GandCrab Ransomware

Prichádzajú sofistikovanejšie a škodlivejšie útoky ransomvéru

Bieloruské orgány činné v trestnom konaní zatkli 31-ročného muža, o ktorom sa predpokladá, že stojí za ransomvérom GandCrab, ktorý v rokoch 2017 až 2018 vymohol viac ako 1000 obetí. Hacker od svojich obetí požadoval čiastočné platby v bitcoinoch vo výške 400 až 1500 dolárov. Bitcoinové transakcie sú online väčšinou nesledovateľné, a preto sú vhodné na hackerské platby. Tento hacker útočil na obete rozosielaním miliónov phishingových e-mailov. Tieto útoky ransomvéru sa nediali len v Bielorusku. Hacker infikoval aj systémy v USA, Spojenom kráľovstve, na Ukrajine, vo Francúzsku, Taliansku a Rusku. Úrady podozrievajú tohto hackera z kariérneho kyberzločinca, ktorý si všetky príjmy zarábal hackovaním jednotlivcov alebo firiem. Hacker nielenže používal ransomvér GandCrab, ale tiež vytváral a predával malvér pre kupujúcich na podzemných fórach.

Čo je GandCrab?

Internet umožnil vytvorenie mnohých rôznych produktov „ako služba“, ako napríklad: softvér ako služba (SaaS) , infraštruktúra ako služba (IaaS) a platforma ako služba (PaaS) . Medzi bežné príklady „ako služba“ patria Salesforce, Slack a Microsoft O365. Hackerská komunita tiež prijala model „ako služba“. Existujú podzemné fóra dark webu, kde sa obchoduje a predáva hackerské nástroje, poverenia a hackerské rady. GandCrab je v tomto modeli jednoznačne zastúpený. Označuje sa ako Ransomware ako služba (RaaS), čím sa odstraňuje prekážka vývoja, nasadzovania a prevádzkovania vlastných hackerských nástrojov. Prevádzkovatelia GandCrab robia väčšinu práce za vás. Prevádzkovatelia si účtujú „poplatky“, zvyčajne 30 %, čo je podobné tomu, čo robia Apple a Google na svojich SaaS trhoviskách.

Autori GandCrabu ukončili svoju ponuku RaaS v roku 2019 a chválili sa, že ich „partnerské spoločnosti“ zarobili viac ako 2 miliardy dolárov a stovky miliónov pre samotných prevádzkovateľov. Autori GandCrabu vydali toto vyhlásenie, prečo GandCrab ukončili: 

„Za rok spolupráce s nami si ľudia zarobili viac ako 2 miliardy dolárov. […] Ale […] všetko dobré raz skončí. Odchádzame do zaslúženého dôchodku. Dokázali sme, že konaním zlých skutkov sa trest neblíži.“

Ransomvér REvil a MAZE

Spoločnosť Sophos verí, že hackeri GandCrab neodišli do dôchodku, ale namiesto toho pokračovali vo vývoji nových, ničivejších ransomvérových služieb. Ransomvér tradične šifroval súbory, čo malo vplyv na dostupnosť údajov, avšak silné zálohy umožňovali spoločnostiam ignorovať žiadosti o vydieranie obnovením svojich súborov. Odborníci sa domnievajú, že autori GandCrab ho zrušili, aby vytvorili nový ransomvérový útok zameraný na dôvernosť údajov. CyberHoot písal o nebezpečnejšom ransomvéri s názvom MAZE už v apríli tohto roku. MAZE exportuje kritické údaje spoločnosti a hrozí ich zverejnením na verejnom internete. Sophos podobne tvrdí, že autori GandCrab vyvinuli a vydali ransomvér REvil, aby urobili to isté. V júni 2020 GSMLAW zažila tento nový ransomvérový útok REvil, ktorý hrozil aukciou osobných údajov o celebritách a populárnych organizáciách vrátane: Mariah Carey, Lebron James, Nicki Minaj, MTV a Universal.

Ransomvéry REvil a MAZE predstavujú výrazné zvýšenie hrozieb, ktoré ransomvér predstavuje pre spoločnosti. Zálohy už nie sú zmierňujúcou kontrolou proti týmto útokom. Spoločnosti potrebujú nový prístup k svojej ochrane. CyberHoot by tvrdil, že spoločnosti potrebujú prístup, ktorý v prvom rade znižuje riziko infekcie. 

Čo robiť?

Najlepším spôsobom, ako sa brániť pred väčšinou kybernetických hrozieb, je vzdelávať svojich zamestnancov a klientov s cieľom zlepšiť ich povedomie. Generálny riaditeľ spoločnosti Lucy Security, Colin Bastable, sa k nedávnemu útoku ransomvéru Garmin vyjadril takto :

„Všetky bezpečnostné technológie na svete neochránia pred odhodlanými útočníkmi. 97 % strát pochádza zo sociálne inžinierskych útokov a viac ako 90 % je iniciovaných e-mailom.“

S ohľadom na tieto štatistiky by malo byť zrejmé, že prvým krokom k zabezpečeniu vášho podnikania je zaškolenie používateľov. 

Útoky ransomvéru sú čoraz častejšie, sofistikovanejšie a majú čoraz väčší dopad, čo núti viac organizácií platiť výkupné. Pokiaľ budú firmy platiť, hackeri budú naďalej vyvíjať ničivejšie útoky. CyberHoot pomáha organizáciám vzdelávať svojich zamestnancov a znižovať pravdepodobnosť týchto ransomvérových infekcií.

Okrem školenia o povedomí o CyberHoot vykonajte tieto ďalšie kroky na ochranu svojej firmy a zníženie rizika, že sa stanete obeťou tohto až príliš bežného vektora útoku:

• prijať dvojfaktorová autentizácie na všetkých kritických internetových službách
• Sledujte Metóda zálohovania 3-2-1 pre zabezpečenie všetkých vašich kritických a citlivých údajov
• Zamestnanci testujúci phishing aby boli neustále v strehu a kontrolovali každý e-mail
• Mať zdokumentované a otestované Plán kontinuity podnikania a obnovy po havárii (BCDR)
• Vládni zamestnanci s politiky kybernetickej bezpečnosti

Zdroje:

Ransomvér GrandCrab – Sophos

Aukcie informácií REvil – Sophos

Ďalšie čítania:

Útok ransomvéru Garmin

Hlavné účty na Twitteri boli napadnuté hackermi

MAZE Ransomware: 3-násobná hrozba pre bezpečnosť údajov

Ak sa chcete dozvedieť viac o ransomvéri, pozrite si toto krátke 3-minútové video:

https://www.youtube.com/watch?v=0WrdL1TDy6Y