211service.com
Kolonijinio išpirkos programinės įrangos įsilaužėliai turėjo slaptą ginklą: save reklamuojančias kibernetinio saugumo įmones
Prieš penkis mėnesius prieš „DarkSide“ užpuolant kolonijinį vamzdyną, du tyrėjai atrado būdą, kaip išgelbėti išpirkos reikalaujančių programų aukas. Tada antivirusinės bendrovės pranešimas įspėjo įsilaužėlius.
Drew Angerer / Getty Images
2021 m. gegužės 24 dSausio 11 d. antivirusinė kompanija „Bitdefender“ pranešė, kad džiaugiasi galėdama pranešti apie stulbinantį proveržį. Ji aptiko išpirkos reikalaujančios programinės įrangos, kurią gauja, žinoma kaip DarkSide, naudojo, kad užšaldytų dešimčių įmonių kompiuterinius tinklus JAV ir Europoje, trūkumą. Įmonės, susiduriančios su „DarkSide“ reikalavimais, galėtų atsisiųsti nemokamą įrankį iš „Bitdefender“ ir nemokėti įsilaužėliams milijonų dolerių išpirkos.
Bet Bitdefender nebuvo pirmasis, kuris nustatė šį trūkumą. Kiti du tyrinėtojai Fabianas Wosaras ir Michaelas Gillespie , pastebėjo tai prieš mėnesį ir pradėjo diskretiškai ieškoti aukų, kurios galėtų padėti. Paviešindama savo įrankį, „Bitdefender“ įspėjo „DarkSide“ apie galimą nutrūkimą, dėl kurio buvo pakartotinai naudojami tie patys skaitmeniniai raktai, norint užrakinti ir atrakinti kelias aukas. Kitą dieną „DarkSide“ paskelbė, kad ištaisė problemą ir kad naujos įmonės neturi ko tikėtis.
Ypatingas ačiū BitDefender už pagalbą išspręsti mūsų problemas, sakė DarkSide. Tai padarys mus dar geresnius.
Netrukus „DarkSide“ įrodė, kad jis neblefavo, išlaisvindamas atakų virtinę. Šį mėnesį jis paralyžiavo „Colonial Pipeline Co.“ ir paskatino a išjungti 5500 mylių dujotiekio, kuriuo tiekiama 45 % rytinėje pakrantėje sunaudojamo kuro – greitai pakilo benzino kainos, paniškai perkamos dujos pietryčiuose ir buvo uždaryta tūkstančiai degalinių. Jei „Bitdefender“ nepaskelbė, gali būti, kad krizė galėjo būti suvaldyta ir „Colonial“ galėjo tyliai atkurti savo sistemą naudodama Wosar ir Gillespie iššifravimo įrankį.
Vietoj to, „Colonial“ sumokėjo „DarkSide“ 4,4 mln. USD Bitcoin už raktą failams atrakinti. Prisipažinsiu, kad man nebuvo patogu matyti, kaip tokiems žmonėms išeina pinigai, „Wall Street Journal“ sakė generalinis direktorius Josephas Blountas.
Praleista galimybė buvo dalis platesnio klaidingo ar neprotingo atsako į didėjančią išpirkos reikalaujančių programų grėsmę, dėl kurios per pandemiją visoje šalyje buvo išjungtos įmonės, mokyklos, ligoninės ir vyriausybinės agentūros. Šis incidentas taip pat parodo, kaip antivirusinės kompanijos, trokštančios išgarsėti, kartais pažeidžia vieną iš pagrindinių kibernetinio karo katės ir pelės žaidimo taisyklių: neleiskite oponentams žinoti, ką sugalvojote. Per Antrąjį pasaulinį karą, kai Didžiosios Britanijos slaptoji tarnyba iš iššifruotų pranešimų sužinojo, kad gestapas planuoja pagrobti ir nužudyti vertingą dvigubą agentą Johnny Jebseną, jo prižiūrėtojui nebuvo leista jo perspėti, nes bijojo, kad priešas įspės jo šifrą. buvo nulaužtas. Šiandien ransomware medžiotojai, tokie kaip Wosar ir Gillespie, bando pratęsti užpuolikų nežinojimą, net ir tuo, kad susisiekia su mažiau aukų. Anksčiau ar vėliau, kai mokėjimai nukrenta, kibernetiniai nusikaltėliai supranta, kad kažkas nutiko.
Ar naudoti iššifravimo įrankį yra apgalvotas sprendimas, sakė Robas McLeodas, kibernetinio saugumo įmonės „eSentire“ reagavimo į grėsmes skyriaus vyresnysis direktorius. Rinkodaros požiūriu jūs dainuojate tą dainą nuo stogų apie tai, kaip sugalvojote saugos sprendimą, kuris iššifruos aukos duomenis. Tada saugumo tyrinėtojas sako: „Neatskleiskite čia jokios informacijos. Laikykite paslaptyje aptiktas išpirkos reikalaujančias programas, leidžiančias iššifruoti duomenis, kad nepraneštumėte grėsmės veikėjams.
Tamsiame žiniatinklyje paskelbtame įraše „DarkSide“ padėkojo „Bitdefender“ už tai, kad nustatė gaujos išpirkos reikalaujančios programos trūkumą. (ProPublica pridėjo paryškinimą.)
Wosar teigė, kad viešai išleisti įrankiai, kaip tai padarė „Bitdefender“, tapo rizikingesni, nes išpirkos išpirkos sparčiai išaugo, o gaujos tapo turtingesnės ir techniškai įgudusios. Pirmosiomis išpirkos reikalaujančiomis programomis dienomis, kai įsilaužėliai užšaldydavo namų kompiuterius už kelis šimtus dolerių, jie dažnai negalėdavo nustatyti, kaip buvo sugadintas jų kodas, nebent jiems buvo konkrečiai nurodyta klaida.
Jis sakė, kad šiandien išpirkos reikalaujančių programų kūrėjai turi prieigą prie apgręžtųjų inžinierių ir skverbties testuotojų, kurie yra labai pajėgūs. Taip jie pirmiausia patenka į šiuos dažnai labai saugius tinklus. Jie atsisiunčia iššifravimo priemonę, ją išardo, apverčia ir tiksliai išsiaiškina, kodėl mums pavyko iššifruoti jų failus. Ir po 24 valandų viskas išspręsta. Bitdefender turėjo žinoti geriau.
Susijusi istorija
Ar išpirkos programinės įrangos krizė gali priversti imtis veiksmų prieš Rusiją? Pasak ekspertų, Maskvos akla akis prieš kibernetinius nusikaltėlius pavertė didėjančias atakas neišvengiamomis. Tačiau pakeisti požiūrį lengviau pasakyti nei padaryti.
Tai nebuvo pirmas kartas, kai „Bitdefender“ trimitavo sprendimą, kurį Wosar ar Gillespie įveikė. Gillespie sulaužė išpirkos reikalaujančios programos, vadinamos „GoGoogle“, kodą ir be jokios fanfaros padėjo aukoms, kai „Bitdefender“ išleido iššifravimą. įrankis 2020 m. gegužę. Kitos bendrovės taip pat viešai paskelbė apie proveržį, sakė Wosar ir Gillespie.
Žmonės labai trokšta naujienų paminėjimo, o didelėms apsaugos įmonėms nerūpi aukos, sakė Wosar.
Bogdanas Botezatu, grėsmių tyrimų direktorius Bukarešte, Rumunijoje įsikūrusi „Bitdefender“, teigė, kad bendrovė nežinojo apie ankstesnę sėkmę atrakinant „DarkSide“ užkrėstus failus.
Nepaisant to, pasak jo, „Bitdefender“ nusprendė paskelbti savo įrankį, nes dauguma aukų, papuolusių į išpirkos reikalaujančias programas, neturi tinkamo ryšio su išpirkos reikalaujančių programų palaikymo grupėmis ir nežinos, kur kreiptis pagalbos, nebent sužinotų apie įrankių egzistavimą iš žiniasklaidos pranešimų. arba su paprasta paieška.
„Bitdefender“ suteikė nemokamą techninę pagalbą daugiau nei tuzinui „DarkSide“ aukų, ir manome, kad daugelis kitų sėkmingai naudojo įrankį be mūsų įsikišimo, sakė Botezatu. Bėgant metams „Bitdefender“ padėjo asmenims ir įmonėms nemokėti daugiau nei 100 mln. USD išpirkos, sakė jis.
„Bitdefender“ pripažino, kad „DarkSide“ gali ištaisyti trūkumą, Botezatu sakė: „Mes puikiai žinome, kad užpuolikai yra judrūs ir prisitaiko prie mūsų iššifruotojų. Tačiau „DarkSide“ vis tiek galėjo pastebėti problemą. Mes netikime išpirkos reikalaujančiais iššifruotojais, kurie yra tyliai pasiekiami. Užpuolikai sužinos apie jų egzistavimą apsimesdami namų vartotojais ar įmonėmis, kurioms reikia pagalbos, o didžioji dauguma aukų net neįsivaizduos, kad gali nemokamai susigrąžinti savo duomenis.
Kolonijinio vamzdyno puolimas , ir dėl to kilęs chaosas prie dujų siurblių pietryčiuose, atrodo, paskatino federalinę vyriausybę būti budresne. Prezidentas Joe Bidenas išleido vykdomąjį įsakymą pagerinti kibernetinį saugumą ir sukurti federalinio atsako į kibernetines atakas planą. „DarkSide“ teigė, kad ji uždaroma JAV spaudžiant, nors išpirkos reikalaujančios programos dažnai išsiskirstydavo, kad išvengtų patikrinimo, o vėliau susiformavo naujais pavadinimais arba jų nariai įkūrė kitas grupes arba prie jų prisijungė.
Kad ir kokie sudėtingi jie būtų, šie vaikinai vėl pasirodys ir bus daug protingesni, sakė Aaronas Tantleffas, Čikagos kibernetinio saugumo advokatas, konsultavęsis su 10 „DarkSide“ užpultų įmonių. Jie sugrįš su kerštu.
„Žmonės labai trokšta naujienų paminėjimo, o didelėms apsaugos įmonėms nerūpi aukos“.
Fabian Wosar, Ransomware Hunting Team
Bent jau iki šiol privatūs mokslininkai ir įmonės dažnai buvo veiksmingesnės už vyriausybę kovojant su išpirkos programomis. Praėjusį spalį „Microsoft“ sutrikdė „Trickbot“ – daugiau nei 1 milijono užkrėstų kompiuterių tinklo, platinusio liūdnai pagarsėjusią „Ryuk“ išpirkos reikalaujančią programinę įrangą, infrastruktūrą, išjungdama jo serverius ir ryšius. Tą mėnesį ProtonMail, Šveicarijos elektroninio pašto paslauga, uždarė 20 000 su Ryuk susijusių paskyrų.
Wosar ir Gillespie, priklausantys pasaulinei savanorių grupei, vadinamai Ransomware Hunting Team, nulaužė daugiau nei 300 pagrindinių išpirkos reikalaujančių programų atmainų ir variantų, išgelbėdami apie 4 milijonus aukų nuo milijardų dolerių mokėjimo.
Priešingai, FTB retai iššifruoja išpirkos reikalaujančias programas arba suima užpuolikus, kurie paprastai yra įsikūrę tokiose šalyse kaip Rusija ar Iranas, kuriose nėra sutarčių dėl ekstradicijos su JAV. Pavyzdžiui, manoma, kad „DarkSide“ veikia už Rusijos ribų. Daug daugiau aukų kreipiasi pagalbos į Medžioklės komandą, per jos narių tvarkomas svetaines, nei į FTB.
JAV slaptoji tarnyba taip pat tiria išpirkos reikalaujančią programinę įrangą, kuri patenka į jos kovos su finansiniais nusikaltimais sritį. Tačiau, ypač rinkimų metais, ji kartais pakeičia agentus iš kibernetinių užduočių, kad galėtų atlikti geriau žinomą misiją – apsaugoti prezidentus, viceprezidentus, pagrindinių partijų kandidatus ir jų šeimas. Europos teisėsaugai, ypač Nyderlandų nacionalinei policijai, sėkmingiau nei JAV sulaikė užpuolikus ir užgrobė serverius.
Susijusi istorija
Išpirkos reikalaujančių programų banga JAV ligonines užklupo, kai koronavirusas padaugėjo. Beprecedentė ir oportunistinė ataka kelia nerimą keliantį klausimą: ar tai kainuos gyvybę?Panašiai JAV vyriausybė padarė tik nedidelę pažangą, skatindama privačią pramonę, įskaitant vamzdynų bendroves, stiprinti kibernetinio saugumo apsaugą. Kibernetinio saugumo priežiūra yra padalinta tarp agentūrų abėcėlės sriubos, o tai trukdo koordinuoti. Valstybės saugumo departamentas atlieka ypatingos svarbos infrastruktūros, įskaitant vamzdynus, pažeidžiamumo vertinimus.
Apytiksliai 2013 m. ji apžvelgė „Colonial Pipeline“ kaip dalį vietų, kuriose kibernetinė ataka gali sukelti katastrofą. Pasak buvusio DHS pareigūno, dujotiekis buvo laikomas atspariu, o tai reiškia, kad jis gali greitai atsigauti. Departamentas neatsakė į klausimus dėl vėlesnių peržiūrų.
Po penkerių metų DHS sukūrė kibernetinio saugumo vamzdyną iniciatyva nustatyti vamzdynų kompiuterinių sistemų trūkumus ir rekomenduoti strategijas joms šalinti. Dalyvavimas yra savanoriškas, o su iniciatyva susipažinęs asmuo teigė, kad ji yra naudingesnė mažesnėms įmonėms, turinčioms ribotą IT patirtį, nei didelėms įmonėms, tokioms kaip Colonial. Iniciatyvą kuruojantis Nacionalinis rizikos valdymo centras grumiasi ir su kitais dygliais Problemos pavyzdžiui, rinkimų saugumas.
Ransomware smarkiai išaugo nuo 2012 m , kai dėl Bitcoin atsiradimo tapo sunku sekti ar blokuoti mokėjimus. Nusikaltėlių taktika išsivystė nuo beatodairiškų purškimo ir maldos kampanijų, siekiančių kelių šimtų dolerių už vienetą, iki nukreipimo į konkrečias įmones, vyriausybines agentūras ir ne pelno grupes, reikalaujančias kelių milijonų dolerių.
Pandemijos metu ypač padaugėjo išpuolių prieš energetikos įmones – ne tik JAV, bet ir Kanadoje, Lotynų Amerikoje ir Europoje. Kadangi įmonės leido darbuotojams dirbti iš namų, jos sušvelnino kai kurias saugumo kontrolės priemones, sakė McLeod.
„DarkSide“ priėmė vadinamąjį „ransomware“ kaip paslaugos modelį. Pagal šį modelį ji bendradarbiavo su filialais, kurie pradėjo atakas. Filialai gavo 75–90 % išpirkos, o likusią dalį pasiliko „DarkSide“.
Nuo 2019 m. daugybė gaujų padidino spaudimą naudodamos metodą, vadinamą dvigubu turto prievartavimu. Įeidami į sistemą, jie pavagia neskelbtinus duomenis prieš paleisdami išpirkos reikalaujančią programinę įrangą, kuri užkoduoja failus ir neleidžia ligoninėms, universitetams ir miestams atlikti savo kasdienio darbo. Jei prieigos prie kompiuterio praradimas nėra pakankamai bauginantis, jie grasina atskleisti konfidencialią informaciją, dažnai paskelbdami pavyzdžius kaip svertą. Pavyzdžiui, kai Vašingtono policijos departamentas praėjusį mėnesį nesumokėjo 4 mln. pareigūnų ir kandidatų į darbą rezultatus.
Praėjusį rugpjūtį pasirodžiusi „DarkSide“ įkūnijo šią naują veislę. Ji pasirinko tikslus remdamasi kruopščia finansine analize arba informacija, surinkta iš įmonės el. laiškų. Pavyzdžiui, ji užpuolė vieną iš Tantleff klientų per savaitę, kai įsilaužėliai žinojo, kad įmonė bus pažeidžiama, nes ji perkelia failus į debesį ir neturėjo švarių atsarginių kopijų.
Siekdama įsiskverbti į tikslinius tinklus, gauja naudojo pažangius metodus, tokius kaip nulinės dienos išnaudojimai, kurie iš karto pasinaudoja programinės įrangos pažeidžiamumu, kol juos galima pataisyti. Patekęs į vidų, jis greitai judėjo, ieškodamas ne tik neskelbtinų duomenų, bet ir aukos kibernetinio draudimo poliso, kad galėtų susieti savo reikalavimus su draudimo suma. Po dviejų ar trijų dienų kibimo „DarkSide“ užšifravo failus.
Jie turi greitesnį atakos langą, sakė Christopheris Ballodas, verslo tyrimų įmonės „Kroll“ asocijuotasis generalinis direktorius kibernetinės rizikos klausimais, pataręs pusei tuzino „DarkSide“ aukų. Kuo ilgiau gyvensite sistemoje, tuo didesnė tikimybė, kad būsite sugauti.
Paprastai „DarkSide“ reikalavimai buvo aukščiausio lygio, 5 mln. USD ir daugiau, sakė Ballodas. Viena bauginanti taktika: jei viešai prekiaujamos bendrovės nesumokės išpirkos, „DarkSide“ pagrasino, kad iš jų pavogta informacija pasidalins su trumpalaikių vertybinių popierių pardavėjais, kurie pasipelnytų, jei akcijų kaina nukristų paskelbus.
„DarkSide“ svetainė tamsiajame žiniatinklyje identifikavo dešimtis aukų ir aprašė konfidencialius duomenis, kuriuos ji, kaip teigiama, paėmė iš jų. Viena iš jų buvo Naujojo Orleano advokatų kontora „Stone Pigman Walther Wittmann“. Advokatas Philas Wittmannas, turėdamas galvoje vasario mėnesį įvykdytą „DarkSide“ ataką, yra didelis susierzinimas. Mes jiems nieko nemokėjome, sakė Michaelas Walshe'as jaunesnysis, įmonės valdymo komiteto pirmininkas, atsisakęs daugiau komentuoti.
Praėjusį lapkritį „DarkSide“. priimtas tai, kas žinoma kaip išpirkos reikalaujančios programos kaip paslaugos modelis. Pagal šį modelį ji bendradarbiavo su filialais, kurie pradėjo atakas. Filialai gavo 75–90 % išpirkos, o „DarkSide“ pasilieka likusią dalį. Kaip rodo ši partnerystė, išpirkos reikalaujančių programų ekosistema yra iškreiptas įmonės kultūros veidrodis, apimantis viską nuo darbo pokalbių iki ginčų sprendimo procedūrų. Po to, kai „DarkSide“ buvo uždaryta, keli žmonės, kurie save vadino jos filialais, ginčų sprendimo forume skundėsi, kad tai juos įtempė. Tikslas mokėjo, bet savo dalies negavau, – rašė vienas.
Pranešama, kad kartu „DarkSide“ ir jos filialai uždirbo mažiausiai 90 mln. Septyni Tantleff klientai, įskaitant dvi energetikos pramonės įmones, sumokėjo išpirkas nuo 1,25 iki 6 mln. Kiti trys jo klientai, kuriuos nukentėjo „DarkSide“, nemokėjo. Vienu iš tų atvejų programišiai pareikalavo 50 mln. Derybos tapo įnirtingos ir abi pusės negalėjo susitarti dėl kainos.
„DarkSide“ atstovai buvo gudrūs derybininkai, sakė Tantleffas. Jei auka teigė negalinti sau leisti išpirkos dėl pandemijos, „DarkSide“ buvo pasiruošusi pateikti duomenis, rodančius, kad bendrovės pajamos išaugo arba kad COVID-19 poveikis buvo įtrauktas į kainą.
„DarkSide“ geopolitikos suvokimas buvo mažiau pažengęs nei požiūris į išpirkos reikalaujančias programas. Maždaug tuo pačiu metu, kai priėmė filialų modelį, ji paskelbė, kad planuoja apsaugoti iš aukų pavogtą informaciją, saugodama ją serveriuose Irane. „DarkSide“, matyt, nesuvokė, kad Irano ryšys apsunkins išpirkų rinkimą iš aukų JAV, kuriai taikomos ekonominės sankcijos, ribojančios finansinius sandorius su Iranu. Nors vėliau „DarkSide“ atsisakė šio pareiškimo, sakydama, kad tik Iraną laikė galima vieta, daugelis kibernetinių draudikų nerimavo dėl mokėjimų grupei padengimo. „Coveware“, Konektikuto įmonė, derantis su užpuolikais aukų vardu, nustojo bendradarbiauti su „DarkSide“.
Ballodas teigė, kad jų draudikams nenorėjus kompensuoti išpirkos, nė vienas jo klientas nemokėjo „DarkSide“, nepaisant susirūpinimo dėl jų duomenų atskleidimo. Net jei jie būtų įsitraukę į „DarkSide“ ir mainais gavę įsilaužėlių patikinimą, kad duomenys bus susmulkinti, informacija vis tiek gali nutekėti, sakė jis.
„DarkSide“ pereinant prie dukterinio modelio , jos išpirkos reikalaujančioje programoje buvo įdėta klaida. Pažeidžiamumas patraukė Ransomware Hunting Team narių dėmesį. 2016 m. įkurtą tik pakvietimų komandą sudaro apie keliolika savanorių iš JAV, Ispanijos, Italijos, Vokietijos, Vengrijos ir JK. Jie dirba kibernetinio saugumo ar susijusiose srityse. Laisvalaikiu jie bendradarbiauja ieškodami ir iššifruodami naujas išpirkos reikalaujančias programas.
Keletas narių, įskaitant Wosar, turi menką formalų išsilavinimą, bet geba koduoti. Nebaigęs vidurinės mokyklos, Wosar užaugo darbininkų šeimoje netoli Vokietijos uostamiesčio Rostoko. 1992 m., būdamas aštuonerių metų, jis pirmą kartą pamatė kompiuterį ir buvo sužavėtas. Būdamas 16 metų jis kūrė savo antivirusinę programinę įrangą ir uždirbo iš to pinigų. Dabar 37 metų jis dirbo antivirusinėje įmonėje Emsisoft nuo jos įkūrimo beveik prieš du dešimtmečius ir yra jos vyriausiasis technologijų pareigūnas. 2018 m. jis persikėlė į JK iš Vokietijos ir gyvena netoli Londono.
Jis kovoja su išpirkos reikalaujančiais programišiais nuo 2012 m., kai nulaužė padermę ACCDFISA, kuri reiškia Federalinės interneto saugumo agentūros Kovos su elektroniniais nusikaltimais departamentą. Ši išgalvota agentūra pranešdavo žmonėms, kad vaikų pornografija užkrėtė jų kompiuterius, todėl blokavo prieigą prie jų failų, nebent jie sumokėjo 100 USD už viruso pašalinimą.
Susijusi istorija
„Google“ teigia, kad įsilaužėliams per lengva rasti naujų saugos trūkumų Užpuolikai vėl ir vėl naudojasi tų pačių tipų programinės įrangos pažeidžiamumu, nes įmonės dažnai pasigenda miško dėl medžių.ACCDFISA įsilaužėlis galiausiai pastebėjo, kad padermė buvo iššifruota, ir išleido pataisytą versiją. Daugelis vėlesnių Wosaro triumfų taip pat buvo trumpalaikiai. Jis ir jo komandos draugai stengėsi, kad nusikaltėliai kuo ilgiau palaimingai nesuvoktų, kad jų įtampa yra pažeidžiama. Forumuose jie paliko paslaptingas žinutes, kviesdami aukas susisiekti su jomis dėl pagalbos arba siųsdavo tiesiogines žinutes žmonėms, paskelbusiems, kad jie buvo užpulti.
Apsaugodami nuo kompiuterių įsilaužimo, antivirusinių įmonių analitikai kartais aptikdavo išpirkos reikalaujančių programų trūkumų ir sukurdavo iššifravimo įrankius, nors tai nebuvo pagrindinis jų dėmesys. Kartais jie susidurdavo su Wosar.
2014 m. Wosar išsiaiškino, kad išpirkos reikalaujanti programa, vadinama CryptoDefense, nukopijavo ir įklijavo iš Microsoft Windows tam tikrą kodą, kurį naudojo failams užrakinti ir atrakinti, nesuvokdama, kad tas pats kodas buvo išsaugotas aukos kompiuterio aplanke. Programoje trūko signalo arba vėliavėlės, kurią paprastai įtraukdavo išpirkos reikalaujančių programų kūrėjai, norėdami nurodyti Windows neišsaugoti rakto kopijos.
Wosar greitai sukūrė iššifravimo įrankį raktui gauti. Susidūrėme su įdomia mįsle, Sarah White, kita medžioklės komandos narė, parašė Emsisoft's Dienoraštis . Kaip pasiekti, kad mūsų įrankis pasiektų kuo daugiau aukų, neįspėjus kenkėjiškų programų kūrėjo apie jo klaidą?
Wosar diskretiškai ieškojo „CryptoDefense“ aukų per paramos forumus, savanorių tinklus ir pranešimus, kur kreiptis pagalbos. Jis vengė apibūdinti, kaip įrankis veikė arba kokias klaidas jis išnaudojo. Kai atsiliepė aukos, jis pataisė išpirkos reikalaujančią programinę įrangą iš mažiausiai 350 kompiuterių. „CryptoDefense“ galiausiai mus užklupo, bet jis vis tiek neturėjo prieigos prie mūsų naudoto iššifravimo įrenginio ir neįsivaizdavo, kaip atrakiname jo aukų failus, rašė White'as.
„Susidūrėme su įdomia mįsle… Kaip pasiekti, kad mūsų įrankis pasiektų kuo daugiau aukų, neįspėjus kenkėjiškų programų kūrėjo apie jo klaidą?
Sarah White, Ransomware Hunting Team
Tačiau tada antivirusinė kompanija Symantec atskleidė tą pačią problemą ir pasigyrė atradimu tinklaraščio įraše, kuriame buvo pakankamai informacijos, kad CryptoDefense kūrėjas galėtų rasti ir ištaisyti trūkumą, rašė White'as. Per 24 valandas užpuolikai pradėjo platinti pataisytą versiją. Jie pakeitė pavadinimą į CryptoWall ir pagamintas 325 milijonai dolerių.
„Symantec“ pasirinko greitą viešinimą, o ne pagalbą „CryptoDefense“ aukoms atkurti failus, rašė White'as. Kartais yra dalykų, apie kuriuos geriau nepasakyti.
„Broadcom“, 2019 m. įsigijusios „Symantec“ įmonės saugos verslą, atstovė atsisakė komentuoti, teigdama, kad komandos nariai, dirbę su įrankiu, nebėra įmonei.
Kaip ir Wosar, 29 m Gillespie kilęs iš skurdo ir niekada nelankė koledžo. Kai jis augo Ilinojaus centre, jo šeima turėjo tiek daug finansinių sunkumų, kad kartais tekdavo persikelti gyventi pas draugus ar giminaičius. Baigęs vidurinę mokyklą, jis 10 metų visu etatu dirbo kompiuterių remonto tinkle „Nerds on Call“. Praėjusiais metais jis tapo kenkėjiškų programų ir kibernetinio saugumo tyrėju „Coveware“.
Praėjusį gruodį jis kreipėsi į Wosarą pagalbos. Gillespie dirbo su „DarkSide“ auka, kuri sumokėjo išpirką ir gavo įrankį duomenims atkurti. Tačiau „DarkSide“ iššifruotojas garsėjo kaip lėtas, o auka tikėjosi, kad Gillespie gali pagreitinti procesą.
Gillespie išanalizavo programinę įrangą, kurioje buvo failų paleidimo raktas. Jis norėjo ištraukti raktą, bet jam nepavyko, nes jis buvo saugomas neįprastai sudėtingai. Jis kreipėsi į Wosarą, kuris sugebėjo jį izoliuoti.
Tada komandos draugai pradėjo bandyti raktą kituose „DarkSide“ užkrėstuose failuose. Gillespie tikrino aukų įkeltus failus į jo valdomą svetainę ID Ransomware, o Wosar naudojo „VirusTotal“ – internetinę įtariamų kenkėjiškų programų duomenų bazę.
Tą naktį jie pasidalino atradimu.
Turiu patvirtinimą, kad „DarkSide“ pakartotinai naudoja savo RSA raktus, Gillespie parašė „Hunting Team“ savo „Slack“ kanale. Tam tikra kriptografijos rūšis, RSA generuoja du raktus: viešąjį raktą duomenims koduoti ir privatų raktą jiems iššifruoti. RSA teisėtai naudojama siekiant apsaugoti daugelį el. prekybos aspektų, pavyzdžiui, apsaugoti kredito numerius. Tačiau tai taip pat pasirinko išpirkos reikalaujantys įsilaužėliai.
Pastebėjau tą patį, nes sugebėjau iššifruoti naujai užšifruotus failus naudodamas jų iššifruotoją, Wosar atsakė mažiau nei po valandos, 2:45 val. Londono laiku.
Jų analizė parodė, kad prieš priimdama filialų modelį „DarkSide“ kiekvienai aukai naudojo skirtingą viešąjį ir privatųjį raktą. Wosar įtarė, kad per šį perėjimą „DarkSide“ įvedė klaidą į savo filialų portalą, naudojamą generuojant išpirkos reikalaujančią programinę įrangą kiekvienam taikiniui. Wosar ir Gillespie dabar galėjo naudoti Wosaro ištrauktą raktą, kad gautų failus iš „DarkSide“ užgrobtų „Windows“ įrenginių. Ši kriptografinė klaida neturėjo įtakos Linux operacinėms sistemoms.
Susijusi istorija
Kaip pareigūnai saugo rinkimus nuo išpirkos programinės įrangos įsilaužėlių Susirūpinimas dėl rinkimų sistemų puolimo yra tikras. Tačiau įsilaužimas nepakenktų balsavimui tiek, kiek dėl to kiltų dezinformacija.Mes laužėme galvas, sakė Wosar. Ar tikrai jie galėjo taip smarkiai pakliuvoti? „DarkSide“ buvo viena iš profesionalesnių išpirkos reikalaujančių programų kaip paslaugos schemų. Jie padaro tokią didžiulę klaidą labai labai retai.
Medžioklės rinktinė šventė tyliai, nesiekdama viešumo. White'as, kuris yra Londono universiteto Royal Holloway kompiuterių mokslų studentas, pradėjo ieškoti „DarkSide“ aukų. Ji susisiekė su įmonėmis, kurios tvarko skaitmeninę teismo ekspertizę ir reagavimą į incidentus.
Mes jiems pasakėme: „Ei, klausykite, jei turite „DarkSide“ aukų, liepkite jiems susisiekti su mumis; mes galime jiems padėti. Galime atkurti jų failus ir jiems nereikės mokėti didžiulės išpirkos“, – sakė Wosar.
„DarkSide“ įsilaužėliai dažniausiai atšaukė Kalėdų sezoną. Gillespie ir Wosar tikėjosi, kad atnaujinus išpuolius naujaisiais metais, jų atradimas padės dešimčiai aukų. Bet tada „Bitdefender“ paskelbė savo įrašą pavadinimu „Darkside Ransomware Decryption Tool“.
Pranešimų siuntimo kanale su atsakomųjų išpirkos programų bendruomene kažkas paklausė, kodėl „Bitdefender“ nukreipia įsilaužėlius. Viešumas, atsakė White'as. Atrodo gerai. Galiu garantuoti, kad dabar jie tai ištaisys daug greičiau.
Ji buvo teisi. Kitą dieną „DarkSide“ pripažino klaidą, kurią Wosar ir Gillespie rado prieš „Bitdefender“. Dėl raktų generavimo problemos kai kurios įmonės turi tuos pačius raktus, rašė įsilaužėliai ir pridūrė, kad buvo paveikta iki 40% raktų.
DarkSide tyčiojosi iš Bitdefender, kad jis netinkamu laiku išleido iššifratorių... nes mūsų ir mūsų partnerių aktyvumas per Naujųjų metų šventes yra pats žemiausias.
Dar padidindamas komandos nusivylimą, Wosar atrado, kad „Bitdefender“ įrankis turi savų trūkumų. Naudodamas bendrovės iššifruotoją, jis bandė atrakinti DarkSide užkrėstus pavyzdžius ir nustatė, kad jie buvo sugadinti. Jie iš tikrųjų neteisingai įgyvendino iššifravimą, sakė Wosar. Tai reiškia, kad jei aukos naudojo „Bitdefender“ įrankį, yra didelė tikimybė, kad jie sugadino duomenis.
Paklaustas apie Wosaro kritiką, Botezatu sakė, kad duomenų atkūrimas yra sudėtingas ir kad „Bitdefender“ ėmėsi visų atsargumo priemonių, kad įsitikintų, jog nepakenkiame naudotojo duomenims, įskaitant išsamų testavimą ir kodą, įvertinantį, ar gautas iššifruotas failas yra tinkamas.
Net ir be „Bitdefender“, „DarkSide“ galėjo greitai suprasti savo klaidą, sakė Wosar ir Gillespie. Pavyzdžiui, naršydami pažeistus tinklus, įsilaužėliai galėjo aptikti el. laiškus, kuriuose medžioklės komandos padedamos aukos aptarė trūkumą.
Jie gali tai išsiaiškinti - tai visada yra galimybė, sakė Wosar. Tačiau tai ypač skaudu, jei pažeidžiamumas yra sudeginamas per kažką tokio kvailo.
Dėl šio incidento „Hunting Team“ sukūrė terminą, apibrėžiantį priešlaikinį išpirkos reikalaujančios programos padermės silpnumo atskleidimą. Viduje dažnai juokaujame: „Taip, jie tikriausiai ims „Bitdefender“, - sakė Wosar.
Ši istorija buvo paskelbta kartu su „ProPublica“, ne pelno siekiančia naujienų svetaine, kuri tiria piktnaudžiavimą valdžia. Renee Dudley ir Daniel Golden daugiausia dėmesio skyrė „ProPublica“ išpirkos reikalaujančioms programoms ir kuria knygą apie „Ransomware Hunting Team“, kurią kitais metais išleis Farrar, Straus ir Giroux.
Prisiregistruokite gauti Didžiausios „ProPublica“ istorijos kai tik jie bus paskelbti.