Бухгалтерська книга біткойнів як секретна зброя у війні проти програм -вимагачів

За даними Coinfirm, програмне забезпечення-вимагач, шкідливе програмне забезпечення, яке шифрує комп’ютери та тримає їх «заблокованими», доки не буде сплачено викуп, є найшвидше зростаючою кіберзагрозою у світі. Нещодавні атаки на критично важливу національну інфраструктуру, як-от вторгнення в колоніальний трубопровід, який на тиждень припинив постачання нафти й газу вздовж східного узбережжя США, викликали тривогу. Платежі за викуп майже завжди здійснюються в біткойнах або інших криптовалютах. 

Але хоча багато хто був приголомшений атакою Мея на Colonial Pipeline — після неї адміністрація Байдена видала нові правила щодо трубопроводу — відносно небагато знають про останній акт цієї драми: за допомогою аналізу блокчейну ФБР змогло стежити фонд виплати викупу надходить і повертає близько 85% біткойнів, сплачених групі програм-вимагачів DarkSide. 

Насправді аналіз блокчейну, який можна додатково вдосконалити за допомогою алгоритмів машинного навчання, є новою багатообіцяючою технікою в боротьбі з програмами-вимагачами. Він використовує деякі ключові атрибути крипто — наприклад, децентралізацію та прозорість — і використовує ці властивості проти зловмисники. 

Хоча недоброзичливці криптовалюти схильні підкреслювати її псевдонімність — і з цієї причини привабливість для кримінальних елементів — вони, як правило, не помічають відносної видимості транзакцій BTC. Реєстраційна книга біткойн оновлюється та розповсюджується на десятки тисяч комп’ютерів по всьому світу щодня в режимі реального часу, а її транзакції доступні для всіх. Аналізуючи потоки, експерти-криміналісти часто можуть ідентифікувати підозріла діяльність. Це може виявитися ахіллесовою п’ятою програми-вимагача.

Маловживаний засіб

«Блокчейн-реєстр, у якому реєструються транзакції біткойнів, є недостатньо використовуваним криміналістичним інструментом, який може використовуватися правоохоронними органами та іншими для виявлення та припинення незаконної діяльності», Майкл Моррелл, колишній виконуючий обов’язки директора Центрального розвідувального управління США, заявив у нещодавньому блозі, додавши:

«Простіше кажучи, аналіз блокчейну є дуже ефективним інструментом для боротьби зі злочинністю та збору розвідувальної інформації.[…] Один експерт з екосистеми криптовалюти назвав технологію блокчейн «благом для стеження».» 

У цьому плані нещодавно троє дослідників Колумбійського університету опублікований стаття «Ідентифікація учасників програм-вимагачів у мережі біткойн», в якій описується, як вони змогли використовувати алгоритми машинного навчання графів і аналіз блокчейну для виявлення зловмисників програм-вимагачів із «85% точністю передбачення на тестовому наборі даних».

Ті, хто перебуває на передовій боротьби з програмами-вимагачами, бачать перспективу в аналізі блокчейну. «Хоч на перший погляд може здатися, що криптовалюта створює програмне забезпечення-вимагач, криптовалюта насправді відіграє важливу роль у боротьбі з ним», — розповідає Magazine Гурвейс Ґріґг, головний технічний директор у державному секторі Chainalysis, додаючи:

«За допомогою правильних інструментів правоохоронні органи можуть стежити за грошима в блокчейні, щоб краще зрозуміти та порушити діяльність організації та ланцюг постачання. Це перевірений успішний підхід, як ми побачили в січневі «видалення» штаму програм-вимагачів NetWalker».

Інше питання, чи достатньо лише аналізу блокчейна, щоб запобігти проникненню програм-вимагачів, чи його потрібно поєднати з іншими тактиками, як-от політичний/економічний тиск на іноземні країни, які терплять групи програм-вимагачів.

Викриття злочинців?

Кліффорд Нойман, ад’юнкт-професор практики інформатики в Університеті Південної Каліфорнії, вважає, що аналіз блокчейну є недостатньо використовуваним інструментом криміналістики. «Багато людей, у тому числі злочинці, вважають біткойн анонімним. Насправді це далеко не так, оскільки потік коштів є більш помітним у «публічному» блокчейні, ніж у майже будь-яких інших видах транзакцій». Він додає: «Хитрість полягає в тому, щоб прив’язати кінцеві точки до окремих людей, а інструменти аналізу блокчейнів іноді можна використовувати для цього зв’язування».

Дійсний засіб для викриття зловмисників-вимагачів? «Так, безсумнівно», — каже Magazine Дейв Джеванс, генеральний директор компанії CipherTrace, що займається крипторозвідкою. «Використовуючи ефективну блокчейн-аналітику, програмне забезпечення для аналізу криптовалют» — те, що виробляє його фірма — «щоб відстежувати, куди учасники програм-вимагачів переміщують свої кошти, може привести слідчих до їхніх справжніх ідентифікацій, коли вони намагаються перевести свою криптовалюту на фіат». 

Девід Карлайл, директор із питань політики та регулювання в аналітичній фірмі Elliptic, розповідає Magazine: «Аналіз блокчейну вже є перевіреною цінною технікою, що дозволяє правоохоронним органам перешкоджати діяльності цих мереж, як стало ясно у справі Colonial Pipeline».

Протягом декількох днів після виплати викупу 8 травня компанією Colonial Pipeline Elliptic вдалося ідентифікувати біткойн-гаманець, який отримав платіж. Крім того, «він [гаманець] отримав платежі в біткойнах з березня на загальну суму 17.5 мільйонів доларів», розповідає юридична фірма Kelley Drye & Warren LLP. Elliptic допомогло те, що зловмисники не використовували жодних «міксерів», щоб ще більше замити свій слід. Карлайл додає: 

«Основна прозорість біткойнів та інших криптоактивів означає, що правоохоронні органи часто можуть отримати такий рівень розуміння діяльності з відмивання грошей, який був би неможливий за допомогою фіатних валют».

Поштовх від машинного навчання?

Машинне навчання (ML) — це одна з тих нових технологій, як-от блокчейн, для якої щотижня з’являються нові випадки використання. Чи може ML також допомогти у війні проти програм-вимагачів?

«Абсолютно», — каже Magazine Аллан Ліска, старший аналітик із розвідки Recorded Future, додаючи далі: «Враховуючи велику кількість зловмисних транзакцій, що відбуваються в будь-який момент часу, і зростаючу складність деяких груп програм-вимагачів, можливості відмивання грошей керівництво аналіз став менше ефективний — і машинне навчання потрібне для ефективного відстеження контрольних ознак зловмисних транзакцій».

«Машинне навчання є дуже перспективним у боротьбі зі злочинністю», — повідомляє Magazine Роман Бієда, керівник відділу розслідування шахрайства в Coinfirm, але для його ефективності потрібна величезна кількість даних. Відносно легко отримати адреси біткойн, які доступні мільйонами, але набір даних, на основі якого можна навчити та перевірити модель навчання, також вимагає певної кількості «шахрайських» адрес біткойн, тобто підтверджених учасників програм-вимагачів. «Інакше модель або відзначатиме багато помилкових спрацьовувань, або пропускатиме шахрайські дані як незначний відсоток», — каже Бієда.

Скажімо, ви хочете побудувати модель, яка витягуватиме фотографії собак із безлічі фотографій котів, але у вас є навчальний набір із 1,000 фотографій котів і лише однієї фотографії собаки. Модель ML «буде вчитися що можна розглядати всі фотографії як фотографії котів, оскільки похибка становить [лише] 0.001», — зазначає Бієда. Іншими словами, алгоритм весь час просто вгадував би «кішку», що, звичайно, зробило б модель марною, навіть якщо вона мала високу загальну точність.  

У дослідженні Колумбійського університету дослідники використали 400 мільйонів біткойн-транзакцій і близько 40 мільйонів біткойн-адрес, але лише 143 з них були підтвердженими адресами програм-вимагачів. 

«Ми показуємо, що дуже локальних підграфів відомих таких акторів достатньо, щоб відрізнити вимагачів, випадкових і азартних акторів з 85% точністю передбачення на наборі тестових даних», — повідомили автори, додавши, що «Подальше вдосконалення повинно бути можливим шляхом покращення кластеризації». алгоритми». 

Однак вони додали, що «отримання більшої кількості надійніших даних підвищить точність», зробивши модель більш «чутливою» та уникнувши, ймовірно, проблеми, описаної вище Бієдою. 

Відповідно до цього Департамент внутрішньої безпеки Сполучених Штатів видав директиву після атаки Colonial Pipeline, яка вимагає від трубопровідних компаній повідомляти про кібератаки. Раніше повідомляти про атаки було необов’язковим. Подібні мандати, можливо, допоможуть створити загальнодоступний набір даних «шахрайських» адрес, необхідних для ефективного аналізу блокчейну. Карлайл додає: «Державно-приватне партнерство має зосередитися на обміні фінансовою інформацією, пов’язаною з атаками програм-вимагачів».

Значна частина аналізу блокчейну базується на уявленні про те, що зловмисники можуть бути викриті після атаки. Але правоохоронні органи, а особливо жертви програм-вимагачів, воліли б, щоб напади взагалі не відбувалися. За словами Джеванса, аналіз блокчейнів також може дозволити правоохоронним органам діяти на випередження. Він розповідає журналу:

«У той час як алгоритми кластеризації блокчейнів зазвичай вимагають, щоб хтось здійснив платіж на адресу, щоб відстежити кошти та ідентифікувати власника, передові інструменти, такі як CipherTrace, можуть виробляти оперативну інформацію про адреси, які ще не отримали кошти, наприклад, IP-дані. це може допомогти слідчим».

Необхідно, але недостатньо?

Однак дехто запитує, чи достатньо аналізу блокчейну для усунення програм-вимагачів. «Аналіз блокчейнів — важливий інструмент у наборі інструментів правоохоронних органів, але немає жодного ідеального засобу для вирішення проблеми програм-вимагачів», — говорить Гріг. 

Ліска додає: «Навіть найкращі інструменти дослідження та ідентифікації неефективні, якщо уряди не бажають отримати доступ. Зупинка транзакцій програм-вимагачів вимагатиме співпраці між приватними структурами та урядами».

За даними Coinfirm, багато атак програм-вимагачів відбуваються на кордонах Росії, тому деякі запитують, чи можна змусити Володимира Путіна припинити діяльність цих груп. «Попередні випадки показують, що небагато можна зробити проти країн, пов’язаних з кібератаками, навіть якщо є дуже серйозні ознаки того, що хакери пов’язані зі спецслужбами», — розповідає Бієда Magazine. 

Інші сумніваються, чи може аналіз блокчейна взагалі вплинути на проблему зловмисного програмного забезпечення. «Занадто рано списувати криптовалюту як засіб розповсюдження програм-вимагачів», — говорить журналу Едвард Картрайт, професор економіки в Університеті Де Монфор. «Хоча останнім часом було кілька «хороших» новин, реальність така, що злочинці-вимагачі все ще регулярно використовують біткойн як найпростіший і найанонімніший спосіб отримання викупу».

Більше того, навіть якщо біткойн стає надто радіоактивним для зловмисників через його відстежуваність — «велике якщо», на думку Картрайта — «злочинці можуть просто перейти до абсолютно анонімних і невідстежуваних валют», як-от Monero та інші конфіденційні монети, каже він.

«Ми справді потребуємо розширення співпраці між приватним і державним секторами, щоб створити повні профілі цих груп програм-вимагачів», — каже Джеванс. «Обмін інформацією в таких ситуаціях може стати срібною кулею». 

«Одна з проблем полягає в тому, що групи програм-вимагачів використовують офлайн-методи переміщення біткойнів», — каже Ліска. «Буквально двоє людей зустрічаються на парковці чи в ресторані зі своїми телефонами та портфелями, повними готівки». Ці типи транзакцій набагато важче відстежити, каже він Magazine, «але це все одно неможливо з більш просунутими методами відстеження».

Але чи перейдуть зловмисники на приватні монети?

Як щодо думки Картрайта про те, що учасники програм-вимагачів просто перейдуть на конфіденційні монети, такі як Monero, якщо біткойн виявиться занадто відстежуваним? Elliptic вже спостерігає «значне зростання» спроб отримати платежі від жертв програм-вимагачів у Monero, розповідає Карлайл Magazine. «Це дійсно зросло з часів справи Colonial Pipeline, коли наслідки відстеження біткойнів були чітко очевидними для інших кіберзлочинців».

Але монети конфіденційності також можна відстежити, хоча це складніше зробити, оскільки, на відміну від біткойна, монети конфіденційності приховують адреси користувачів і суми транзакцій. Деякі юрисдикції теж мають розправилися з монетами конфіденційності, або думаєте це зробити. Наприклад, Японія заборонила конфіденційні монети в 2018 році. Але є і практична проблема. Жертви програм-вимагачів, яким настає крайній термін оплати, часто мають проблеми з пошуком бірж, які конвертують їхню фіатну валюту в XMR протягом необхідного періоду часу, щоб заплатити своїм здирникам і розблокувати свої комп’ютери, розповідає Бієда Magazine. Монети конфіденційності не так добре підтримуються криптобіржами, як біткойн. Джеванс каже, що «біткойн — це просто найлегша криптовалюта для придбання», додаючи:

«Малоймовірно, що учасники програм-вимагачів коли-небудь повністю припинять використовувати біткойн через його ліквідність і доступність біткойна для фіатних операцій порівняно з іншими криптовалютами з підвищеною конфіденційністю».

Більшість регульованих бірж не пропонують торгівлю Monero, додає Карлайл. «Жертви можуть домовитися зі зловмисниками та переконати їх прийняти оплату в біткойнах, але тоді зловмисники зазвичай вимагатимуть комісію в розмірі 10%–15% за платежі в біткойнах понад те, що вони вимагатимуть за оплату в Monero, — що відображає їхнє занепокоєння щодо відстеження біткойнів. залишає їх уразливими». 

Чи є заборона криптовалюти рішенням?

Нещодавно колишній керівник Федерального резервного банку Нью-Йорка Лі Райнерс запропонований у статті Wall Street Journal про те, що «є простіший і ефективніший спосіб зупинити пандемію програм-вимагачів: заборонити криптовалюту». Зрештою, додав він, «програми-вимагачі не можуть досягти успіху без криптовалюти». 

«Звучить як рішення, яке було б навіть гіршим, ніж проблема», — коментує Бенджамін Сотер, юрист Kobre & Kim LLP. «Однак це відображає думку, особливо серед багатьох політиків у США, що криптовалюта є притулком для злочинців, який потрібно обмежити», — розповідає він Magazine. 

«Прибутковість загроз, які здійснюють наші атаки програм-вимагачів, безумовно, знизилася б, якби криптовалюти не існувало, оскільки відмивання фіатних коштів за своєю суттю дорожче», — розповідає Magazinu Білл Сігел, співзасновник і генеральний директор компанії Coveware з відновлення програм-вимагачів. «Ці атаки все одно відбуватимуться».

«Я не думаю, що є сенс забороняти криптовалюту», — додає Нойман. «Існуючі закони, які діють у США, вимагають збору інформації про певні види платіжних інструментів для транзакцій, які перевищують певний поріг, і ми можемо застосувати ці правила також до криптовалюти. Якщо ми заборонимо криптовалюту, злочинці просто перенесуть свої платіжні вимоги на інші інструменти».

«Гра в кішки-мишки»

У майбутньому групам програм-вимагачів доведеться жити зі зростаючим ризиком бути спійманими за використання біткойнів, каже Ліска, «або вирішити, чи готові вони прийняти значно нижчі платежі викупу, щоб краще зберегти свою анонімність».  

Це залишається «грою в кішки-мишки між злочинцями та правоохоронними органами, — додає Картрайт, — і нещодавні успіхи правоохоронних органів радше пов’язані з неохайністю чи помилками злочинців, ніж із фундаментальним недоліком [злочинців] бізнес-модель."

Можливо, знадобляться глобальні зусилля, щоб змінити ситуацію з програмами-вимагачами. Усі країни повинні регулювати криптовалютні платформи, каже Карлайл, «інакше зловмисники матимуть легкі шляхи для відмивання своїх злочинних доходів», тоді як Бієда прогнозує, що криптовалюта продовжуватиме використовуватися для платежів викупу «доки не будуть прийняті жорсткі глобальні та регіональні правила, такі як оскільки вводяться суворі покарання за невиразний KYC».

Трасування колоніального трубопроводу # биткойн #викуп від DarkSide до конфіскації ФБР:
▸5/8 Colonial Pipeline платить 75 BTC
▸5/9 Філіал DarkSide виводить 63.75 BTC
▸5/27 63.75 BTC переміщено в інший гаманець, закритий ключ «був у розпорядженні ФБР»
▸6/8 BTC у гаманці, вилученому ФБР pic.twitter.com/RAebpn3P3H

- еліптичний (@elliptic) 10 Червня, 2021.

Також важливо розмістити програми-вимагачі в контексті. «Програми-вимагачі — це найновіший метод, який використовують злочинці для монетизації своїх подвигів», — каже Нойман. «У якийсь момент це може перестати називатися програмою-вимагачем, але атаки на комп’ютерні системи прийматимуть інші форми». Сотер додає: «Кожен би виграв, якби було галузеве рішення».

Загалом, люди схильні переоцінювати анонімність біткойна та недооцінювати його прозорість. «Завжди знайдуться погані актори», як зазначає Джеванс, але групи програм-вимагачів зрозуміють, що криптоплатежі можна відстежити, що робить їх уразливими та, можливо, навіть спонукає їх шукати інші засоби для продовження своєї віроломної торгівлі.

Водночас «продовження прогресу в аналітиці блокчейнів з часом надасть дослідникам більше та навіть кращу інформацію», — каже Карлайл. І оскільки правоохоронні органи стають все більш вправними у використанні цих аналітичних інструментів, «ми можемо очікувати, що з часом ми побачимо більше і більших вилучень [вимагачів]».

Джерело: https://cointelegraph.com/magazine/2021/09/16/bitcoin-ledger-as-a-secret-weapon-in-war-against-ransomware