP и Black Lock. Специалистите установяват, че като цяло, GLOBAL GROUP всъщност по-скоро са имитатори, отколкото иноватори. „На всяко едно ниво, контрол, операция, зловредно изпълнение на програмите им , се разкрива по-скоро приемственост и подобрение на съществуващите елементи, отколкото иновация“, пишат Picus. Освен при момента с AI чатбота.

След успешна атака, жертвата бива отвеждана към Tor сайта на групата. Там освен списък с жертвите на GLOBAL GROUP се помещава и диалогов панел. Жертвата бива подлагана на натиск от посрещналия го чатбот. Комуникацията е създадена с мисъл, че отсрещната страна не е технически подготвена. Отделно от това, пред нея се представя таймер, който цели да усили психологическия натиск. Picus са успели да достигнат комуникационните записи, от които се вижда, че откупът достига понякога седемцифрена сума. Picus допълват, че използването на автоматизация в случая, има практични цели. Чатботът освобождава престъпниците от нуждата от наемането на човек за преговорите и те могат да се водят по всяко време на денонощието, независимо от часовата зона.

Що се отнася до самата зловредна програма, то тя е мултиплатформена. Написана на Golang, тя може да се проектира да атакува Линукс, Windows и macOS. Отделно от това, модалната ѝ структура позволява премахването или добавянето на функции по време на компилирането. И подобно на други съвременни рансъмуер инструменти, тя атакува успешно ESXi, BSD и NAS масиви. Което, пишат Picus, я доближава към друг популярен рансъмуер – Black Lotus. Повече за откритията на компанията, може да намерите в доклада на Picus Security тук.