Atskleistas tikrasis „Bitcoin“ išpirkos reikalaujančių programų prievartavimo mastas

Ransomware yra viena iš labiausiai nerimą keliančių kenkėjiškų programų tipų, atsiradusių pastaraisiais metais. Jis veikia apribodamas prieigą prie kompiuterio failų, kol bus sumokėta išpirka. Tarp aukų buvo Didžiosios Britanijos nacionalinė sveikatos tarnyba, Ispanijos telekomunikacijų bendrovė „Telefonica“, Rusijos naftos milžinė „Rosneft“ ir daugelis kitų.

Aukos paprastai turi sumokėti Bitcoin išpirką, lygią keliems šimtams dolerių, kad išleistų savo failus. Paprastai išpirka laikui bėgant didėja iki galutinio termino, kai failai tariamai sunaikinami. Daugelis įmonių ir asmenų neturėjo kito pasirinkimo, kaip tik sumokėti.

Ir tai kelia įdomų klausimą. Kiek pinigų „Bitcoin“ išpirkos reikalaujančios programos sukūrė piktybiniams šeimininkams?

JAV dolerių vertės išpirkos, sumokėtos į CryptoWall Bitcoin sąskaitas

Šiandien gauname atsakymą Mauro Conti Padujos universitete Italijoje ir poros kolegų darbo dėka. Šie vaikinai sukūrė išpirkos reikalaujančių nusikaltėlių naudojamų Bitcoin paskyrų duomenų bazę ir susumavo į jas sumokėtas išpirkas. Rezultatas – visapusiška kibernetinių nusikaltėlių pelno šioje besiformuojančioje nusikalstamumo srityje analizė.

Nors išpirkos reikalaujančios programos gali prašyti mokėjimo tam tikra valiuta, „Conti“ ir „co“ sutelkia dėmesį tik į tuos, kurie prašo mokėti Bitcoin. Taip yra todėl, kad Bitcoin operacijos yra atvirai registruojamos ir nemokamos. Taigi iš esmės turėtų būti įmanoma tiksliai apskaičiuoti, kiek kiekviena sąskaita gauna. Mūsų tikslas buvo tiksliai įvertinti šių mokėjimų USD vertę, sako Conti ir co.

Komanda pradėjo kurti su tokia veikla susijusių Bitcoin paskyrų duomenų bazę nuo 2013 m., kai išpirkos reikalaujanti programa Cryptolocker pirmoji paprašė sumokėti Bitcoin. Mes radome dvidešimt išpirkos reikalaujančių programų, kurios atitiko mūsų atrankos kriterijus, t. y. tas išpirkos reikalaujančias programas: (i) kurios naudojo Bitcoin kaip bent vieną išpirkos mokėjimo būdą ir (ii) kurių bent vienas Bitcoin adresas yra žinomas viešai, aiškina jie.

Jose pateikiama naudinga kiekvienos rūšies kenkėjiškų programų apžvalga, kaip jos veikia ir plinta bei kaip laikui bėgant vystėsi.

Ne visi mokėjimai į šias sąskaitas yra išpirkos. Taigi Conti ir bendradarbiai sukūrė būdą, kaip atskirti išpirkos mokėjimus nuo kitų rūšių. Jie tai daro ieškodami mokėjimų, atitinkančių konkrečias sumas, kurių kenkėjiška programa reikalauja išpirkos.

Galiausiai „Conti“ ir „co“ susumuoja visus išpirkos mokėjimus, gautus už kiekvieną kenkėjiškų programų tipą. Jų darbas atskleidžia pelningiausias išpirkos reikalaujančias programas, tačiau taip pat kelia klausimų, kaip šios paskyros naudojamos ir kaip jas galima sekti.

Paaiškėjo, kad pati pelningiausia išpirkos programinės įrangos forma yra „CryptoWall“, kuri 2013 m. lapkritį pradėjo užkrėsti „Windows“ kompiuterius. Ji užšifravo failus naudodama RSA-2048 šifravimo algoritmą ir pareikalavo sumokėti iki 1 400 USD, kad juos išleistų.

Kenkėjiška programa plinta įvairiais vektoriais, pavyzdžiui, atsisiuntimo nuorodomis, kurias siuntė „Cutwail“ šlamšto botnetas. Kai kurios kenkėjiškos programos versijos sukūrė unikalų Bitcoin mokėjimo adresą kiekvienam užkrėstam vartotojui ir naudojo Tor darknet sistemą, kad pateiktų anonimines nuorodas į kiekvieną auką.

Nuo jos išleidimo iki 2015 m. gruodžio mėn., Bitcoin adresai, susiję su šia kenkėjiška programa, gavo 2,2 mln. USD „Bitcoin“ mokėjimų ir dar 2,3 mln. USD didesnės vertės operacijų, kurios, Conti ir bendrai įtaria, taip pat gali būti išpirkos mokėjimai.

Įdomu tai, kad bendra šiais Bitcoin adresais gautų mokėjimų vertė viršijo 45 mln. Daugumos šių sandorių „Conti ir co“ tiesiogiai nesusiejo su išpirkos sumomis. Tai nemaža pinigų suma ir kyla akivaizdus klausimas, už ką buvo sumokėta.

Visas Bitcoin ransomware projektų reitingas pagal jų sugeneruotą sumą JAV doleriais yra toks:

„Ransomware“ Bitcoin išpirka gavo USD vertę

„CryptoWall“ 5 351 2329 2 220 909,12

„CryptoLocker“ 1403.7548 449.274.97

DMA užraktas 339.4591 178.162.77

WannaCry 47.1743 86.076.76

CryptoDefense 126.6960 63.859.49

NotPetya 4.0576 9.835.86

KeRanger 9999 4 173,12

Įdomu tai, kad WannaCry protrūkis sulaukė didžiulio žiniasklaidos dėmesio, nes kenkėjiška programa plačiai išplito. Tačiau ataką sužlugdė kibernetinio saugumo tyrinėtojas Marcusas Hutchinsas, kuris atrado ir suaktyvino įmontuotą žudymo jungiklį, kuris neleido kenkėjiškajai programai būti žalingesnei.

Bendras poveikis (įskaitant finansinius nuostolius) dėl WannaCry infekcijos galėjo būti dar blogesnis... dėl anksti aptikto nužudymo jungiklio, kuris neleido užkrėstiems kompiuteriams toliau plisti WannaCry, sako Conti ir kt.

Grupė taip pat aptaria kitas kenkėjiškų programų formas, kurios prašė, bet, atrodo, negavo didelės išpirkos. Tai apima „TeslaCrypt“, „Hi Buddy!“ ir „KillDisk“.

Įvairios kitos grupės atliko panašias analizes ir padarė panašias išvadas. Tačiau Conte ir bendradarbiai viešai skelbia savo duomenų rinkinį, kad kiti galėtų juo remtis. Duomenų rinkinyje yra išsami visų adresų, kuriuos nustatėme kiekvienai išpirkos programai, operacijų istorija, sako jie.

Kibernetiniai nusikaltėliai naudoja Bitcoin, nes tai atrodo anoniminis būdas rinkti ir atlikti mokėjimus. Tačiau Bitcoin yra pseudonimas, o ne anonimas. Tai reiškia, kad vartotojai gali apsaugoti savo tapatybę, jei nė viena jų operacija negali būti susieta su tikrąja jų tapatybe. Tačiau kai tik viena operacija susiejama su jų asmens tapatybės duomenimis, visos jų operacijos tampa susietos taip pat.

Naudinga analogija yra autoriams, kurie publikuoja slapyvardžiu. Kol autoriaus tapatybė niekada nesusieta su jokiu pseudoniminiu straipsniu, jis ar ji lieka anonimiškas. Bet jei jis susietas tik su vienu pseudoniminiu straipsniu, jis susiejamas su visais, ir tada anonimiškumas prarandamas.

Taigi pseudoniminė apsauga yra trapus dalykas. Viena operacija, susiejanti Bitcoin sąskaitą su asmenine paskyra, gali atskleisti kibernetinio nusikaltėlio tapatybę. O asmeniniai duomenys nuolat nuteka internetinėse operacijose.

Praėjusiais metais rašėme apie Bitcoin operacijų anonimiškumo trūkumus. Tai turėtų suteikti vilties susekti šiuos nusikaltėlius.

Conti ir bendradarbiai iškėlė tokio tipo tyrimą kaip ateities tikslą. Pasak jų, bandysime atsekti, kaip gautos išpirkos buvo panaudotos ir kas.

Tai drąsu ir ambicinga. Tačiau taip pat kyla klausimas – ką tuo tarpu veikia teisėsaugos institucijos?

Nuoroda: arxiv.org/abs/1804.01341 : apie ekonominę išpirkos programinės įrangos kampanijų reikšmę: Bitcoin operacijų perspektyva

paslėpti