GandCrab Ransomware

Грядут более сложные и разрушительные атаки программ-вымогателей

Белорусские правоохранительные органы арестовали 31-летнего мужчину, предположительно стоящего за программой-вымогателем GandCrab, которая в период с 2017 по 2018 год вымогала деньги у более чем 1000 жертв. Хакер требовал от своих жертв частичную оплату в биткоинах в размере от 400 до 1500 долларов. Транзакции с биткоинами в интернете в основном не отслеживаются, что делает их удобными для хакерских платежей. Этот хакер атаковал жертв, рассылая миллионы фишинговых писем. Эти атаки с использованием программ-вымогателей происходили не только в Беларуси. Хакер заражал системы в США, Великобритании, Украине, Франции, Италии и России. Власти подозревают, что этот хакер является профессиональным киберпреступником, зарабатывавшим весь свой доход на взломе частных лиц или предприятий. Было установлено, что хакер не только использовал программу-вымогатель GandCrab, но и создавал и продавал вредоносное ПО покупателям на подпольных форумах.

Что такое GandCrab?

Интернет позволил создать множество различных продуктов «как услуга» (as-a-Service), таких как: программное обеспечение как услуга (SaaS) , инфраструктура как услуга (IaaS) и платформа как услуга (PaaS) . К распространенным примерам «как услуга» относятся Salesforce, Slack и Microsoft O365. Хакерское сообщество также приняло модель «как услуга». Существуют подпольные форумы в даркнете, где можно торговать и продавать инструменты для взлома, учетные данные и советы по взлому. GandCrab идеально вписывается в эту модель. Он называется «программа-вымогатель как услуга» (RaaS), устраняя необходимость в разработке, развертывании и запуске собственных инструментов для взлома. Операторы GandCrab выполняют большую часть работы за вас. Операторы взимают «комиссию», обычно 30%, по аналогии с тем, что делают Apple и Google на своих SaaS-площадках соответственно.

Авторы GandCrab закрыли свой RaaS-сервис в 2019 году, хвастаясь тем, что их «партнёры» заработали более 2 миллиардов долларов, а сами операторы получили сотни миллионов. Авторы GandCrab опубликовали следующее заявление о причинах закрытия GandCrab: 

За год работы у нас люди заработали более 2 миллиардов долларов. […] Но […] всему хорошему приходит конец. Мы уходим на заслуженный отдых. Мы доказали, что за злодеяния расплата не наступает.

Программы-вымогатели REvil и MAZE

Компания Sophos считает, что хакеры, использовавшие GandCrab, не ушли на пенсию, а продолжили разработку новых, более разрушительных сервисов вымогательства. Традиционно программы-вымогатели шифровали файлы, влияя на доступность данных, однако надежные резервные копии позволяли компаниям игнорировать требования вымогательства, восстанавливая свои файлы. Эксперты полагают, что авторы GandCrab отказались от него, чтобы создать новую атаку с использованием программ-вымогателей, ориентированную на конфиденциальность данных. В апреле этого года CyberHoot писала о более опасной программе-вымогателе под названием MAZE . MAZE экспортирует критически важные данные компании и угрожает опубликовать их в открытом доступе в Интернете. Аналогичным образом, Sophos утверждает, что авторы GandCrab разработали и выпустили программу-вымогатель REvil с той же целью. В июне 2020 года GSMLAW столкнулась с новой атакой программы-вымогателя REvil, которая угрожала продать на аукционе личную информацию знаменитостей и популярных организаций, включая: Мэрайю Кэри, Леброна Джеймса, Ники Минаж, MTV и Universal.

Программы-вымогатели REvil и MAZE представляют собой значительный рост угроз для компаний, создаваемых программами-вымогателями. Резервное копирование больше не является средством смягчения последствий этих атак. Компаниям необходим новый подход к защите. CyberHoot утверждает, что компаниям изначально необходим подход, снижающий риск заражения. 

Что делать?

Лучший способ защититься от большинства угроз кибербезопасности — это обучение персонала и клиентов для повышения их осведомленности. Генеральный директор Lucy Security Колин Бастабл прокомментировал недавнюю атаку программы-вымогателя Garmin :

«Все технологии безопасности в мире не защитят от целенаправленных злоумышленников. 97% потерь происходят из-за атак с использованием социальной инженерии, а более 90% инициируются через электронную почту».

Учитывая эту статистику, первый шаг к обеспечению безопасности вашего бизнеса должен быть очевиден: обучите своих пользователей. 

Атаки программ-вымогателей становятся всё более частыми, изощрёнными и разрушительными, вынуждая всё больше организаций платить выкуп. Пока компании продолжают платить, хакеры будут разрабатывать всё более разрушительные атаки. CyberHoot помогает организациям обучать своих сотрудников и снижать вероятность заражения программами-вымогателями.

В дополнение к обучению по повышению осведомленности CyberHoot выполните следующие дополнительные действия, чтобы защитить свой бизнес и снизить вероятность стать жертвой этого слишком распространенного вектора атак:

• принять двухфакторная аутентификация на всех критически важных интернет-сервисах
• Следуйте Метод резервного копирования 3-2-1 для защиты всех ваших критически важных и конфиденциальных данных
• Сотрудники Phish-теста держать их в напряжении, проверяя каждое электронное письмо
• Иметь задокументированный и проверенный План обеспечения непрерывности бизнеса и восстановления после сбоев (BCDR)
• Управляйте сотрудниками с помощью политика кибербезопасности

источники:

GrandCrab Ransomware – Sophos

Аукционы информации REvil – Sophos

Дополнительная литература:

Атака Garmin Ransomware

Взломаны крупные аккаунты Twitter

Программа-вымогатель MAZE: тройная угроза безопасности данных

Чтобы узнать больше о программах-вымогателях, посмотрите это короткое 3-минутное видео:

https://www.youtube.com/watch?v=0WrdL1TDy6Y