Ransomware-fortjenesten avtar når ofrene graver seg inn, nekter å betale

Som et annet tegn på at tidevannet endelig kan vende seg mot løsepengevareaktører, falt løsepengerbetalingene betydelig i 2022 ettersom flere ofre nektet å betale angriperne sine – av en rekke årsaker.

Hvis trenden fortsetter, forventer analytikere at løsepengevareaktører vil begynne å kreve større løsepenger fra større ofre for å prøve å kompensere for fallende inntekter, samtidig som de i økende grad går etter mindre mål som er mer sannsynlig å betale (men som representerer potensielt mindre utbetalinger).

En kombinasjon av sikkerhetsfaktorer

"Våre funn tyder på at en kombinasjon av faktorer og beste praksis - som sikkerhetsberedskap, sanksjoner, strengere forsikringer og forskernes fortsatte arbeid - er effektive for å dempe betalinger," sier Jackie Koven, leder for etterretningstjeneste for cybertrusler ved Kjedeanalyse.

Chainanalysis sa at forskningen deres viste løsepengevare-angripere presset rundt 456.8 millioner dollar fra ofre i 2022, ned nesten 40 % fra $765.6 millioner de hadde hentet ut fra ofre året før. Det faktiske antallet vil sannsynligvis være mye høyere med tanke på faktorer som underrapportering av ofre og ufullstendig synlighet over løsepengevareadresser, innrømmet Chainanalysis. Likevel er det liten tvil om at utbetalinger av løsepengevare ble redusert i fjor på grunn av en økende uvilje hos ofrene til å betale angriperne sine, sa selskapet.

"Bedriftsorganisasjoner som investerer i cybersikkerhetsforsvar og løsepengevareberedskap utgjør en forskjell i løsepengevarelandskapet," sier Koven. "Når flere organisasjoner er forberedt, er det færre som trenger å betale løsepenger, noe som til slutt hindrer cyberkriminelle med løsepenger."

Andre forskere er enige. "Bedriftene som er mest tilbøyelige til å ikke betale er de som er godt forberedt på et løsepenge-angrep," forteller Scott Scher, senior cyber-intelligensanalytiker hos Intel471, til Dark Reading. "Organisasjoner som har en tendens til å ha bedre datasikkerhetskopierings- og gjenopprettingsevner er definitivt bedre forberedt når det gjelder motstandskraft mot en løsepenge-hendelse, og dette reduserer høyst sannsynlig deres behov for å betale løsepenger."

En annen faktor, ifølge Chainanalysis, er at det å betale løsepenger har blitt juridisk mer risikabelt for mange organisasjoner. De siste årene har den amerikanske regjeringen innført sanksjoner mot mange løsepengevareenheter som opererer fra andre land. 

I 2020 gjorde for eksempel det amerikanske finansdepartementets kontor for kontroll av utenlandske aktiva (OFAC) det klart at organisasjoner – eller de som jobber på deres vegne – risikerer å bryte amerikanske regler hvis de betaler løsepenger til enheter på sanksjonslisten. Resultatet er at organisasjoner har blitt stadig mer skeptiske til å betale løsepenger "hvis det til og med er et snev av forbindelse til en sanksjonert enhet," sa Chainanalysis.

"På grunn av utfordringene trusselaktører har hatt med å presse ut større bedrifter, er det mulig at løsepengevaregrupper kan se mer mot mindre, enklere mål som mangler robuste cybersikkerhetsressurser i bytte mot lavere løsepengekrav," sier Koven.

Fallende løsepenger: En kontinuerlig trend

Coveware ga også ut en rapport denne uken som fremhevet den samme nedadgående trenden blant dem som betaler løsepenger. Selskapet sa at dataene deres viste at bare 41 % av løsepengeofrene i 2022 betalte løsepenger, sammenlignet med 50 % i 2021, 70 % i 2020 og 76 % i 2019. I likhet med kjedeanalyse, tilskrev Coveware også en årsak til nedgangen til bedre beredskap blant organisasjoner for å håndtere løsepengevareangrep. Spesifikt var høyprofilerte angrep som det på Colonial Pipeline svært effektive for å katalysere nye bedriftsinvesteringer i nye sikkerhet- og forretningskontinuitetsfunksjoner.

Angrep som blir mindre lukrative er en annen faktor i blandingen, sa Coveware. Rettshåndhevelsesinnsats fortsett å gjøre løsepengevareangrep dyrere å gjennomføre. Og med færre ofre betaler, gjenger ser mindre samlet fortjeneste, så den gjennomsnittlige utbetalingen per angrep er lavere. Sluttresultatet er at et mindre antall nettkriminelle er i stand til å leve av løsepengevare, sa Coverware.

Bill Siegel, administrerende direktør og medgründer av Coveware, sier at forsikringsselskaper har påvirket proaktiv virksomhetssikkerhet og beredskap for hendelser på en positiv måte de siste årene. Etter at cyberforsikringsselskaper led betydelige tap i 2019 og 2020, har mange strammet inn vilkårene for tegning og fornyelse og krever nå at forsikrede enheter har minimumsstandarder som MFA, sikkerhetskopiering og opplæring i hendelser. 

Samtidig mener han at forsikringsselskapene har hatt ubetydelig innflytelse i virksomhetens beslutninger om hvorvidt de skal betale eller ikke. "Det er uheldig, men den vanlige misoppfatningen er at forsikringsselskapene på en eller annen måte tar denne avgjørelsen. Berørte selskaper tar avgjørelsen,” og fremmer et krav etter hendelsen, sier han.

Sier "Nei" til ublu løsepengevarekrav

Allan Liska, etterretningsanalytiker ved Recorded Future, peker på ublu krav om løsepenger de siste to årene som har drevet den økende tilbakeholdenheten blant ofrene til å betale. For mange organisasjoner indikerer ofte en nytte-kostnadsanalyse at det å ikke betale er det beste alternativet, sier han. 

"Når krav om løsepenger var [i] fem eller lave seks tall, kan noen organisasjoner ha vært mer tilbøyelige til å betale, selv om de ikke likte ideen," sier han. "Men et syv- eller åttesifret løsepengekrav endrer denne analysen, og det er ofte billigere å håndtere utvinningskostnader pluss eventuelle søksmål som kan stamme fra angrepet," sier han.

Konsekvensene for manglende betaling kan variere. For det meste, når trusselaktører ikke mottar betaling, har de en tendens til å lekke eller selge data de kan ha eksfiltrert under angrepet. Offerorganisasjoner må også slite med potensielt lengre nedetider på grunn av gjenopprettingsarbeid, potensielle utgifter som frigjøres til kjøp av nye systemer og andre kostnader, sier Scher fra Intel471.

For organisasjoner i frontlinjen av løsepenge-plagen vil nyheter om den rapporterte nedgangen i løsepenger sannsynligvis være til liten trøst. Bare denne uken, Yum Brands, foreldrene til Taco Bell, KFC og Pizza Hut, måtte stenge nesten 300 restauranter i Storbritannia i en dag etter et løsepenge-angrep. I en annen hendelse, et løsepengeangrep på det norske programvareselskapet DNV for maritime flåtestyring rammet rundt 1,000 fartøyer tilhørende rundt 70 operatører.

Fallende inntekter sporer gjenger i nye retninger

Slike angrep fortsatte med uforminsket styrke gjennom 2022, og de fleste forventer lite pusterom fra angrepsvolumene i 2023 heller. Kjedeanalyses forskning viste for eksempel at til tross for fallende løsepengevareinntekter, økte antallet unike løsepengevarestammer som trusseloperatører distribuerte i fjor til over 10,000 2022 bare i første halvdel av XNUMX.

I mange tilfeller utplasserte individuelle grupper flere stammer samtidig for å forbedre sjansene for å generere inntekter fra disse angrepene. Ransomware-operatører fortsatte også å sykle gjennom forskjellige stammer raskere enn noen gang før - den gjennomsnittlige nye ransomware-stammen var aktiv bare i 70 dager - sannsynligvis i et forsøk på å skjule aktiviteten deres.

Det er tegn på at fallende ransomware-inntekter legger press på ransomware-operatører.

Coveware fant for eksempel at gjennomsnittlige løsepenger i siste kvartal av 2022 økte med 58 % i forhold til forrige kvartal til 408,644 342 dollar, mens medianbetalingen skjøt i været med 185.972 % til XNUMX XNUMX dollar i samme periode. Selskapet tilskrev økningen til forsøk fra nettangripere på å kompensere for bredere inntektsnedgang gjennom året. 

"Ettersom den forventede lønnsomheten til et gitt løsepenge-angrep avtar for nettkriminelle, har de forsøkt å kompensere ved å justere sin egen taktikk," sa Coveware. "Trusselaktører beveger seg litt oppover i markedet for å prøve å rettferdiggjøre større innledende krav i håp om at de resulterer i store løsepenger, selv når deres egen suksessrate synker."

Et annet tegn er at mange ransomware-operatører begynte å presse ut ofre på nytt etter å ha hentet penger fra dem første gang, sa Coveware. Gjenutpressing har tradisjonelt vært en taktikk forbeholdt ofre for små bedrifter. Men i 2022 begynte grupper som tradisjonelt har målrettet mellomstore til store selskaper også å bruke taktikken, sannsynligvis som et resultat av økonomisk press, sa Coveware.

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
• kilde: https://www.darkreading.com/attacks-breaches/ransomware-profits-decline-victims-refuse-pay