ФБР изъяло киберпреступный форум RAMP, используемый группировками, занимающимися вымогательством с помощью программ-вымогателей.

[admin]

ФБР конфисковало печально известный киберпреступный форум RAMP, платформу, используемую для рекламы широкого спектра вредоносных программ и хакерских услуг, и один из немногих оставшихся форумов, открыто допускавших продвижение операций по вымогательству с использованием программ-вымогателей.


Как на сайте форума в сети Tor, так и на его домене в обычной сети, ramp4u[.]io, теперь отображается уведомление о конфискации, гласящее: «Федеральное бюро расследований конфисковало RAMP».


«Эти действия были предприняты в координации с прокуратурой Южного округа Флориды и отделом по борьбе с компьютерными преступлениями и защите интеллектуальной собственности Министерства юстиции», — говорится в уведомлении.

Заголовок сообщения о сбое также, по-видимому, дразнит администраторов форума, отображая собственный слоган RAMP: «ЕДИНСТВЕННОЕ МЕСТО, ГДЕ РАЗРЕШЕНЫ ПРОГРАММЫ-ВЫМОГАТЕЛИ!», за которым следует подмигивающая Маша из популярного российского « Маша и Медведь ». детского мультфильма


Хотя правоохранительные органы пока не сделали официального заявления по поводу этого изъятия, серверы доменных имен были переключены на те, которые использовалось ФБР при изъятии доменов:


Name Server: ns1.fbi.seized.gov<br>Name Server: ns2.fbi.seized.gov<br>
В таком случае правоохранительные органы получают доступ к значительному объему данных, связанных с пользователями форума, включая адреса электронной почты, IP-адреса, личные сообщения и другую потенциально компрометирующую информацию.

Для злоумышленников, не соблюдающих надлежащие правила оперативной безопасности (opsec), это может привести к выявлению и аресту.

В сообщении на форуме, посвященном XSS-хакингу, один из предполагаемых бывших операторов RAMP, известный как "Stallman", подтвердил факт изъятия данных.

«С сожалением сообщаю вам, что правоохранительные органы взяли под контроль форум Ramp», — говорится в переведённом сообщении форума.

«Это событие уничтожило годы моей работы по созданию самого свободного форума в мире, и хотя я надеялся, что этого дня никогда не наступит, я всегда знал в глубине души, что это возможно. Это риск, на который мы все идем».

Оператор форума подтвердил изъятие RAMP.
Издание BleepingComputer обратилось в ФБР с вопросом по поводу изъятия, но там отказались от комментариев.

Форум RAMP по борьбе с киберпреступностью​

Форум по киберпреступности RAMP был запущен в июле 2021 года после запрета на продвижение операций по распространению программ-вымогателей на популярных русскоязычных посвященных эксплойтам и форумах, XSS-атакам .


Этот запрет был вызван усилением давления со стороны западных правоохранительных органов после атаки программы-вымогателя DarkSide на компанию Colonial Pipeline .

Использование уязвимостей для блокировки продвижения программ-вымогателей

В июле 2021 года был запущен новый русскоязычный форум под названием RAMP, позиционирующий себя как одно из последних мест, где можно открыто распространять программы-вымогатели. Это привело к тому, что многочисленные группировки, занимающиеся распространением программ-вымогателей, стали использовать форум для продвижения своей деятельности, вербовки сообщников , а также для покупки и продажи доступа к сетям.

Проект RAMP был запущен злоумышленником, известным как Orange, который также действовал под псевдонимами Wazawaka и BorisElcin.


Ранее компания Orange была администратором операции по борьбе с программой-вымогателем Babuk , которая была закрыта после атаки на столичное управление полиции округа Колумбия .


По имеющимся данным, внутри группы вспыхнули внутренние споры по поводу того, следует ли обнародовать украденные данные правоохранительных органов, и после утечки данных группа распалась.


После разделения компания Orange запустила форум RAMP на домене Tor в сети Onion, который ранее использовала компания Babuk.


Вскоре после запуска RAMP подвергся распределенным DDoS-атакам, которые нарушили его доступность. Компания Orange публично обвинила в этих атаках бывших партнеров Babuk, хотя бывшие участники форума в интервью BleepingComputer отрицали свою причастность , заявив, что не имели никакого отношения к форуму.

публично идентифицировал человека, скрывающегося под псевдонимами Orange и Wazawaka, Позже журналист, специализирующийся на кибербезопасности, Брайан Кребс как гражданина России Михаила Матвеева.


В интервью Дмитрию Смилянцу из Recorded Future Матвеев подтвердил, что ранее выступал под псевдонимом Orange и что создал RAMP, используя бывший домен Babuk onion.


Матвеев объяснил, что форум изначально был создан для перепрофилирования существующей инфраструктуры и трафика Бабука. Он утверждал, что RAMP в конечном итоге не приносил прибыли и постоянно подвергался DDoS-атакам, что заставило его отойти от управления им после того, как он приобрел популярность.


В 2023 году предъявило Матвееву обвинение в причастности к многочисленным операциям по распространению программ-вымогателей, включая Babuk, LockBit и Hive, которые были нацелены на американские организации здравоохранения, правоохранительные органы и другие объекты критической инфраструктуры. Министерство юстиции США


Он также попал под санкции Управления по контролю за иностранными активами Министерства финансов США и был включен в список самых разыскиваемых лиц ФБР, а Государственный департамент США предложил вознаграждение в размере до 10 миллионов долларов за информацию, которая приведет к его аресту или осуждению.

 

[admin]

Нет чести среди воров.​

Появились предположения, что Столлман и другие участники форума могли активно помогать ФБР. По словам Ребекки Тейлор, менеджера по анализу угроз и исследователя в Sophos, заявление Столлмана вызвало неоднозначную реакцию.

«Их пост вызвал неоднозначную реакцию, включая похвалу за предпринятые усилия, а также обвинения и даже предположения о причастности Столлмана к удалению сайта. Это пока лишь домыслы».

Ребекка Тейлор, исследователь угроз, Sophos

Кроме того, добавляет Тейлор, после изъятия данных появился некий «Тор Зирээль», который поделился тем, что, по его утверждению, является панелью администратора и списком пользователей форума RAMP.


Это, наряду с закрытием RAMP, вызвало дальнейшее недоверие, страх и неуверенность среди злоумышленников.

Пользователь/псевдоним Tor Zireael делится тем, что, по его утверждению, является панелью администратора и списком пользователей форума RAMP. Скриншот из Sophos, на котором добавлены сообщение и вложения, еще не проверен.

Кратковременная победа, постоянная игра в "ударь крота".​

Закрытие RAMP лишает нас ключевого центра, используемого такими группами, как Nova , Radiant, GOLD MYSTIC (LockBit), GOLD FLAME (DragonForce) и GOLD FEATHER (Qilin). Однако любая победа правоохранительных органов оказывается недолгой, поскольку они постоянно играют в игру «бей крота».


Исследователи CTU отмечают, что, хотя прошлые попытки блокировать такие группы, как Emotet, а также закрытия сайтов, подобных тем, что затронули BreachForums и XSS, временно нарушали активность, злоумышленники исторически быстро переходили на альтернативные форумы, каналы и инфраструктуру, а не полностью прекращали свою деятельность.


«Хотя Столлман заявляет, что планов по восстановлению нет, участники и пользователи форума RAMP, вероятно, уже ищут альтернативные платформы», — отмечает Тейлор.


Партнеры и поставщики услуг, скорее всего, быстро перейдут на альтернативные форумы или зашифрованные платформы обмена сообщениями, такие как Telegram, которые предпочитают ключевые операторы программ-вымогателей, такие как Scattered Lapsu$ Hunters.


На данный момент наиболее непосредственным последствием этой блокировки является скорее психологический, чем оперативный эффект – обвал доверия к общественным форумам и опасение, что даже давно существующие криминальные платформы могут исчезнуть в одночасье.

Источник