Interessado em $ 10,000,000? Pronto para entregar a equipe do ransomware Clop?

Interessado em $ 10,000,000? Pronto para entregar a equipe do ransomware Clop?

Carimbo de data / hora: 28 de junho de 2023, 12h59
Interessado em $ 10,000,000? Pronto para entregar a equipe do ransomware Clop? Inteligência de dados PlatoBlockchain. Pesquisa vertical. Ai.
by Escritor Naked Security

O mais recente perfil alto explorações de crimes cibernéticos atribuídos à tripulação do ransomware Clop não são o seu tipo tradicional de ataques de ransomware (se “tradicional” é a palavra certa para um mecanismo de extorsão que remonta apenas a 1989).

Os ataques de ransomware convencionais são onde seus arquivos são embaralhados, sua empresa é totalmente descarrilada e uma mensagem aparece informando que uma chave de descriptografia para seus dados está disponível…

…pelo que normalmente é uma quantia de dinheiro de dar água na boca.

evolução criminal

Como você pode imaginar, dado que ransomware volta para os dias antes de todos terem acesso à internet (e quando aqueles que estavam online tinham velocidades de transferência de dados medidas não em gigabits ou mesmo megabits por segundo, mas geralmente apenas em kilobits), a ideia de embaralhar seus arquivos onde eles estavam era um truque covarde para economizar tempo.

Os criminosos acabaram com total controle sobre seus dados, sem precisar carregar tudo primeiro e depois sobrescrever os arquivos originais no disco.

Melhor ainda para os bandidos, eles poderiam ir atrás de centenas, milhares ou mesmo milhões de computadores de uma só vez, e eles não precisavam manter todos os seus dados na esperança de “vendê-los de volta” para você. (Antes que o armazenamento em nuvem se tornasse um serviço ao consumidor, o espaço em disco para backup era caro e não podia ser facilmente adquirido sob demanda em um instante.)

As vítimas do ransomware de criptografia de arquivos, ironicamente, acabam agindo como guardas relutantes de seus próprios dados.

Seus arquivos são deixados tentadoramente ao seu alcance, muitas vezes com seus nomes de arquivo originais (embora com uma extensão extra como .locked adicionado no final para esfregar sal na ferida), mas totalmente ininteligível para os aplicativos que normalmente os abririam.

Mas no mundo da computação em nuvem de hoje, os ataques cibernéticos em que os criminosos de ransomware realmente fazem cópias de todos, ou pelo menos muitos, de seus arquivos vitais não são apenas tecnicamente possíveis, eles são comuns.

Só para deixar claro, em muitos casos, se não na maioria, os invasores também embaralham seus arquivos locais, porque podem.

Afinal, embaralhar arquivos em milhares de computadores simultaneamente geralmente é muito mais rápido do que enviá-los todos para a nuvem.

Dispositivos de armazenamento local normalmente fornecem uma largura de banda de dados de vários gigabits por segundo por unidade por computador, enquanto muitas redes corporativas têm uma conexão de internet de algumas centenas de megabits por segundo, ou até menos, compartilhada entre todos.

Embaralhar todos os seus arquivos em todos os seus laptops e servidores em todas as suas redes significa que os invasores podem chantageá-lo com base na falência de seus negócios se você não conseguir recuperar seus backups a tempo.

(Os criminosos de ransomware de hoje geralmente se esforçam para destruir o máximo de dados de backup que podem encontrar antes de fazer a parte de embaralhamento de arquivos.)

A primeira camada de chantagem diz: “Pague e nós lhe daremos as chaves de descriptografia que você precisa para reconstruir todos os seus arquivos exatamente onde eles estão em cada computador, então mesmo se você tiver backups lentos, parciais ou nenhum, você estará funcionando novamente em breve; se recuse a pagar e suas operações comerciais permanecerão exatamente onde estão, mortas na água.”

Ao mesmo tempo, mesmo que os bandidos só tenham tempo para roubar alguns de seus arquivos mais interessantes de alguns de seus computadores mais interessantes, eles conseguem uma segunda espada de Dâmocles para segurar sobre sua cabeça.

Essa segunda camada de chantagem segue as linhas de, “Pague e prometemos deletar os dados roubados; nos recusamos a pagar e não vamos apenas segurá-lo, vamos enlouquecer com isso.

Os bandidos geralmente ameaçam vender seus dados de troféus para outros criminosos, encaminhá-los para os reguladores e a mídia em seu país, ou simplesmente publicá-los abertamente online para qualquer um baixar e devorar.

Esqueça a criptografia

Em alguns ataques de extorsão cibernética, os criminosos que já roubaram seus dados ignoram a parte da codificação de arquivos ou não conseguem retirá-la.

Nesse caso, as vítimas acabam sendo chantageadas apenas com o objetivo de manter os bandidos calados, não de recuperar seus arquivos para fazer seus negócios funcionarem novamente.

Isso parece ser o que aconteceu no recente alto perfil ataques MOVEit, onde a gangue Clop, ou seus afiliados, sabiam sobre uma vulnerabilidade explorável de dia zero em um software conhecido como MOVEit…

…que se trata apenas de carregar, gerenciar e compartilhar dados corporativos com segurança, incluindo um componente que permite aos usuários acessar o sistema usando nada mais complexo do que seus navegadores da web.

Infelizmente, o buraco zero-day existia no código baseado na web do MOVEit, de modo que qualquer pessoa que tivesse ativado o acesso baseado na web inadvertidamente expunha seus bancos de dados de arquivos corporativos a comandos SQL injetados remotamente.

Aparentemente, mais de 130 empresas agora são suspeitas de terem dados roubados antes que o dia zero do MOVEit fosse descoberto e corrigido.

Muitas das vítimas parecem ser funcionários cujos detalhes da folha de pagamento foram violados e roubados – não porque seu próprio empregador era um cliente do MOVEit, mas porque o processador de folha de pagamento terceirizado de seu empregador era, e seus dados foram roubados do banco de dados da folha de pagamento desse provedor.

Além disso, parece que pelo menos algumas das organizações hackeadas dessa maneira (seja diretamente por meio de sua própria configuração do MOVEit ou indiretamente por meio de um de seus provedores de serviços) eram órgãos de serviço público dos EUA.

Recompensa para ganhar

Essa combinação de circunstâncias levou a equipe do US Rewards for Justice (RFJ), parte do Departamento de Estado dos EUA (o equivalente do seu país pode ser chamado de Relações Exteriores ou Ministério das Relações Exteriores), lembrando a todos no Twitter o seguinte:

os RFJs próprio site diz, conforme citado no tweet acima:

O Rewards for Justice está oferecendo uma recompensa de até US$ 10 milhões por informações que levem à identificação ou localização de qualquer pessoa que, enquanto agindo sob a direção ou sob o controle de um governo estrangeiro, participe de atividades cibernéticas maliciosas contra infraestrutura crítica dos EUA em violação da Lei de Fraude e Abuso de Computador (CFAA).

Não está claro se os informantes podem acabar com vários múltiplos de $ 10,000,000 se identificarem vários infratores, e cada recompensa é especificada como “até” $ 10 milhões em vez de $ 10 milhões não diluídos toda vez…

…mas será interessante ver se alguém decide tentar reivindicar o dinheiro.

Carimbo de hora:

Mais de Segurança nua