ФБР обнаружило колониальный платеж в биткоинах

В мае 2021 года крупнейший в США трубопровод Colonial Pipeline был остановлен из-за атаки программы-вымогателя . В то время по трубопроводу Colonial Pipeline транспортировалось 45% топлива, используемого на восточном побережье США, от Техаса до района залива Нью-Йорка. Атака была осуществлена ​​российской хакерской группой, известной как «Darkside» . Группа хакеров за 2 часа экспортировала более 100 ГБ данных с трубопровода Colonial Pipeline. Позже Darkside потребовали выкуп в биткоинах за возврат незашифрованных и не опубликованных в открытом доступе данных с трубопровода Colonial Pipeline.

Они заплатили?

Эксперты по кибербезопасности по всему миру призывают жертв программ-вымогателей не платить выкуп. Министерство финансов США запретило выплаты выкупа за программы-вымогатели в 2020 году. Однако компания Colonial Pipeline решила заплатить 4.4 миллиона долларов в биткоинах. Несколько недель спустя ФБР якобы удалось вернуть 63.7 из 75 биткоинов, выплаченных Darkside, что шокировало сообщество кибербезопасности. Биткоины и платежи по ним должны быть неотслеживаемыми.

Как ФБР удалось обнаружить биткоины?

Согласно отчету Министерства юстиции , ФБР удалось получить доступ к закрытому ключу биткоин-кошелька (кошельков), куда был отправлен выкуп от Colonial, что дало им доступ к их соответствующим счетам для торговли криптовалютой. Затем ФБР просто перевело средства со счета (счетов) себе, независимо от того, знали ли они, кому принадлежат эти кошельки или нет. Зачастую хакеры используют более одного счета/кошелька при приеме биткоин-платежей, чтобы обеспечить себе еще большую анонимность.

Как это произошло

Получатель преступной транзакции допустил ошибку и передал ФБР свои приватные ключи от биткойн-кошелька. Приватные ключи биткойна обычно не только хранятся в тайне, но и в зашифрованном виде, поэтому для разблокировки закрытого ключа требуется двухфакторная аутентификация, прежде чем вы сможете начать разблокировать средства, защищённые этим приватным ключом в биткойн-кошельке. 

Вот наиболее вероятные способы, которыми ФБР могло бы восстановить ключи от приватного кошелька Bitcoin:

• Внедрите на свой компьютер шпионскую программу для поиска файлов и записи нажатий клавиш. При некоторой удаче внедренное шпионское ПО может не только украсть ваш закрытый ключ, но и узнать пароль, необходимый для его разблокировки. Офлайн-криптовалютные кошельки и подобные им закрытые ключи известны в сфере торговли как «…холодные кошельки», поскольку они не предназначены для доступа в Интернете.
• Обратитесь к криптовалютной бирже, чтобы получить доступ к хранящимся там данным. Некоторые поклонники криптовалюты хранят по крайней мере часть своих средств в так называемых «горячие кошелькиЭто означает, что они доверяют свой закрытый ключ третьей стороне, управляющей сайтом торговли криптовалютами, чтобы иметь возможность быстро покупать и продавать криптовалюты онлайн. Законные биржи могут и будут сотрудничать с правоохранительными органами, если того потребует ордер, и если у биржи есть ваш кошелек и ваш закрытый ключ, она может их передать. (Кроме того, биржу могут взломать, или, если сама биржа мошенническая, она может украсть вашу криптовалюту.)
• Сорвите джекпот, подорвав авторитет инсайдера. Один или несколько человек из команды вируса-вымогателя DarkSide имели доступ к незаконно полученным средствам, что позволило ФБР получить от них необходимые разведданные. Злоумышленники, работающие на инсайдеров, также могут быть информаторами ФБР! Аналогично, если вы сообщите другим людям пароли к своим криптовалютам, они могут вас сдать или просто украсть деньги, подобно тому, как они могли бы фиктивно снять деньги с вашего банковского счета, если бы вы сообщили им PIN-код нашей банковской карты.

Что делать?

К счастью, ФБР удалось вернуть значительную часть средств по этому делу, хотя в свете этого события вам следует предпринять некоторые действия:

• Не вкладывайте все свои криптовалюты в горячие кошельки. Когда вы доверяете свои сбережения или зарплату банку, вы получаете многолетнюю защиту и контроль со стороны регулирующих органов. В нерегулируемом мире криптовалют вы практически полностью зависите от ситуации, если что-то пойдет не так. Не храните в горячем кошельке больше, чем можете позволить себе потерять.
• Не храните все свои данные постоянно онлайн. По иронии судьбы, возможно, одной из важных мер защиты от программ-вымогателей является создание резервной копии в автономном режиме, в идеале — за пределами вашего компьютера. Хранение ваших криптовалют, а также любых по-настоящему конфиденциальных или критически важных данных в автономном режиме — не менее полезная мера предосторожности.
• Не рассчитывайте сохранить в тайне, например, пароль Bitcoin или PIN-код банкомата, если вы сообщите их другим людям. Как приписывают высказывание Бенджамина Франклина: «Три человека могут хранить секрет, если двое из них мертвы». Помните: Если вы сомневаетесь, не выдавайте его.
• Не ждите, что вы получите свои деньги обратно, как это сделала компания Colonial. Возвращение криптовалюты следует рассматривать как редкое исключение, а не как общее правило. Как объяснялось выше, для достижения подобного результата правоохранительным органам обычно требуется резонансное дело, серьёзные оперативные данные и немного обычной удачи.

Помимо этих мер, специфичных для криптовалют, вашей компании необходимо принять превентивные меры, чтобы снизить риск атак программ-вымогателей. CyberHoot рекомендует следующие рекомендации, чтобы избежать этих атак, подготовиться к ним и предотвратить ущерб от них:

• принять двухфакторная аутентификация на всех критически важных интернет-сервисах
• Принять Password Manager для лучшей гигиены личных/рабочих паролей
• Требуйте пароли длиной 14+ символов в вашем аккаунте Политика управления
• Следуйте Метод резервного копирования 3-2-1 для всех критических и конфиденциальных данных
• Обучаем сотрудников чтобы обнаружить и избежать электронных писем фишинг нападки
• Проверьте, что сотрудники может обнаружить и предотвратить фишинговые письма, тестируя их
• Документ и тест Планы восстановления непрерывности бизнеса в случае сбоя (BCDR)
• Выполнить оценка риска каждые два-три года

Начните создавать свой надежный, многоуровневый план кибербезопасности с помощью CyberHoot.

Чтобы узнать больше о программах-вымогателях, посмотрите наше последнее обучающее видео:

Источник: 

NakedSecurity – Sophos

Дополнительная литература: 

Атака вируса-вымогателя JBS демонстрирует важность резервного копирования

Взлом колониального трубопровода

Взлом трубопровода вынудил Техас потребовать проведения обучения по повышению осведомленности