Bitcoin -kirjanpito salaisena aseena sodassa ransomware -ohjelmia vastaan

Lunnasohjelmat, haittaohjelmat, jotka salaavat tietokoneet ja pitävät ne "lukittuina" lunnaiden maksamiseen asti, ovat Coinfirmin mukaan maailman nopeimmin kasvava tietoverkkouhka. Viimeaikaiset hyökkäykset kriittistä kansallista infrastruktuuria vastaan, kuten Colonial Pipeline -hyökkäys, joka rapautti öljy- ja kaasutoimituksia viikon ajaksi Yhdysvaltojen itärannikolla, ovat laukaisseet hälytyksen. Lunnaat maksetaan lähes aina Bitcoinissa tai muissa kryptovaluutoissa. 

Mutta vaikka monia järkytti Mayn siirtomaaputkihyökkäys - Bidenin hallinto antoi jälkikäteen uusia putkilinjasääntöjä - suhteellisen harvat ovat tietoisia tämän draaman viimeisestä teosta: Lohkoketjuanalyysin avulla FBI pystyi seurata lunnaiden maksurahasto virtaa ja kerää takaisin noin 85% lunastusohjelmaryhmälle DarkSide maksetusta Bitcoinista. 

Itse asiassa lohkoketjuanalyysi, jota voidaan edelleen parantaa koneoppimisalgoritmeilla, on lupaava uusi tekniikka taistelussa kiristysohjelmia vastaan. Se vie joitain salauksen ydinominaisuuksia - esim. Hajauttaminen ja läpinäkyvyys - ja käyttää näitä ominaisuuksia vastaan haittaohjelmien väärinkäyttäjät. 

Vaikka salakirjoituksen vastustajat pyrkivät korostamaan sen salanimeä - ja houkuttelevuutta rikollisiin elementteihin tästä syystä - heillä on taipumus jättää huomiotta BTC -tapahtumien suhteellinen näkyvyys. Bitcoin -pääkirja päivitetään ja jaetaan päivittäin kymmenille tuhansille tietokoneille maailmanlaajuisesti reaaliajassa, ja sen tapahtumat ovat kaikkien nähtävissä. Analysoimalla virtoja oikeuslääketieteen asiantuntijat voivat usein tunnistaa epäilyttävä toiminta. Tämä voi osoittautua ransomware -mailan Achilleuksen kantapääksi.

Huonosti käytetty keino

"Lohkoketju, johon Bitcoin -tapahtumat kirjataan, on alikäytetty rikostekninen työkalu, jota lainvalvontaviranomaiset ja muut voivat käyttää laittoman toiminnan tunnistamiseen ja häiritsemiseen." Michael Morrell, Yhdysvaltain tiedustelupalvelun entinen johtaja, ilmoitti tuoreessa blogissaan ja lisäsi:

"Yksinkertaisesti sanottuna lohkoketjuanalyysi on erittäin tehokas rikollisuuden torjunta- ja tiedustelutyökalu. […] Eräs kriittisen valuutan ekosysteemin asiantuntija kutsui lohkoketjuteknologiaa" siunaukseksi valvonnasta "." 

Samalla tavalla kolme Columbian yliopiston tutkijaa äskettäin julkaistu paperi, "Identifying Ransomware Actors in the Bitcoin Network", jossa kuvataan, kuinka he pystyivät tunnistamaan kirjoitusohjelmahyökkääjät kaavioiden koneoppimisalgoritmien ja lohkoketjuanalyysin avulla "85%: n ennustustarkkuudella testitiedostoilla".

Lunnasohjelmataistelun etulinjassa olevat näkevät lupauksen lohkoketjuanalyysissä. "Vaikka aluksi saattaa tuntua siltä, ​​että kryptovaluutta mahdollistaa ransomware -haittaohjelmat, salausvaluutta on itse asiassa tärkeä väline sen torjunnassa", Chainalysisin julkisen sektorin teknologiajohtaja Gurvais Grigg kertoo Magazine -lehdelle ja lisää:

”Oikeiden välineiden avulla lainvalvonta voi seurata lohkoketjun rahaa ymmärtääkseen ja häiritäkseen paremmin organisaation toimintaa ja toimitusketjua. Tämä on osoittautunut onnistuneeksi lähestymistavaksi, kuten näimme tammikuussa NetWalker -ransomware -kannan "poistossa". "

Toinen kysymys on, riittääkö blockchain -analyysi yksin ransomware -hyökkäysten estämiseksi tai onko se yhdistettävä muihin taktiikoihin, kuten poliittisen/taloudellisen paineen kohdistamiseen ulkomaisiin maihin, jotka sietävät ransomware -ryhmiä.

Rikollisten paljastaminen?

Etelä -Kalifornian yliopiston tietojenkäsittelytieteen apulaisprofessori Clifford Neuman uskoo, että lohkoketjuanalyysi on alikäytetty rikostekninen työkalu. "Monet ihmiset, mukaan lukien rikolliset, olettavat, että Bitcoin on anonyymi. Itse asiassa se ei ole kaukana siitä, että varojen virta näkyy paremmin julkisessa lohkoketjussa kuin lähes kaikissa muissa liiketoimissa. ” Hän lisää: "Temppu on sitoa päätepisteet yksilöihin, ja lohkoketjuanalyysityökaluja voidaan joskus käyttää tämän linkityksen tekemiseen."

Kelvollinen keino paljastaa lunnasohjelmahyökkääjät? "Kyllä, ehdottomasti", Dave Jevans, salakirjoitusyrityksen CipherTrace toimitusjohtaja, kertoo Magazine -lehdelle. "Käyttämällä tehokasta lohkoketjuanalytiikkaa, kryptovaluutta-älyohjelmistoa"-sellaista kuin hänen yrityksensä tuottaa-"seuratakseen, mihin ransomware-toimijat siirtävät varojaan, voivat viedä tutkijat todelliseen henkilöllisyyteensä, kun he yrittävät salata salauksensa fiatiksi." 

Analyysitoimisto Ellipticin politiikka- ja sääntelyasioiden johtaja David Carlisle kertoo Magazine -lehdelle: "Lohkoketjuanalyysi on jo osoittautunut arvokkaaksi tekniikaksi, jonka avulla lainvalvonta voi häiritä näiden verkkojen toimintaa, kuten Colonial Pipeline -tapaus teki selväksi."

Muutaman päivän kuluessa Colonial Pipeline -lunnaismaksusta Elliptic pystyi tunnistamaan maksun vastaanottaneen Bitcoin -lompakon. "Se [lompakko] oli saanut Bitcoin -maksuja maaliskuusta lähtien, yhteensä 8 miljoonaa dollaria," recounts asianajotoimisto Kelley Drye & Warren LLP. Ellipticia auttoi se, että pahantekijät eivät olleet käyttäneet mitään "sekoittimia" peittääkseen jälkensä. Carlisle lisää: 

"Bitcoinin ja muiden salausvarojen taustalla oleva läpinäkyvyys tarkoittaa sitä, että lainvalvontaviranomaiset voivat usein saada sellaisen käsityksen rahanpesutoimista, joka ei olisi mahdollista fiat -valuutoilla."

Vauhtia koneoppimisesta?

Koneoppiminen (ML) on yksi niistä uusista tekniikoista, kuten lohkoketju, jonka uudet käyttötapaukset näyttävät löytyvän viikoittain. Voiko ML auttaa myös sodassa lunnasohjelmia vastaan?

"Ehdottomasti", Recorded Future -yhtiön vanhempi tiedusteluanalyytikko Allan Liska kertoo Magazine -lehdelle ja lisää edelleen: "Ottaen huomioon milloin tahansa tapahtuvien haitallisten tapahtumien suuren määrän ja joidenkin ransomware -ryhmien kasvavan kehittyneisyyden, rahanpesukyky manuaalinen analyysistä on tullut vähemmän tehokas-ja koneoppimista tarvitaan, jotta voidaan seurata tehokkaasti haitallisten tapahtumien merkkivaloja. ”

”Koneoppiminen on erittäin lupaavaa rikosten torjunnassa”, Coinfirmin petostutkinnan johtaja Roman Bieda kertoo Magazine -lehdelle, mutta se vaatii valtavan määrän tietoja ollakseen tehokas. On suhteellisen helppoa hankkia miljoonia miljoonia Bitcoin -osoitteita, mutta tietojoukko, jolla oppimismalli voidaan kouluttaa ja testata, vaatii myös tietyn määrän "petollisia" Bitcoin -osoitteita - eli vahvistettuja lunnasohjelma -toimijoita. "Muuten malli joko merkitsee paljon vääriä positiivisia tuloksia tai jättää petolliset tiedot vähäiseksi prosentiksi", Bieda sanoo.

Oletetaan, että haluat rakentaa mallin, joka vetää koirien valokuvia kissojen valokuvista, mutta sinulla on koulutustiedosto, jossa on 1,000 XNUMX kissakuvaa ja vain yksi koirakuva. ML -malli "olisi oppia että on hyvä käsitellä kaikkia valokuvia kissakuvina, koska virhemarginaali on [vain] 0.001 ”, Bieda toteaa. Toisin sanoen, algoritmi vain arvaisi "kissaa" koko ajan, mikä tekisi mallista tietysti hyödyttömän, vaikka sen kokonaistarkkuus olisi korkea.  

Columbian yliopiston tutkimuksessa tutkijat käyttivät 400 miljoonaa Bitcoin -tapahtumaa ja lähes 40 miljoonaa Bitcoin -osoitetta, mutta vain 143 näistä vahvistettiin ransomware -osoitteiksi. 

"Osoitamme, että hyvin paikalliset osakaaviot tunnetuista tällaisista toimijoista riittävät erottamaan ransomware-, satunnais- ja uhkapelitoimijat 85%: n ennustetarkkuudella testitiedostoista", raportoivat kirjoittajat ja lisäsivät, että "Lisäparannuksen pitäisi olla mahdollista parantamalla klusterointia algoritmeja. ” 

He lisäsivät kuitenkin, että "Luotettavamman datan hankkiminen parantaisi tarkkuutta", jolloin malli olisi "arkaluonteisempi" ja vältettäisiin Biedan edellä kuvaama ongelma. 

Samalla tavalla Yhdysvaltain sisäministeriö antoi direktiivin siirtomaa -putkilinjan hyökkäyksen jälkeen, jossa vaadittiin putkiyhtiöitä raportoimaan kyberhyökkäyksistä. Hyökkäyksistä ilmoittaminen oli ollut vapaaehtoista ennen. Tällaiset toimeksiannot auttavat luultavasti rakentamaan julkisen tietojoukon "petollisista" osoitteista, joita tarvitaan tehokkaaseen lohkoketjuanalyysiin. Carlisle lisää: "Julkisen ja yksityisen sektorin kumppanuuksien on keskityttävä ransomware-hyökkäyksiin liittyvien taloudellisten tietojen jakamiseen."

Monet lohkoketjuanalyysit perustuvat käsitykseen siitä, että hyökkääjät voidaan paljastaa hyökkäyksen jälkeen. Mutta lainvalvontaviranomaiset ja erityisesti ransomware -uhrit haluaisivat, etteivät hyökkäykset tapahtuisi ensiksi. Jevansin mukaan lohkoketjuanalyysi voi myös antaa lainvalvontaviranomaisille mahdollisuuden toimia ennaltaehkäisevästi. Hän kertoo lehdelle:

"Vaikka lohkoketjujen klusterointialgoritmit vaativat tyypillisesti jonkun suorittamaan maksun osoitteeseen varojen seuraamiseksi ja omistajan tunnistamiseksi, edistyneet työkalut, kuten CipherTrace, voivat tuottaa toimivaa tietoa osoitteista, jotka eivät vielä ole saaneet varoja, kuten IP -tiedot joka voi auttaa tutkijoita. ”

Tarpeellinen mutta ei riittävä?

Jotkut kysyvät kuitenkin, riittääkö estoketjuanalyysi itsessään ransomware -ohjelmien poistamiseksi. "Lohkoketjuanalyysi on tärkeä työkalu lainvalvontatyökalupaketissa, mutta ei ole yhtä hopealuetta lunnasohjelmaongelman ratkaisemiseksi", Grigg sanoo. 

Liska lisää: ”Parhaatkaan tutkimus- ja tunnistamistyökalut eivät ole tehokkaita, elleivät hallitukset ole halukkaita ottamaan niitä käyttöön. Lunnasohjelmakauppojen lopettaminen edellyttää yhteistyötä yksityisten yksiköiden ja hallitusten välillä. ”

Monet ransomware -hyökkäykset ovat peräisin Venäjän rajoilta Coinfirmin mukaan, joten jotkut kysyvät, voidaanko Vladimir Putinia painostaa lopettamaan näiden ryhmien toiminta. "Aiemmat tapaukset osoittavat, että kyberhyökkäyksiin liittyviä maita vastaan ​​ei voida tehdä paljon, vaikka on olemassa erittäin vahvoja indikaattoreita siitä, että hakkerit liittyvät salaisiin palveluihin", Bieda kertoo Magazine -lehdelle. 

Toiset kyseenalaistavat, voiko blockchain -analyysi tehdä haavoja haittaohjelmaongelmaan. "On aivan liian aikaista poistaa salausvaluutta ransomware -välineenä", Dewardin yliopiston taloustieteen professori Edward Cartwright kertoo Magazine -lehdelle. "Vaikka viime aikoina on ollut muutamia" hyviä uutisia ", todellisuus on, että ransomware -rikolliset käyttävät edelleen rutiininomaisesti Bitcoinia helpoimpana ja anonyymimpänä tapana saada lunnaita."

Lisäksi, vaikka Bitcoinista tulee liian radioaktiivinen pahantekijöille sen jäljitettävyyden vuoksi - Cartwrightin mielestä ”iso jos”, ”rikolliset voivat yksinkertaisesti siirtyä täysin anonyymeihin ja jäljittämättömiin valuuttoihin”, hän sanoo.

"Meidän on todella lisättävä yhteistyötä yksityisen ja julkisen sektorin välillä näiden ransomware -ryhmien täydellisten profiilien luomiseksi", Jevans sanoo. "Tietojen jakaminen näissä tilanteissa voi olla hopea luoti." 

"Yksi haasteista on se, että ransomware -ryhmät ovat siirtymässä offline -menetelmiin Bitcoinin siirtämiseksi", Liska sanoo. "Kirjaimellisesti kaksi ihmistä tapaa parkkipaikalla tai ravintolassa puhelimensa ja salkunsa täynnä rahaa." Tämän tyyppisiä tapahtumia on paljon vaikeampi jäljittää, hän kertoo Magazine -lehdelle, "mutta ei silti mahdotonta kehittyneemmillä seurantatekniikoilla."

Mutta siirtyvätkö pahat tekijät yksityisyyskolikoihin?

Entä Cartwrightin pointti siitä, että ransomware -toimijat siirtyvät yksinkertaisesti yksityisyyskolikoihin, kuten Monero, jos Bitcoin osoittautuu liian jäljitettäväksi? Elliptic näkee jo "merkittävän nousun" yrityksissä saada maksuja lunnasohjelman uhreilta Monerossa, Carlisle kertoo Magazine -lehdelle. "Tämä on todella lisääntynyt Colonial Pipeline -tapauksen jälkeen, jolloin Bitcoinin jäljitettävyyden vaikutukset olivat selkeästi esillä muille tietoverkkorikollisille."

Mutta myös yksityisyyskolikot voidaan jäljittää, vaikka se on vaikeampaa tehdä, koska toisin kuin Bitcoin, yksityisyyskolikot piilottavat käyttäjien osoitteet ja tapahtumien määrät. Joillakin lainkäyttöalueilla on myös murskattiin yksityisyyskolikoita, tai ajattelet tehdä niin. Esimerkiksi Japani kielsi yksityisyyskolikot vuonna 2018. Mutta on myös käytännön ongelma. Lunastusohjelman uhreilla, jotka joutuvat maksamaan määräajan, on usein vaikeuksia löytää vaihtoja, jotka muuttavat heidän fiat -valuuttansa XMR: ksi vaaditussa ajassa, jotta he voivat maksaa kiristäjilleen ja avata tietokoneensa, Bieda kertoo Magazine -lehdelle. Salauspörssit eivät tue yksityisyyskolikoita läheskään yhtä hyvin kuin Bitcoin. Jevans sanoo: "Bitcoin on yksinkertaisesti helpoin hankkia kryptovaluutta", ja lisää:

"On epätodennäköistä, että ransomware-toimijat lopettavat kokonaan Bitcoinin käytön sen likviditeetin ja sen vuoksi, että Bitcoin on helposti saatavilla rampille verrattuna muihin yksityisyyttä parantaviin salausvaluutoihin."

Useimmat säännellyt pörssit eivät tarjoa Monero -kauppaa, lisää Carlisle. ”Uhrit voivat neuvotella hyökkääjien kanssa ja saada heidät hyväksymään maksun Bitcoinissa, mutta sitten hyökkääjät vaativat yleensä 10–15%: n maksun Bitcoin -maksuista enemmän kuin mitä he vaativat Moneron maksusta - mikä osoittaa heidän huolensa Bitcoinin jäljitettävyydestä. jättää heidät haavoittuvaisiksi. ” 

Onko salauksen kieltäminen ratkaisu?

Äskettäin entinen Federal Reserve Bank of New Yorkin valvoja Lee Reiners ehdotti Wall Street Journalin mielipidekirjoituksessa: "On olemassa yksinkertaisempi ja tehokkaampi tapa pysäyttää ransomware -pandemia: kieltää kryptovaluutta." Loppujen lopuksi hän lisäsi: "Ransomware ei voi menestyä ilman kryptovaluuttaa." 

"Tämä kuulostaa ratkaisulta, joka olisi vielä pahempi kuin ongelma", kommentoi Kobre & Kim LLP: n lakimies Benjamin Sauter. "Se kuitenkin heijastaa käsitystä, erityisesti monien Yhdysvaltojen poliittisten päättäjien keskuudessa, että salausvaluutta tarjoaa rikollisille turvapaikan, jota on rajoitettava", hän kertoo Magazine -lehdelle. 

"Lunastusohjelmahyökkäyksemme uhrien toimijoiden kannattavuus heikkenisi varmasti, jos salausvaluuttaa ei olisi olemassa, koska fiat-pesu on luonnostaan ​​kalliimpaa", Bill Siegel, ransomware-palautusyrityksen Covewaren perustaja ja toimitusjohtaja, kertoo Magazine-lehdelle. "Nämä hyökkäykset tapahtuisivat silti."

"En usko, että on järkevää kieltää kryptovaluutta", Neuman lisää. ”Yhdysvalloissa voimassa olevat lait, jotka koskevat kirjoja, edellyttävät tietojen keräämistä tietyntyyppisistä maksuvälineistä tietyn kynnyksen ylittävissä tapahtumissa, ja voimme soveltaa näitä sääntöjä myös kryptovaluuttaan. Jos kieltämme salausvaluutan, rikolliset yksinkertaisesti siirtävät maksuvaatimuksensa muihin välineisiin. ”

"Kissa ja hiiri peli"

Jatkossa ransomware -ryhmät joutuvat elämään kasvavan riskin kanssa jäädä kiinni käyttämällä Bitcoinia, Liska sanoo, "tai päättää, ovatko he halukkaita hyväksymään huomattavasti pienemmät lunnaamaksut nimettömyytensä säilyttämiseksi."  

Tämä on edelleen "kissa ja hiiri peli rikollisten ja lainvalvontaviranomaisten välillä", lisää Cartwright, "ja lainvalvonnan viimeaikaiset onnistumiset johtuvat enemmän siitä, että rikolliset ovat olleet huolimattomia tai tehneet virheitä [pikemminkin] kuin [rikollisten] perustavanlaatuinen virhe" bisnesmalli."

Maailmanlaajuisia ponnisteluja voidaan vaatia ransomware -ohjelmien kääntämiseksi. Kaikkien maiden on säänneltävä salausvaihtokeskuksia, Carlisle sanoo, "muuten hyökkääjillä on edelleen helpot keinot rahanpesun pesemiseen", kun taas Bieda ennustaa, että salausta käytetään edelleen lunnaita varten ", kunnes tiukat maailmanlaajuiset ja alueelliset määräykset ankarat rangaistukset huonosta KYC: stä.

Siirtoputken jäljitys #bitcoin #matto DarkSide -FBI -takavarikkoon:
▸5/8 Colonial Pipeline maksaa 75 BTC
/5/9 DarkSiden kumppani peruuttaa 63.75 BTC
/5/27 63.75 BTC siirrettiin toiseen lompakkoon, yksityinen avain ”oli FBI: n hallussa”
/6/8 BTC FBI: n takavarikoimassa lompakossa pic.twitter.com/RAebpn3P3H

- elliptinen (@ elliptic) Kesäkuu 10, 2021

On myös tärkeää laittaa ransomware kontekstiin. "Lunnasohjelmat ovat yksinkertaisesti uusin tapa, jolla rikolliset ovat ansainneet rahaa hyväkseen", Neuman sanoo. "Jossain vaiheessa sitä ei ehkä enää kutsuta ransomwareksi, mutta hyökkäykset tietokonejärjestelmiä vastaan ​​saavat muita muotoja." Sauter lisää: "Kaikki voisivat, jos olisi teollisuuspohjainen ratkaisu."

Yhteenvetona voidaan todeta, että ihmisillä on taipumus yliarvioida Bitcoinin nimettömyys ja aliarvioida sen avoimuus. "Aina tulee olemaan huonoja toimijoita", kuten Jevans toteaa, mutta ransomware -ryhmät ymmärtävät, että salausmaksut ovat jäljitettävissä, jättäen heidät haavoittuvaisiksi ja ehkä jopa kannustamalla heitä löytämään muita keinoja harjoittaa salakavalaa kauppaa.

Samaan aikaan "Jatkuva kehitys blockchain -analytiikassa antaa tutkijoille enemmän ja vielä parempia oivalluksia ajan myötä", Carlisle sanoo. Ja kun lainvalvontaviranomaiset ovat yhä taitavampia käyttämään näitä analyysityökaluja, "voimme odottaa näkevämme enemmän ja suurempia [ransomware] takavarikkoja ajan myötä."

Lähde: https://cointelegraph.com/magazine/2021/09/16/bitcoin-ledger-as-a-secret-weapon-in-war-against-ransomware