Ransomware GandCrab

Přicházejí sofistikovanější a škodlivější útoky ransomwaru

Běloruské policisté zatkli 31letého muže, o kterém se předpokládá, že stojí za ransomwarem GandCrab, který v letech 2017 až 2018 vydíral přes 1000 obětí. Hacker od svých obětí požadoval částečné platby v bitcoinech ve výši 400 až 1500 dolarů. Transakce v bitcoinech jsou online většinou nesledovatelné, a proto jsou vhodné pro hackerské platby. Tento hacker útočil na oběti rozesíláním milionů phishingových e-mailů. K útokům ransomwaru nedocházelo pouze v Bělorusku. Hacker infikoval také systémy v USA, Velké Británii, na Ukrajině, ve Francii, Itálii a Rusku. Úřady podezřívají tohoto hackera z kariérního kyberzločince, který si veškeré příjmy vydělává hackováním jednotlivců nebo firem. Bylo zjištěno, že hacker nejenže používá ransomware GandCrab, ale také vytvářel a prodával malware pro kupující na podzemních fórech.

Co je GandCrab?

Internet umožnil vznik mnoha různých produktů „as-a-Service“, jako například: Software as-a-Service (SaaS) , Infrastructure as-a-Service (IaaS) a Platform as-a-Service (PaaS) . Mezi běžné příklady „as-a-Service“ patří Salesforce, Slack a Microsoft O365. Hackerská komunita také přijala model „as-a-Service“. Existují podzemní fóra dark webu, kde se obchoduje a prodávají hackerské nástroje, přihlašovací údaje a rady v oblasti hackingu. GandCrab je v tomto modelu přímo zasazen. Označuje se jako Ransomware-as-a-Service (RaaS), což odstraňuje překážku vývoje, nasazení a provozování vlastních hackerských nástrojů. Provozovatelé GandCrab udělají většinu práce za vás. Provozovatelé účtují „poplatky“, obvykle 30 %, což je odrazem toho, co Apple a Google dělají na svých SaaS tržištích.

Autoři GandCrabu v roce 2019 ukončili svou nabídku RaaS s tím, že jejich „partneři“ vydělali přes 2 miliardy dolarů a stovky milionů pro samotné provozovatele. Autoři GandCrabu vydali toto prohlášení, proč GandCrab ukončili: 

„Za rok, co s námi spolupracujeme, si lidé vydělali více než 2 miliardy dolarů. […] Ale […] všechno dobré jednou končí. Odcházíme do zaslouženého důchodu. Dokázali jsme, že konáním zlých skutků se trest nestane.“

Ransomware REvil a MAZE

Společnost Sophos se domnívá, že hackeři GandCrabu neodešli do důchodu, ale místo toho pokračovali ve vývoji nových, ničivějších ransomwarových služeb. Ransomware tradičně šifroval soubory, které ovlivňovaly dostupnost dat, nicméně silné zálohy umožňovaly společnostem ignorovat žádosti o vydírání obnovením svých souborů. Odborníci se domnívají, že autoři GandCrabu jej vyřadili z provozu, aby vytvořili nový ransomwarový útok zaměřený na důvěrnost dat. CyberHoot psal o nebezpečnějším ransomwaru s názvem MAZE již v dubnu tohoto roku. MAZE exportuje kritická data společnosti a hrozí jejich zveřejněním na veřejném internetu. Sophos podobně tvrdí, že autoři GandCrabu vyvinuli a vydali ransomware REvil, aby udělali totéž. V červnu 2020 GSMLAW zažila tento nový ransomwarový útok REvil, který hrozil aukcí osobních údajů o celebritách a populárních organizacích, včetně: Mariah Carey, Lebrona Jamese, Nicki Minaj, MTV a Universal.

Ransomware REvil a MAZE představují významné zvýšení hrozeb, které ransomware představuje pro firmy. Zálohy již nepředstavují zmírňující opatření proti těmto útokům. Firmy potřebují nový přístup k ochraně. CyberHoot by argumentoval, že firmy potřebují přístup, který riziko infekce vůbec snižuje. 

Co dělat?

Nejlepším způsobem, jak se bránit většině kybernetických hrozeb, je vzdělávání zaměstnanců a klientů s cílem zlepšit jejich povědomí. Generální ředitel společnosti Lucy Security, Colin Bastable, se k nedávnému útoku ransomwaru Garmin vyjádřil takto :

„Všechny bezpečnostní technologie na světě neochrání před odhodlanými útočníky. 97 % ztrát pochází ze sociálně inženýrských útoků a více než 90 % je iniciováno e-mailem.“

S ohledem na tyto statistiky by mělo být zřejmé, že prvním krokem k zabezpečení vaší firmy je proškolení uživatelů. 

Útoky ransomwaru jsou čím dál častější, sofistikovanější a mají stále větší dopad a nutí stále více organizací platit výkupné. Dokud budou firmy platit, hackeři budou i nadále vyvíjet ničivější útoky. CyberHoot pomáhá organizacím vzdělávat jejich zaměstnance a snižovat pravděpodobnost těchto ransomwarových infekcí.

Kromě školení o povědomí o CyberHootu proveďte tyto další kroky k ochraně vaší firmy a snížení pravděpodobnosti, že se stanete obětí tohoto až příliš běžného vektoru útoku:

• Přijmout dvoufaktorová autentizace na všech kritických službách přístupných k internetu
• Sledujte Metoda zálohování 3-2-1 pro zabezpečení všech vašich důležitých a citlivých dat
• Zaměstnanci testující phishing aby byli neustále ve střehu a kontrolovali každý e-mail
• Mějte zdokumentované a otestované Plán pro zajištění kontinuity podnikání a zotavení po havárii (BCDR)
• Vládní zaměstnanci s zásady kybernetické bezpečnosti

Zdroje:

Ransomware GrandCrab – Sophos

Aukce informací REvil – Sophos

Další četba:

Útok ransomwaru Garmin

Hlavní napadené účty na Twitteru

MAZE Ransomware: 3x větší hrozba pro bezpečnost dat

Chcete-li se dozvědět více o ransomwaru, podívejte se na toto krátké 3minutové video:

https://www.youtube.com/watch?v=0WrdL1TDy6Y