- Регистрация
- Окт 16, 2022
- Сообщения
- 1,234
- Реакции
- 214
- Награды
- 2
Третий квартал станет новым рекордом для индустрии вымогательского ПО, поскольку это был самый успешный квартал за всю историю наблюдений.
Если во втором квартале число случаев резко возросло и составило 1386, то в третьем квартале индустрия ransomware смогла превзойти это число - 1420 случаев.
Неудивительно, что США по-прежнему остаются страной, наиболее подверженной атакам ransomware, а сектор бизнес-услуг - наиболее атакуемым сектором.
Несомненно, новые лица, появившиеся в отрасли, а также кампания MOVEit смогли привести к многочисленным жертвам. В сочетании с последовательностью действий лидера индустрии LockBit3.0 это привело к разрушительным последствиям для компаний по всему миру.
Статистика
Как уже упоминалось, в этом квартале жертвами ransomware стали 1420 человек, что является самым большим числом жертв за один квартал.
Лучшие семейства Ransomware в III квартале 2023 года
Несмотря на то что этот квартал был успешным для всей индустрии вымогательского ПО, три семейства оказались далеко впереди. Как и ожидалось, LockBit3.0 остается самой популярной группой вымогателей: 252 новых жертвы, что составляет 17,7 % всех случаев заражения вымогателями.
На втором месте - Cl0p Ransomware, которому удалось заполучить значительное число жертв - 177. Важно отметить, что хотя Cl0p заявила о 177 жертвах, это произошло только за два из трех месяцев квартала, так как за сентябрь она не объявила ни одной жертвы.
На третьем месте - ветеранская группа ALPHV со 120 жертвами в этом квартале.
ТОП стран, подверженные атакам Ransomware в 3 квартале 2023 года
Что касается наиболее подверженных атакам стран (рис. 2), то США остаются страной номер один в мире, и на то есть веские причины. Ведущая экономика мира стала жертвой 51 % атак ransomware в этом квартале - 575 случаев.
Второй страной по количеству жертв в этом квартале стала Великобритания с 77 случаями, что значительно отстает от США. Наконец, на третьем месте находится Канада с 48 случаями заражения вымогательским ПО в этом квартале. Даже если сосредоточиться на трех ведущих странах, можно увидеть, что США, несомненно, является самой привлекательной страной для злоумышленников.
Лучшие секторы, подвергшиеся атакам Ransomware в третьем квартале 2023 года
Как и ожидалось, сектор бизнес-услуг был наиболее атакован в третьем квартале - 42 % случаев заражения ransomware, за ним следуют производство и розничная торговля - 19 % и 12 % соответственно (рис. 3).
Новые участники индустрии Ransomware в третьем квартале 2023 года
ГРУППА RANSOMWARE RHYSIDA
Группа Rhysida ransomware стала известна примерно в мае-июне 2023 года, когда она представила чат-портал поддержки жертв, доступный через сайт TOR (.onion). Группа представляет себя как "команду кибербезопасности", утверждая, что действует в интересах своих жертв, атакуя их системы и привлекая внимание к якобы имеющимся уязвимостям в системе безопасности и их потенциальным последствиям.
Группа Rhysida ransomware получила известность благодаря серии атак на медицинские учреждения, что побудило правительственные агентства и компании, занимающиеся кибербезопасностью, усилить контроль за деятельностью этой группы. Ранее в июне Rhysida впервые привлекла к себе внимание, опубликовав на своем сайте утечки данных документы, украденные у чилийской армии (Ejército de Chile).
Виктимология группы Rhysida Ransomware
Rhysida ransomware в основном нацелена на США - 31 % ее жертв. Кроме того, она также провела успешные кампании в Великобритании, Италии и Франции. Что касается целевых секторов, то, судя по всему, наибольшего успеха Rhysida добилась в секторе бизнес-услуг, на который приходится 51 % ее кампаний.
3AM: НОВОЕ СЕМЕЙСТВО RANSOMWARE
Появился новый штамм вымогательского ПО под названием 3AM, но его использование пока ограничено. Одна из интересных атак, которая была обнаружена, заключалась в том, что аффилированные лица пытались развернуть LockBit в сети цели, но переключились на 3AM, когда LockBit был заблокирован.
3AM написан на языке Rust и, похоже, представляет собой совершенно новое семейство вредоносных программ. Он следует определенной последовательности действий: Прежде чем начать процесс шифрования файлов, он пытается остановить работу нескольких служб на зараженном компьютере. После завершения шифрования он пытается стереть теневые копии тома (VSS). Возможные связи между его авторами и известными киберпреступными организациями остаются неясными.
Подозрительная деятельность угроз начиналась с использования команды gpresult для извлечения настроек политики, установленных на компьютере для определенного пользователя. Затем они запустили различные компоненты Cobalt Strike и попытались повысить привилегии на компьютере с помощью PsExec.
Затем злоумышленники провели разведку с помощью таких команд, как whoami, netstat, quser и net share. Они также пытались определить другие серверы для бокового перемещения с помощью команд quser и net view. Кроме того, они создали новую учетную запись пользователя для поддержания постоянства и использовали инструмент Wput для передачи файлов жертв на свой FTP-сервер.
14 сентября группа 3AM (ThreeAM) Ransomware обнародовала свои сайты утечки и включила в список жертв шесть организаций. В их число вошли пять организаций из США и одна из Малайзии. Пока неясно, было ли это намеренным рекламным ходом или просто случайным совпадением для этой группы, которая только недавно попала в поле зрения исследователей.
Аресты
США И ВЕЛИКОБРИТАНИЯ ВЕДУТ АКТИВНУЮ БОРЬБУ С БАНДАМИ TRICKBOT И CONTI
7 сентября Министерство финансов США и Министерство иностранных дел Великобритании совместно объявили о введении санкций против 11 человек, обвинив их в связях с киберпреступной группировкой Trickbot. Кроме того, Министерство юстиции США обнародовало обвинительные заключения в отношении девяти человек, предположительно связанных с Trickbot и аффилированной с ней организацией Conti. Примечательно, что семь человек, упомянутых в санкциях, также вошли в список тех, кому предъявлены обвинения.
Министерство юстиции обнародовало три обвинительных заключения, среди которых есть и Галочкин. Одно из этих обвинений, поданное 15 июня в Северном округе штата Огайо, обвиняет его и еще десять предполагаемых участников Trickbot в сговоре с целью использования вредоносной программы Trickbot для получения личной выгоды, а также личных и конфиденциальных данных от ничего не подозревающих жертв. Среди этих жертв - предприятия и финансовые учреждения как в США, так и по всему миру, причем противоправная деятельность началась в ноябре 2015 года.
В обвинительном заключении, поданном 12 июня в Среднем округе штата Теннесси, Галочкину и еще трем лицам были предъявлены обвинения в использовании программы Conti ransomware. Эти обвинения связаны с атаками, направленными на "предприятия, некоммерческие организации и правительства в США" в период с 2020 по июнь 2022 года.
Кроме того, в обвинительном заключении, поданном 14 июня в Южный округ Калифорнии, Галочкин обвиняется в связи с атакой Conti ransomware на Scripps Health, которая произошла 1 мая 2021 года.
СОТРУДНИК IT-КОМПАНИИ ПОПАЛ В ТЮРЬМУ ЗА ТО, ЧТО ВЫДАВАЛ СЕБЯ ЗА БАНДУ РАЗРАБОТЧИКОВ ВЫМОГАТЕЛЬСКОГО ПО
Эшли Лайлз, 28-летний бывший сотрудник ИТ-службы, получил тюремный срок более трех лет за участие в попытке вымогательства у своего работодателя во время атаки ransomware.
Лайлз, ранее работавший аналитиком по информационной безопасности в компании, расположенной в Оксфорде, злоупотребил своим служебным положением, чтобы вмешаться в процесс выплаты выкупа после атаки на своего работодателя.
Пытаясь обмануть компанию, он выдавал себя за группу, которая вымогала выкуп. Он попытался отвлечь платежи за выкуп, изменив криптовалютный кошелек злоумышленников на тот, который контролировал он сам.
Он получил доступ к личной электронной почте одного из членов совета директоров более 300 раз, а также подделал оригинальное письмо с шантажом, изменив назначение платежа, указанное первоначальным злоумышленником. Кроме того, он создал адрес электронной почты, очень похожий на тот, который использовали злоумышленники, и использовал его для оказания дополнительного давления на своего работодателя, чтобы гарантировать, что требования банды вымогателей будут выполнены, а выкуп выплачен.
Однако компания не выполнила требования злоумышленников. В ходе внутреннего расследования выяснилось, что Лайлз получал несанкционированный доступ к конфиденциальной электронной почте, используя домашнее подключение к Интернету.
Несмотря на то что Лайлз принял меры по удалению всех данных со своих личных устройств, как только узнал о ведущемся расследовании, команда киберпреступников из SEROCU изъяла его компьютер и успешно восстановила улики.
Поначалу Лайлз категорически отрицал свою причастность к преступлению, но во время недавнего судебного заседания в Королевском суде Рединга он признал свою вину, спустя пять лет после событий, о которых идет речь.
В результате Лайлз был приговорен к трем годам и семи месяцам тюремного заключения по обвинению в шантаже и несанкционированном доступе к компьютеру с целью совершения других преступлений.
Новые тенденции в области вымогательства в третьем квартале 2023 года
LINUX-ВЕРСИЯ ВЫМОГАТЕЛЬСКОГО ПО ABYSS LOCKER НАЦЕЛЕНА НА СЕРВЕРЫ VMWARE ESXI
Abyss Locker - это группа вымогателей, появившаяся сравнительно недавно. Предполагается, что ее деятельность началась в марте 2023 года. Их методы работы напоминают другие операции с вымогательским ПО: проникновение в корпоративные сети, утечка данных с целью двойного вымогательства и шифрование устройств в сети.
Кампания Abyss Locker - самый свежий пример тенденции, когда операторы вымогательского ПО разработали шифровальщик Linux, предназначенный специально для атак на виртуальные машины ESXi от VMware.
Поскольку организации все чаще используют виртуальные машины для повышения эффективности управления ресурсами, производительности и аварийного восстановления, группы разработчиков вымогательского ПО приспособились создавать шифровальщики, адаптированные к этим платформам.
Учитывая, что VMware ESXi является одной из самых распространенных платформ виртуальных машин, почти все группировки, занимающиеся вымогательством, начали выпускать шифровальщики для Linux, способные шифровать все виртуальные серверы, размещенные на этих устройствах.
ВРЕМЯ ПРЕБЫВАНИЯ ХАКЕРОВ В СЕТЯХ С ВЫМОГАТЕЛЬСТВОМ СОКРАТИЛОСЬ ДО 5 ДНЕЙ, НО RDP ПО-ПРЕЖНЕМУ ШИРОКО ИСПОЛЬЗУЕТСЯ
Угрожающие вымогателям программы-вымогатели теперь тратят меньше времени на работу во взломанных сетях, прежде чем решения безопасности обнаружат их присутствие. В первой половине этого года среднее время пребывания хакеров в сети сократилось с девяти дней в 2022 году до пяти дней.
Если сопоставить нашу статистику по семейству выкупных программ, включающую все атаки, отслеживаемые Cyberint, с данными, предоставленными компанией Sophos, специализирующейся на кибербезопасности, то обнаружилась примечательная тенденция. Среднее время пребывания в кибератаках, охватывающее весь спектр инцидентов, сократилось с десяти дней в 2022 году до восьми дней в первой половине этого года. Кроме того, стало очевидно, что атаки с выкупом составили около 70 % от общего числа кибератак, зарегистрированных за этот период.
Из наших выводов и выводов компании Sophos следует, что в то время как злоумышленники, использующие выкупное ПО, действуют быстро: среднее время пребывания в сети сократилось с 11 до 13 дней в этом году, другие киберпреступники, осуществляющие вторжения в сеть, склонны затягивать свое присутствие, выжидая подходящего момента.
Во всех случаях среднее время пребывания в сети колеблется на уровне 15-16 дней, а самое продолжительное время пребывания в сети в этом году превысило три месяца. Интересно, что кража данных становится все менее распространенной, поскольку таких атак стало меньше: в первом полугодии 2023 года их количество снизилось до 31,58 % с 42,76 % в 2022 году. Эта тенденция подтверждается ростом числа инцидентов, в которых было подтверждено отсутствие утечки данных, - с 1,32 % до 9,21 %.
Наши данные выявляют интригующие тенденции при изучении сроков проведения кибератак. Согласно статистике, мы предполагаем, что угрожающие субъекты, в том числе группы, занимающиеся распространением вымогательского ПО, чаще атакуют организации по вторникам, средам и четвергам.
Крупнейшие атаки и инциденты с использованием Ransomware в 3 квартале 2023 года
КОМПАНИЯ MOM'S MEALS РАСКРЫЛА УТЕЧКУ ДАННЫХ, ЗАТРОНУВШУЮ 1,2 МИЛЛИОНА ЧЕЛОВЕК
Компания PurFoods, работающая под названием Mom's Meals, сообщила о нарушении целостности данных в Генеральную прокуратуру штата Мэн. В результате взлома был получен несанкционированный доступ к конфиденциальной информации, включая персональные идентификаторы, такие как имена, номера финансовых счетов, данные платежных карт (кредитных или дебетовых), коды безопасности, а также пароли или PIN-коды учетных записей.
Впервые компания обнаружила "подозрительное поведение учетной записи" 22 февраля 2023 года. Последующее расследование показало, что PurFoods подверглась кибератаке в период с 16 января 2023 года по 22 февраля 2023 года. Во время этой атаки некоторые файлы в сети были зашифрованы. Хотя окончательно установить, были ли извлечены данные с их серверов, не удалось, такую возможность нельзя было исключать.
Компания PurFoods привлекла сторонних экспертов для проведения анализа потенциально скомпрометированных данных, который завершился 10 июля 2023 года. В результате проверки выяснилось, что в файлах содержалась личная и охраняемая медицинская информация конкретных лиц. Потенциально уязвимая информация включала имена, номера социального страхования, водительские права или идентификационные номера штата, информацию о финансовых счетах и платежных картах, медицинские и оздоровительные данные, а также даты рождения.
Компания начала процесс уведомления пострадавших лиц 25 августа. Согласно официальным данным, в результате инцидента безопасности пострадали около 1 237 681 человек.
ПРАВИТЕЛЬСТВО ШРИ-ЛАНКИИ ПОТЕРЯЛО МНОГОМЕСЯЧНЫЙ ОБЪЕМ ДАННЫХ В РЕЗУЛЬТАТЕ АТАКИ ВЫКУПНОГО ПО
В результате недавнего инцидента, связанного с кибербезопасностью, правительство Шри-Ланки понесло значительную потерю данных в результате атаки вымогательского ПО. Атаке подверглась правительственная сеть электронной почты Шри-Ланки, в результате чего пострадали тысячи учетных записей электронной почты, в том числе принадлежащие высокопоставленным правительственным чиновникам. Атака, начавшаяся в конце августа, затронула около 5 000 адресов электронной почты, использующих почтовый домен gov[.]lk, и среди пострадавших оказался совет министров, один из центральных правительственных органов.
Система, известная как Lanka Government Cloud (LGC), была подвергнута шифрованию вместе с резервными копиями. Хотя чиновникам удалось восстановить систему LGC в течение 12 часов после атаки, они не смогли восстановить резервные копии за период с 17 мая по 26 августа. Таким образом, все пострадавшие учетные записи потеряли данные за этот период, как заявил Махеш Перера, глава Агентства информационных и коммуникационных технологий Шри-Ланки (ICTA).
В связи с инцидентом группа реагирования на чрезвычайные компьютерные ситуации Шри-Ланки (CERT|CC) начала расследование и активно работает над восстановлением данных. Перера подчеркнул, что правительство не намерено вести переговоры со злоумышленниками или платить выкуп за восстановление утраченных данных.
Личность хакерской группы, ответственной за атаку, остается неизвестной. Предполагается, что злоумышленники могли получить доступ к системе, распространяя вредоносные ссылки среди государственных служащих. Вероятно, они использовали уязвимость в устаревшей версии Microsoft Exchange, которая не была обновлена.
Примечательно, что правительство Шри-Ланки ранее подвергалось критике за недостаточное внимание к кибербезопасности. В стране не было специального органа по кибербезопасности до июня 2023 года, когда было принято законодательство о кибербезопасности.
БАНДА CLOP ЗАРАБОТАЛА БОЛЕЕ 75 МИЛЛИОНОВ ДОЛЛАРОВ НА ВЫМОГАТЕЛЬСКИХ АТАКАХ MOVEIT
Начиная с 27 мая группа разработчиков вымогательского ПО Clop начала масштабные атаки с целью кражи данных, используя ранее неизвестную уязвимость в платформе безопасной передачи файлов MOVEit Transfer.
Ожидается, что эти атаки повлекут за собой последствия для множества компаний по всему миру, причем многие из них уже проинформировали своих пострадавших клиентов в течение последних двух месяцев. Кроме того, Clop изменила свой подход к вымогательству, требуя значительно большие суммы выкупа, чем те, которые обычно наблюдаются при атаках, связанных с утечкой данных. Их цель - компенсировать общее снижение платежей за счет получения нескольких значительных сумм.
Судя по данным различных исследователей, предполагается, что лишь ограниченное число жертв кражи данных MOVEit решит произвести выплаты. Несмотря на это, Clop, по прогнозам, наберет значительную сумму, оцениваемую в 75-100 миллионов долларов, в основном благодаря значительным запросам на выкуп.
Индустрия Ransomware в 2023 году
Индустрия ransomware остается угрозой номер один для организаций по всему миру. Поскольку в этом квартале было зарегистрировано наибольшее количество жертв, атаки на цепочки поставок стали надежной техникой для зрелых и опытных групп ransomware.
Кроме того, в этом квартале появились новые амбициозные группировки, которые стремятся заявить о себе в индустрии ransomware. LockBit3.0 остается лидером индустрии, хотя Cl0p в этом квартале не сильно от него отставал.
Несмотря на то что в этом квартале мы наблюдали повышенную активность правоохранительных органов по всему миру, эта индустрия продолжает процветать, несмотря на эти усилия.
Если во втором квартале число случаев резко возросло и составило 1386, то в третьем квартале индустрия ransomware смогла превзойти это число - 1420 случаев.
Неудивительно, что США по-прежнему остаются страной, наиболее подверженной атакам ransomware, а сектор бизнес-услуг - наиболее атакуемым сектором.
Несомненно, новые лица, появившиеся в отрасли, а также кампания MOVEit смогли привести к многочисленным жертвам. В сочетании с последовательностью действий лидера индустрии LockBit3.0 это привело к разрушительным последствиям для компаний по всему миру.
Статистика
Как уже упоминалось, в этом квартале жертвами ransomware стали 1420 человек, что является самым большим числом жертв за один квартал.
Лучшие семейства Ransomware в III квартале 2023 года
Несмотря на то что этот квартал был успешным для всей индустрии вымогательского ПО, три семейства оказались далеко впереди. Как и ожидалось, LockBit3.0 остается самой популярной группой вымогателей: 252 новых жертвы, что составляет 17,7 % всех случаев заражения вымогателями.
На втором месте - Cl0p Ransomware, которому удалось заполучить значительное число жертв - 177. Важно отметить, что хотя Cl0p заявила о 177 жертвах, это произошло только за два из трех месяцев квартала, так как за сентябрь она не объявила ни одной жертвы.
На третьем месте - ветеранская группа ALPHV со 120 жертвами в этом квартале.
ТОП стран, подверженные атакам Ransomware в 3 квартале 2023 года
Что касается наиболее подверженных атакам стран (рис. 2), то США остаются страной номер один в мире, и на то есть веские причины. Ведущая экономика мира стала жертвой 51 % атак ransomware в этом квартале - 575 случаев.
Второй страной по количеству жертв в этом квартале стала Великобритания с 77 случаями, что значительно отстает от США. Наконец, на третьем месте находится Канада с 48 случаями заражения вымогательским ПО в этом квартале. Даже если сосредоточиться на трех ведущих странах, можно увидеть, что США, несомненно, является самой привлекательной страной для злоумышленников.
Лучшие секторы, подвергшиеся атакам Ransomware в третьем квартале 2023 года
Как и ожидалось, сектор бизнес-услуг был наиболее атакован в третьем квартале - 42 % случаев заражения ransomware, за ним следуют производство и розничная торговля - 19 % и 12 % соответственно (рис. 3).
Новые участники индустрии Ransomware в третьем квартале 2023 года
ГРУППА RANSOMWARE RHYSIDA
Группа Rhysida ransomware стала известна примерно в мае-июне 2023 года, когда она представила чат-портал поддержки жертв, доступный через сайт TOR (.onion). Группа представляет себя как "команду кибербезопасности", утверждая, что действует в интересах своих жертв, атакуя их системы и привлекая внимание к якобы имеющимся уязвимостям в системе безопасности и их потенциальным последствиям.
Группа Rhysida ransomware получила известность благодаря серии атак на медицинские учреждения, что побудило правительственные агентства и компании, занимающиеся кибербезопасностью, усилить контроль за деятельностью этой группы. Ранее в июне Rhysida впервые привлекла к себе внимание, опубликовав на своем сайте утечки данных документы, украденные у чилийской армии (Ejército de Chile).
Виктимология группы Rhysida Ransomware
Rhysida ransomware в основном нацелена на США - 31 % ее жертв. Кроме того, она также провела успешные кампании в Великобритании, Италии и Франции. Что касается целевых секторов, то, судя по всему, наибольшего успеха Rhysida добилась в секторе бизнес-услуг, на который приходится 51 % ее кампаний.
3AM: НОВОЕ СЕМЕЙСТВО RANSOMWARE
Появился новый штамм вымогательского ПО под названием 3AM, но его использование пока ограничено. Одна из интересных атак, которая была обнаружена, заключалась в том, что аффилированные лица пытались развернуть LockBit в сети цели, но переключились на 3AM, когда LockBit был заблокирован.
3AM написан на языке Rust и, похоже, представляет собой совершенно новое семейство вредоносных программ. Он следует определенной последовательности действий: Прежде чем начать процесс шифрования файлов, он пытается остановить работу нескольких служб на зараженном компьютере. После завершения шифрования он пытается стереть теневые копии тома (VSS). Возможные связи между его авторами и известными киберпреступными организациями остаются неясными.
Подозрительная деятельность угроз начиналась с использования команды gpresult для извлечения настроек политики, установленных на компьютере для определенного пользователя. Затем они запустили различные компоненты Cobalt Strike и попытались повысить привилегии на компьютере с помощью PsExec.
Затем злоумышленники провели разведку с помощью таких команд, как whoami, netstat, quser и net share. Они также пытались определить другие серверы для бокового перемещения с помощью команд quser и net view. Кроме того, они создали новую учетную запись пользователя для поддержания постоянства и использовали инструмент Wput для передачи файлов жертв на свой FTP-сервер.
14 сентября группа 3AM (ThreeAM) Ransomware обнародовала свои сайты утечки и включила в список жертв шесть организаций. В их число вошли пять организаций из США и одна из Малайзии. Пока неясно, было ли это намеренным рекламным ходом или просто случайным совпадением для этой группы, которая только недавно попала в поле зрения исследователей.
Аресты
США И ВЕЛИКОБРИТАНИЯ ВЕДУТ АКТИВНУЮ БОРЬБУ С БАНДАМИ TRICKBOT И CONTI
7 сентября Министерство финансов США и Министерство иностранных дел Великобритании совместно объявили о введении санкций против 11 человек, обвинив их в связях с киберпреступной группировкой Trickbot. Кроме того, Министерство юстиции США обнародовало обвинительные заключения в отношении девяти человек, предположительно связанных с Trickbot и аффилированной с ней организацией Conti. Примечательно, что семь человек, упомянутых в санкциях, также вошли в список тех, кому предъявлены обвинения.
Министерство юстиции обнародовало три обвинительных заключения, среди которых есть и Галочкин. Одно из этих обвинений, поданное 15 июня в Северном округе штата Огайо, обвиняет его и еще десять предполагаемых участников Trickbot в сговоре с целью использования вредоносной программы Trickbot для получения личной выгоды, а также личных и конфиденциальных данных от ничего не подозревающих жертв. Среди этих жертв - предприятия и финансовые учреждения как в США, так и по всему миру, причем противоправная деятельность началась в ноябре 2015 года.
В обвинительном заключении, поданном 12 июня в Среднем округе штата Теннесси, Галочкину и еще трем лицам были предъявлены обвинения в использовании программы Conti ransomware. Эти обвинения связаны с атаками, направленными на "предприятия, некоммерческие организации и правительства в США" в период с 2020 по июнь 2022 года.
Кроме того, в обвинительном заключении, поданном 14 июня в Южный округ Калифорнии, Галочкин обвиняется в связи с атакой Conti ransomware на Scripps Health, которая произошла 1 мая 2021 года.
СОТРУДНИК IT-КОМПАНИИ ПОПАЛ В ТЮРЬМУ ЗА ТО, ЧТО ВЫДАВАЛ СЕБЯ ЗА БАНДУ РАЗРАБОТЧИКОВ ВЫМОГАТЕЛЬСКОГО ПО
Эшли Лайлз, 28-летний бывший сотрудник ИТ-службы, получил тюремный срок более трех лет за участие в попытке вымогательства у своего работодателя во время атаки ransomware.
Лайлз, ранее работавший аналитиком по информационной безопасности в компании, расположенной в Оксфорде, злоупотребил своим служебным положением, чтобы вмешаться в процесс выплаты выкупа после атаки на своего работодателя.
Пытаясь обмануть компанию, он выдавал себя за группу, которая вымогала выкуп. Он попытался отвлечь платежи за выкуп, изменив криптовалютный кошелек злоумышленников на тот, который контролировал он сам.
Он получил доступ к личной электронной почте одного из членов совета директоров более 300 раз, а также подделал оригинальное письмо с шантажом, изменив назначение платежа, указанное первоначальным злоумышленником. Кроме того, он создал адрес электронной почты, очень похожий на тот, который использовали злоумышленники, и использовал его для оказания дополнительного давления на своего работодателя, чтобы гарантировать, что требования банды вымогателей будут выполнены, а выкуп выплачен.
Однако компания не выполнила требования злоумышленников. В ходе внутреннего расследования выяснилось, что Лайлз получал несанкционированный доступ к конфиденциальной электронной почте, используя домашнее подключение к Интернету.
Несмотря на то что Лайлз принял меры по удалению всех данных со своих личных устройств, как только узнал о ведущемся расследовании, команда киберпреступников из SEROCU изъяла его компьютер и успешно восстановила улики.
Поначалу Лайлз категорически отрицал свою причастность к преступлению, но во время недавнего судебного заседания в Королевском суде Рединга он признал свою вину, спустя пять лет после событий, о которых идет речь.
В результате Лайлз был приговорен к трем годам и семи месяцам тюремного заключения по обвинению в шантаже и несанкционированном доступе к компьютеру с целью совершения других преступлений.
Новые тенденции в области вымогательства в третьем квартале 2023 года
LINUX-ВЕРСИЯ ВЫМОГАТЕЛЬСКОГО ПО ABYSS LOCKER НАЦЕЛЕНА НА СЕРВЕРЫ VMWARE ESXI
Abyss Locker - это группа вымогателей, появившаяся сравнительно недавно. Предполагается, что ее деятельность началась в марте 2023 года. Их методы работы напоминают другие операции с вымогательским ПО: проникновение в корпоративные сети, утечка данных с целью двойного вымогательства и шифрование устройств в сети.
Кампания Abyss Locker - самый свежий пример тенденции, когда операторы вымогательского ПО разработали шифровальщик Linux, предназначенный специально для атак на виртуальные машины ESXi от VMware.
Поскольку организации все чаще используют виртуальные машины для повышения эффективности управления ресурсами, производительности и аварийного восстановления, группы разработчиков вымогательского ПО приспособились создавать шифровальщики, адаптированные к этим платформам.
Учитывая, что VMware ESXi является одной из самых распространенных платформ виртуальных машин, почти все группировки, занимающиеся вымогательством, начали выпускать шифровальщики для Linux, способные шифровать все виртуальные серверы, размещенные на этих устройствах.
ВРЕМЯ ПРЕБЫВАНИЯ ХАКЕРОВ В СЕТЯХ С ВЫМОГАТЕЛЬСТВОМ СОКРАТИЛОСЬ ДО 5 ДНЕЙ, НО RDP ПО-ПРЕЖНЕМУ ШИРОКО ИСПОЛЬЗУЕТСЯ
Угрожающие вымогателям программы-вымогатели теперь тратят меньше времени на работу во взломанных сетях, прежде чем решения безопасности обнаружат их присутствие. В первой половине этого года среднее время пребывания хакеров в сети сократилось с девяти дней в 2022 году до пяти дней.
Если сопоставить нашу статистику по семейству выкупных программ, включающую все атаки, отслеживаемые Cyberint, с данными, предоставленными компанией Sophos, специализирующейся на кибербезопасности, то обнаружилась примечательная тенденция. Среднее время пребывания в кибератаках, охватывающее весь спектр инцидентов, сократилось с десяти дней в 2022 году до восьми дней в первой половине этого года. Кроме того, стало очевидно, что атаки с выкупом составили около 70 % от общего числа кибератак, зарегистрированных за этот период.
Из наших выводов и выводов компании Sophos следует, что в то время как злоумышленники, использующие выкупное ПО, действуют быстро: среднее время пребывания в сети сократилось с 11 до 13 дней в этом году, другие киберпреступники, осуществляющие вторжения в сеть, склонны затягивать свое присутствие, выжидая подходящего момента.
Во всех случаях среднее время пребывания в сети колеблется на уровне 15-16 дней, а самое продолжительное время пребывания в сети в этом году превысило три месяца. Интересно, что кража данных становится все менее распространенной, поскольку таких атак стало меньше: в первом полугодии 2023 года их количество снизилось до 31,58 % с 42,76 % в 2022 году. Эта тенденция подтверждается ростом числа инцидентов, в которых было подтверждено отсутствие утечки данных, - с 1,32 % до 9,21 %.
Наши данные выявляют интригующие тенденции при изучении сроков проведения кибератак. Согласно статистике, мы предполагаем, что угрожающие субъекты, в том числе группы, занимающиеся распространением вымогательского ПО, чаще атакуют организации по вторникам, средам и четвергам.
Крупнейшие атаки и инциденты с использованием Ransomware в 3 квартале 2023 года
КОМПАНИЯ MOM'S MEALS РАСКРЫЛА УТЕЧКУ ДАННЫХ, ЗАТРОНУВШУЮ 1,2 МИЛЛИОНА ЧЕЛОВЕК
Компания PurFoods, работающая под названием Mom's Meals, сообщила о нарушении целостности данных в Генеральную прокуратуру штата Мэн. В результате взлома был получен несанкционированный доступ к конфиденциальной информации, включая персональные идентификаторы, такие как имена, номера финансовых счетов, данные платежных карт (кредитных или дебетовых), коды безопасности, а также пароли или PIN-коды учетных записей.
Впервые компания обнаружила "подозрительное поведение учетной записи" 22 февраля 2023 года. Последующее расследование показало, что PurFoods подверглась кибератаке в период с 16 января 2023 года по 22 февраля 2023 года. Во время этой атаки некоторые файлы в сети были зашифрованы. Хотя окончательно установить, были ли извлечены данные с их серверов, не удалось, такую возможность нельзя было исключать.
Компания PurFoods привлекла сторонних экспертов для проведения анализа потенциально скомпрометированных данных, который завершился 10 июля 2023 года. В результате проверки выяснилось, что в файлах содержалась личная и охраняемая медицинская информация конкретных лиц. Потенциально уязвимая информация включала имена, номера социального страхования, водительские права или идентификационные номера штата, информацию о финансовых счетах и платежных картах, медицинские и оздоровительные данные, а также даты рождения.
Компания начала процесс уведомления пострадавших лиц 25 августа. Согласно официальным данным, в результате инцидента безопасности пострадали около 1 237 681 человек.
ПРАВИТЕЛЬСТВО ШРИ-ЛАНКИИ ПОТЕРЯЛО МНОГОМЕСЯЧНЫЙ ОБЪЕМ ДАННЫХ В РЕЗУЛЬТАТЕ АТАКИ ВЫКУПНОГО ПО
В результате недавнего инцидента, связанного с кибербезопасностью, правительство Шри-Ланки понесло значительную потерю данных в результате атаки вымогательского ПО. Атаке подверглась правительственная сеть электронной почты Шри-Ланки, в результате чего пострадали тысячи учетных записей электронной почты, в том числе принадлежащие высокопоставленным правительственным чиновникам. Атака, начавшаяся в конце августа, затронула около 5 000 адресов электронной почты, использующих почтовый домен gov[.]lk, и среди пострадавших оказался совет министров, один из центральных правительственных органов.
Система, известная как Lanka Government Cloud (LGC), была подвергнута шифрованию вместе с резервными копиями. Хотя чиновникам удалось восстановить систему LGC в течение 12 часов после атаки, они не смогли восстановить резервные копии за период с 17 мая по 26 августа. Таким образом, все пострадавшие учетные записи потеряли данные за этот период, как заявил Махеш Перера, глава Агентства информационных и коммуникационных технологий Шри-Ланки (ICTA).
В связи с инцидентом группа реагирования на чрезвычайные компьютерные ситуации Шри-Ланки (CERT|CC) начала расследование и активно работает над восстановлением данных. Перера подчеркнул, что правительство не намерено вести переговоры со злоумышленниками или платить выкуп за восстановление утраченных данных.
Личность хакерской группы, ответственной за атаку, остается неизвестной. Предполагается, что злоумышленники могли получить доступ к системе, распространяя вредоносные ссылки среди государственных служащих. Вероятно, они использовали уязвимость в устаревшей версии Microsoft Exchange, которая не была обновлена.
Примечательно, что правительство Шри-Ланки ранее подвергалось критике за недостаточное внимание к кибербезопасности. В стране не было специального органа по кибербезопасности до июня 2023 года, когда было принято законодательство о кибербезопасности.
БАНДА CLOP ЗАРАБОТАЛА БОЛЕЕ 75 МИЛЛИОНОВ ДОЛЛАРОВ НА ВЫМОГАТЕЛЬСКИХ АТАКАХ MOVEIT
Начиная с 27 мая группа разработчиков вымогательского ПО Clop начала масштабные атаки с целью кражи данных, используя ранее неизвестную уязвимость в платформе безопасной передачи файлов MOVEit Transfer.
Ожидается, что эти атаки повлекут за собой последствия для множества компаний по всему миру, причем многие из них уже проинформировали своих пострадавших клиентов в течение последних двух месяцев. Кроме того, Clop изменила свой подход к вымогательству, требуя значительно большие суммы выкупа, чем те, которые обычно наблюдаются при атаках, связанных с утечкой данных. Их цель - компенсировать общее снижение платежей за счет получения нескольких значительных сумм.
Судя по данным различных исследователей, предполагается, что лишь ограниченное число жертв кражи данных MOVEit решит произвести выплаты. Несмотря на это, Clop, по прогнозам, наберет значительную сумму, оцениваемую в 75-100 миллионов долларов, в основном благодаря значительным запросам на выкуп.
Индустрия Ransomware в 2023 году
Индустрия ransomware остается угрозой номер один для организаций по всему миру. Поскольку в этом квартале было зарегистрировано наибольшее количество жертв, атаки на цепочки поставок стали надежной техникой для зрелых и опытных групп ransomware.
Кроме того, в этом квартале появились новые амбициозные группировки, которые стремятся заявить о себе в индустрии ransomware. LockBit3.0 остается лидером индустрии, хотя Cl0p в этом квартале не сильно от него отставал.
Несмотря на то что в этом квартале мы наблюдали повышенную активность правоохранительных органов по всему миру, эта индустрия продолжает процветать, несмотря на эти усилия.
