Leksjoner fra LockBit Takedown

Publisert av Platon

Følgere: 0

Som de fleste operatører der ute, vi virkelig likte forrige måneds nyheter om internasjonal rettshåndhevelse som forstyrret LockBit, en av verdens mest lønnsomme løsepengevaregjenger.

Ransomware har blitt et globalt problem i løpet av de siste 10 årene, med moderne løsepengevaregjenger som effektivt fungerer som komplekse virksomheter. I løpet av det siste året eller så har flere regjeringer og private selskaper samarbeidet for å forstyrre disse gjengene. De koordinerende organisasjonene som er involvert i Operasjon Cronos brukte LockBits egen infrastruktur for å publisere detaljer om gjengens operasjoner. For eksempel, LockBits lekkasjeside ble brukt til å offentliggjøre fjerningen: arrestasjoner i flere land, tilgjengelige dekrypteringsnøkler, informasjon om skuespillerne og så videre. Denne taktikken tjener ikke bare til å sjenere LockBit – den er også en effektiv advarsel til gjengens tilknyttede selskaper og til andre gjenger med løsepenger.

Skjermbilde av LockBit-lekkasjestedet etter fjerning etter fjerning som oppsummerer aktivitetene rettshåndhevelse utførte. (Kilde: Aaron Walton.)

Denne aktiviteten mot LockBit representerer en stor gevinst, men løsepengevare fortsetter å være et betydelig problem, selv fra LockBit. For bedre å bekjempe løsepengevare, må nettsikkerhetssamfunnet vurdere noen erfaringer.

Stol aldri på kriminelle

I følge Storbritannias National Crime Agency (NCA) var det tilfeller der et offer betalte LockBit, men gjengen slettet ikke dataene fra serverne sine som lovet.

Dette er ikke uvanlig, selvfølgelig. Mange løsepengevaregjenger klarer ikke å gjøre det de sier de vil, enten det ikke er å tilby en metode for å dekryptere filer eller fortsette å lagre stjålne data (i stedet for å slette dem).

Dette fremhever en av de største risikoene ved å betale løsepenger: Offeret stoler på at en kriminell holder opp med å betale. Å avsløre at LockBit ikke slettet dataene som lovet, skader gruppens omdømme alvorlig. Ransomware-grupper må opprettholde et utseende av troverdighet - ellers har ofrene deres ingen grunn til å betale dem.

Det er viktig for organisasjoner å forberede seg på disse hendelsene og ha planer på plass. Organisasjoner bør aldri anta at dekryptering vil være mulig. I stedet bør de prioritere å lage grundige katastrofegjenopprettingsplaner og prosedyrer i tilfelle dataene deres blir kompromittert.

Rettshåndhevende organisasjoner, som USAs FBI, Cybersecurity and Infrastructure Security Agency (CISA) og Secret Service, er alltid interessert i angripernes taktikk, verktøy, betalinger og kommunikasjonsmetoder. Disse detaljene kan hjelpe dem med å identifisere andre ofre som er målrettet av samme angriper eller en angriper som bruker samme taktikk eller verktøy. Innsamlet innsikt inkluderer informasjon om ofre, økonomiske tap, angrepstaktikker, verktøy, kommunikasjonsmetoder og betalingskrav, som igjen hjelper rettshåndhevende byråer til å bedre forstå løsepengevaregrupper. Informasjonen brukes også når de anklager forbryterne når de blir tatt. Hvis rettshåndhevelse kan se mønstre i teknikkene som brukes, avslører det et mer fullstendig bilde av den kriminelle organisasjonen.

Når det gjelder ransomware-as-a-service (RaaS), bruker byråer et todelt angrep: forstyrre både gjengens administrative ansatte og dets tilknyttede selskaper. Det administrative personalet er generelt ansvarlig for å administrere datalekkasjestedet, mens tilknyttede selskaper er ansvarlige for å distribuere løsepengevare og kryptering av nettverk. Det administrative personalet muliggjør kriminelle, og vil, uten at de fjernes, fortsette å muliggjøre andre kriminelle. Tilknyttede selskaper vil jobbe for andre gjenger med løsepengeprogram dersom det administrative personalet blir forstyrret.

Tilknyttede selskaper bruker infrastruktur de har kjøpt eller ulovlig tilgang til. Informasjon om denne infrastrukturen er eksponert av deres verktøy, nettverkstilkoblinger og atferd. Detaljer om administratorer avsløres gjennom løsepengeprosessen: For at løsepengeprosessen skal skje, gir administratoren en kommunikasjonsmetode og en betalingsmetode.

Selv om betydningen kanskje ikke virker umiddelbart verdifull for en organisasjon, er politi og forskere i stand til å utnytte disse detaljene for å avsløre mer om kriminelle bak dem. Når det gjelder LockBit, var rettshåndhevelse i stand til å bruke detaljer fra tidligere hendelser for å planlegge avbrudd i gruppens infrastruktur og noen tilknyttede selskaper. Uten den informasjonen, samlet inn ved hjelp av angrepsofre og allierte byråer, ville operasjon Cronos sannsynligvis ikke vært mulig.

Det er viktig å merke seg at organisasjoner ikke trenger å være ofre for å hjelpe. Myndigheter er ivrige etter å samarbeide med private organisasjoner. I USA kan organisasjoner bli med i kampen mot løsepengevare ved å samarbeide med CISA, som dannet Joint Cyber Defense Collaborative (JCDC) for å bygge partnerskap globalt for å dele kritisk og tidsriktig informasjon. JCDC legger til rette for toveis informasjonsdeling mellom offentlige etater og offentlige organisasjoner.

Dette samarbeidet hjelper både CISA og organisasjoner med å holde seg på toppen av trender og identifisere angriperinfrastruktur. Som LockBit-nedtakelsen viser, kan denne typen samarbeid og informasjonsdeling gi rettshåndhevelse et kritisk ben opp mot selv de mektigste angripergruppene.

Presenter en United Front Against Ransomware

Vi kan håpe at andre gjenger med løsepenger tar handlingen mot LockBit som en advarsel. Men i mellomtiden, la oss fortsette å være flittige med å sikre og overvåke våre egne nettverk, dele informasjon og samarbeide, for trusselen om løsepengevare er ikke over. Ransomware-gjenger drar nytte av det når ofrene deres tror de er isolert – men når organisasjoner og rettshåndhevelsesbyråer jobber hånd i hånd for å dele informasjon, kan de sammen ligge et skritt foran sine motstandere.