FBI gjenoppretter kolonial Bitcoin-betaling

15. juni 2021 | Blogg

I mai 2021 stoppet driften av USAs største rørledning, Colonial Pipeline, på grunn av et løsepengevirusangrep . På den tiden fraktet Colonial Pipeline 45 % av drivstoffet som brukes på den amerikanske østkysten, og gikk fra Texas til New York Bay Area. Angrepet ble utført av en russiskbasert hackergruppe kjent som «Darkside» . Hackergruppen eksporterte over 100 GB data i løpet av 2 timer fra Colonial Pipeline. Senere ba Darkside om bitcoin- løsepenger for å returnere Colonial Pipeline-data ukryptert og uutgitt til det offentlige internett.

Betalte de?

Nettsikkerhetseksperter over hele verden oppfordrer ofre for ransomware til ikke å betale løsepengene. Det amerikanske finansdepartementet forbød ransomware-betalinger i 2020. Colonial Pipeline bestemte seg imidlertid for å betale 4.4 millioner dollar i bitcoins. Uker senere skal FBI ha klart å returnere 63.7 av de 75 bitcoinene som ble betalt til Darkside, noe som sjokkerte nettsikkerhetsmiljøet. Bitcoins og betalingene til disse skal visstnok ikke kunne spores.

Hvordan gjenvant FBI Bitcoins?

Ifølge en rapport fra det amerikanske departementet (DOJ ) klarte FBI å få tak i den private nøkkelen til Bitcoin-lommeboken(e) der Colonials løsepenger havnet, noe som ga dem tilgang til deres respektive kryptovalutahandelskonto. FBI overførte deretter ganske enkelt pengene på kontoen(e) til seg selv, enten de visste hvem som eide disse lommebøkene eller ikke. Ofte bruker hackere mer enn én konto/lommebok når de godtar Bitcoin-betalinger, slik at de kan opprettholde anonymiteten sin.

Hvordan det skjedde

Mottakeren av den kriminelle transaksjonen gjorde en feil og eksponerte sine private nøkler til bitcoin-lommeboken for FBI. Private bitcoin-nøkler holdes vanligvis ikke bare private, men lagres også i kryptert form der du trenger tofaktorautentisering for å låse opp den private nøkkelen før du kan begynne å låse opp midlene som er sikret av den private nøkkelen i bitcoin-lommeboken.

Her er de mest sannsynlige måtene FBI kan ha gjenopprettet Bitcoin-nøklene til den private lommeboken:

Installer et spionprogram på datamaskinen din for å søke etter filer og registrere tastetrykk. Med litt flaks kan implantert spionprogramvare ikke bare være i stand til å stramme inn din private nøkkel, men også finne ut passordet som trengs for å låse den opp. Offline kryptovaluta-lommebøker og private nøkler av denne typen er kjent i bransjen som «kalde lommebøker«fordi de ikke er ment å være tilgjengelige på nett.»
Samarbeid med en kryptovalutabørs for å få tilgang til data som er lagret der. Noen kryptovaluta-fans oppbevarer i det minste noe av midlene sine i det som er kjent som «varme lommebøker«, som betyr at de stoler på en tredjepart som driver et nettsted for handel med kryptomynter med sin private nøkkel, slik at de raskt kan kjøpe og selge kryptomynter på nett. Legitime børser kan og vil samarbeide med politiet hvis det kreves av en ransakelsesordre, og hvis børsen har lommeboken din og din private nøkkel, kan den utlevere dem. (Børsen kan også bli hacket, eller, hvis børsen selv er skurk, stikke av med kryptovalutaen din.)
Vinn jackpotten ved å undergrave en insider. En eller flere personer i DarkSide-ransomware-mannskapet ville ha hatt tilgang til de ulovlig tilegnede midlene, slik at FBI kunne ha tilegnet seg etterretningen de trengte fra dem. Innsideangripere kan også være informanter for FBI! På samme måte, hvis du forteller andre kryptopassordene dine, kan de selge deg eller rett og slett stjele pengene selv, på omtrent samme måte som de kunne gjøre fantomuttak fra bankkontoen din hvis du fortalte dem PIN-koden til minibankkortet vårt.

Hva gjør jeg?

Det er en lettelse at FBI fikk tilbake en stor del av midlene i denne saken, selv om det er visse ting du bør gjøre i lys av denne hendelsen:

Ikke legg inn alle kryptomyntene dine varme lommebøker. Når du overlater sparepengene eller lønnsutbetalingene dine til en bank, gjør du det med årevis med regulatorisk gransking og beskyttelse som støtte. I den uregulerte kryptovalutaverdenen er du i stor grad overlatt til deg selv hvis noe går galt. Ikke ha mer enn du har råd til å tape i en «hot wallet».
Ikke ha all dataen din på nett hele tiden. Ironisk nok er kanskje et viktig forsvar mot ransomware i utgangspunktet å opprettholde en offline sikkerhetskopi, ideelt sett en som også er ekstern. Å holde kryptomyntene dine, samt alle virkelig private eller kritiske data, offline – er en tilsvarende nyttig forholdsregel.
Ikke forvent å holde på en hemmelighet, som for eksempel et Bitcoin-passord eller en PIN-kode til en minibank, hvis du forteller det til andre. Som Benjamin Franklin visstnok sa: «Tre personer kan holde på en hemmelighet, hvis to av dem er døde.» Husk: Hvis du er i tvil, ikke gi den ut.
Ikke forvent å få pengene tilbake slik Colonial gjorde. Du må tenke på gjenoppretting av kryptomynter som et sjeldent unntak, ikke som en vanlig regel. Som forklart ovenfor, krever det vanligvis en høyprofilert sak, pluss sterk operativ etterretning, pluss litt vanlig flaks, for at politiet skal oppnå et slikt resultat.

I tillegg til disse kryptovalutaspesifikke tiltakene, må bedriften din iverksette proaktive tiltak for først å redusere sjansene for å bli rammet av ransomware. CyberHoot anbefaler følgende beste praksis for å unngå, forberede seg på og forhindre skade fra disse angrepene:

Adopter tofaktorautentisering på alle kritiske internettilgjengelige tjenester
Vedta en Password Manager for bedre personlig/arbeidsmessig passordhygiene
Krev passord på 14+ tegn i ditt Styringspolitikk
Følg a 3-2-1 sikkerhetskopieringsmetode for alle kritiske og sensitive data
Tren ansatte å oppdage og unngå e-postbaserte phishing angrep
Sjekk at ansatte kan oppdage og unngå phishing-e-poster ved å teste dem
Dokumenter og test Planer for forretningskontinuitet og gjenoppretting etter katastrofer (BCDR)
Utfør en risikovurdering hvert annet til tredje år