Economia da extorsão

Assim como muitos setores migraram para a contratação de trabalhadores autônomos em busca de eficiência, os criminosos cibernéticos estão alugando ou vendendo suas ferramentas de ransomware em troca de uma parte dos lucros, ao invés de realizar os ataques por conta própria.

O Ransomware como Serviço permite que os cibercriminosos comprem acesso a payloads de ransomware e vazamento de dados, bem como a infraestrutura de pagamento. As chamadas "gangues" de ransomware são, na verdade, programas RaaS como Conti ou REvil, usados por diversos atores que alternam entre diferentes programas e payloads de RaaS.

O RaaS reduz as barreiras de entrada e torna mais difícil identificar os invasores por trás dos ataques de ransomware. Alguns programas contam com mais de 50 "afiliados", como chamam os usuários desses serviços, cada um com suas próprias ferramentas, técnicas e objetivos. Assim como qualquer pessoa com um carro pode trabalhar para um serviço de carona compartilhada, qualquer um com um laptop e um cartão de crédito pode procurar na dark web por ferramentas de teste de penetração ou malware pronto para uso e entrar nesse mercado.

A industrialização dos crimes cibernéticos criou funções especializadas, como os corretores de acesso que vendem entradas em redes comprometidas. Um único ataque pode envolver vários cibercriminosos em diferentes fases da invasão.

Os kits de RaaS são fáceis de encontrar na dark web e são anunciados como qualquer outro produto na internet.

Um kit RaaS pode incluir suporte ao cliente, pacotes de ofertas, avaliações de usuários, fóruns e outras funcionalidades. Os criminosos cibernéticos podem pagar um preço fixo por um kit RaaS, enquanto outros grupos que vendem RaaS em um modelo de afiliado recebem uma porcentagem dos lucros.

Os ataques de ransomware são baseados em decisões que levam em conta as configurações de redes e variam para cada vítima, mesmo quando o payload de ransomware é o mesmo. Um ataque de ransomware culmina em um ataque que pode incluir exfiltração de dados e outros impactos. Como o mercado do crime cibernético é tão interligado, invasões que parecem não ter relação podem se acumular umas nas outras. Malwares que roubam informações, como senhas e cookies, podem parecer menos graves, mas os criminosos cibernéticos vendem essas senhas para possibilitar outros ataques.

Esses ataques normalmente começam com o acesso inicial através de uma infecção por malware ou exploração de uma vulnerabilidade, seguido pelo roubo de credenciais para aumentar privilégios e se espalhar pela rede. A industrialização permite que tornou possível que ataques de ransomware eficazes e de grande impacto sejam realizados por invasores que não possuem sofisticação ou habilidades avançadas. Desde o desmantelamento do grupo Conti, observamos mudanças na cenário do ransomware. Alguns afiliados que distribuíam o Conti migraram para payloads de ecossistemas RaaS já estabelecidos, como LockBit e Hive, enquanto outros passaram a implantar payloads de vários ecossistemas RaaS ao mesmo tempo.

Novos RaaS, como QuantumLocker e Black Bastam estão ocupando o espaço deixado pelo desmantelamento do Conti. Já que a maioria das coberturas de ransomware se concentra em payloads em vez de atores, essa mudança de payloads pode confundir os governos, autoridades judiciárias, veículos de mídia, pesquisadores de segurança e defensores sobre quem está por trás dos ataques.

Pode parecer que reportar sobre ataques de ransomware é um problema que só cresce, No entanto, trata-se de um número limitado de atores utilizando um conjunto específico de técnicas.