Οικονομικά του εκβιασμού

Ακριβώς όπως πολλές βιομηχανίες έχουν στραφεί προς τους υπεργολάβους για λόγους αποδοτικότητας, οι εγκληματίες του κυβερνοχώρου νοικιάζουν ή πωλούν τα εργαλεία ransomware για ένα μέρος των κερδών, αντί να εκτελούν οι ίδιοι τις επιθέσεις.

Το Ransomware ως υπηρεσία επιτρέπει στους εγκληματίες του κυβερνοχώρου να αγοράζουν πρόσβαση σε ωφέλιμα φορτία Ransomware και διαρροή δεδομένων, καθώς και σε υποδομές πληρωμών. Οι "συμμορίες" Ransomware είναι στην πραγματικότητα προγράμματα RaaS όπως το Conti ή το REvil, που χρησιμοποιούνται από πολλούς διαφορετικούς παράγοντες απειλής που εναλλάσσονται μεταξύ προγραμμάτων RaaS και ωφέλιμων φορτίων.

Το RaaS μειώνει το εμπόδιο εισόδου και αποκρύπτει την ταυτότητα των επιτιθέμενων πίσω από τα λύτρα. Ορισμένα προγράμματα έχουν 50+ "συνεργάτες", όπως αναφέρονται στους χρήστες της υπηρεσίας τους, με διαφορετικά εργαλεία, τεχνικές και στόχους. Ακριβώς όπως οποιοσδήποτε με αυτοκίνητο μπορεί να οδηγήσει για μια υπηρεσία συνεπιβατισμού, οποιοσδήποτε με φορητό υπολογιστή και πιστωτική κάρτα που είναι πρόθυμος να ψάξει στο dark web για εργαλεία δοκιμής διείσδυσης ή έτοιμο κακόβουλο λογισμικό μπορεί να ενταχθεί σε αυτή την οικονομία.

Αυτή η βιομηχανοποίηση του εγκλήματος στον κυβερνοχώρο έχει δημιουργήσει εξειδικευμένους ρόλους, όπως οι μεσίτες πρόσβασης που πωλούν πρόσβαση σε δίκτυα. Μια ενιαία παραβίαση συχνά περιλαμβάνει πολλούς εγκληματίες του κυβερνοχώρου σε διαφορετικά στάδια της εισβολής.

Τα κιτ RaaS είναι εύκολο να βρεθούν στο dark web και διαφημίζονται με τον ίδιο τρόπο που διαφημίζονται τα αγαθά στο διαδίκτυο.

Ένα κιτ RaaS μπορεί να περιλαμβάνει υποστήριξη εξυπηρέτησης πελατών, συνδυασμένες προσφορές, αξιολογήσεις χρηστών, φόρουμ και άλλα χαρακτηριστικά. Οι εγκληματίες του κυβερνοχώρου μπορούν να πληρώσουν μια καθορισμένη τιμή για ένα κιτ RaaS, ενώ άλλες ομάδες που πωλούν RaaS στο πλαίσιο του μοντέλου θυγατρικών λαμβάνουν ένα ποσοστό των κερδών.

Οι επιθέσεις ransomware περιλαμβάνουν αποφάσεις που βασίζονται σε ρυθμίσεις παραμέτρων δικτύων και διαφέρουν για κάθε θύμα, ακόμη και αν το ωφέλιμο φορτίο του ransomware είναι το ίδιο. Το Ransomware κορυφώνει μια επίθεση που μπορεί να περιλαμβάνει απόσπαση δεδομένων και άλλες επιπτώσεις. Λόγω της διασυνδεδεμένης φύσης της οικονομίας του εγκλήματος στον κυβερνοχώρο, φαινομενικά άσχετες εισβολές μπορούν να αλληλοσυμπληρώνονται. Το κακόβουλο λογισμικό Infostealer που κλέβει κωδικούς πρόσβασης και cookie αντιμετωπίζεται με λιγότερη σοβαρότητα, αλλά οι εγκληματίες του κυβερνοχώρου πωλούν αυτούς τους κωδικούς πρόσβασης για να επιτρέψουν άλλες επιθέσεις.

Αυτές οι επιθέσεις ακολουθούν ένα πρότυπο αρχικής πρόσβασης μέσω μόλυνσης από κακόβουλο λογισμικό ή εκμετάλλευσης μιας ευπάθειας και, στη συνέχεια, κλοπής διαπιστευτηρίων για την αύξηση των προνομίων και τη μετακίνηση πλευρικά. Η εκβιομηχάνιση επιτρέπει την πραγματοποίηση επιθέσεων ransomware με μεγάλη έκταση και αντίκτυπο από επιτιθέμενους χωρίς εξειδίκευση ή προηγμένες δεξιότητες. Από το κλείσιμο της Conti έχουμε παρατηρήσει αλλαγές στο τοπίο ransomware. Ορισμένες θυγατρικές που ανέπτυσσαν το Conti μετακινήθηκαν σε ωφέλιμα φορτία από καθιερωμένα οικοσυστήματα RaaS, όπως το LockBit και το Hive, ενώ άλλες αναπτύσσουν ταυτόχρονα ωφέλιμα φορτία από πολλαπλά οικοσυστήματα RaaS.

Νέα RaaS όπως το QuantumLocker και το Black Basta καλύπτουν το κενό που άφησε το κλείσιμο της Conti. Δεδομένου ότι το μεγαλύτερο μέρος της κάλυψης του Ransomware επικεντρώνεται στα ωφέλιμα φορτία και όχι στους δράστες, αυτή η αλλαγή ωφέλιμου φορτίου είναι πιθανό να προκαλέσει σύγχυση στις κυβερνήσεις, τις αρχές επιβολής του νόμου, τα μέσα ενημέρωσης, τους ερευνητές ασφάλειας και τους υπεύθυνους για την ασφάλεια, σχετικά με το ποιος βρίσκεται πίσω από τις επιθέσεις.

Η αναφορά στο ransomware μπορεί να φαίνεται σαν ένα ατελείωτο πρόβλημα κλιμάκωσης. Ωστόσο, η πραγματικότητα είναι ένα πεπερασμένο σύνολο δραστών που χρησιμοποιούν το σύνολο των τεχνικών.