Economia de extorsão

Tal como muitas indústrias passaram a utilizar trabalhadores por conta de outrem para aumentar a eficiência, os cibercriminosos estão a alugar ou a vender as suas ferramentas de ransomware por uma parte dos lucros, em vez de serem eles próprios a realizar os ataques.

O Ransomware como Serviço permite que os cibercriminosos comprem o acesso aos payloads de Ransomware e à fuga de dados, bem como à infraestrutura de pagamento. Os "gangues" de ransomware são, na realidade, programas RaaS como o Conti ou o REvil, utilizados por vários atores diferentes que alternam entre programas RaaS e payloads.

O RaaS diminui a fasquia de entrada e ofusca a identidade dos atacantes por detrás do resgate. Alguns programas têm mais de 50 "afiliados", que é como se referem aos utilizadores do seu serviço, com diferentes ferramentas, técnicas de trabalho e objetivos. Tal como qualquer pessoa com um carro pode conduzir para um serviço de partilha de viagens, qualquer pessoa com um portátil e um cartão de crédito, disposta a procurar ferramentas de teste de penetração ou malware pronto a utilizar na dark web, pode juntar-se a esta economia.

Esta industrialização do cibercrime criou funções especializadas, como os corretores de acesso que vendem acesso às redes. Um único comprometimento envolve, frequentemente, vários cibercriminosos em diferentes fases da intrusão.

Os kits de RaaS são fáceis de encontrar na dark web e são anunciados da mesma forma que os bens são anunciados na Internet.

Um kit de RaaS pode incluir apoio do suporte ao cliente, ofertas agrupadas, críticas de utilizadores, fóruns e outras funcionalidades. Os cibercriminosos podem pagar um preço fixo por um kit de RaaS, enquanto outros grupos que vendem RaaS ao abrigo do modelo de afiliados recebem uma percentagem dos lucros.

Os ataques de ransomware envolvem decisões baseadas em configurações de redes e diferem de vítima para vítima, mesmo que o payload do ransomware seja o mesmo. O ransomware culmina num ataque que pode incluir a transferência de dados não autorizada e outros impactos. Devido à natureza interligada da economia do cibercrime, as intrusões aparentemente não relacionadas podem desenvolver-se de forma complementar. O malware "infostealer" que rouba palavras-passe e cookies é tratado com menos gravidade, mas os cibercriminosos vendem essas palavras-passe para permitir outros ataques.

Estes ataques seguem um modelo de acesso inicial através de infeção por malware ou exploração de uma vulnerabilidade e, em seguida, roubo de credenciais para elevar os privilégios e moverem-se lateralmente. A industrialização permite que ataques de ransomware prolíficos e com impacto sejam efetuados por atacantes sem sofisticação ou competências avançadas. Desde o encerramento do Conti, observámos mudanças no panorama do ransomware. Alguns afiliados que estavam a implementar o Conti mudaram para payloads de ecossistemas RaaS estabelecidos, como o LockBit e o Hive, enquanto outros implementam simultaneamente payloads de vários ecossistemas RaaS.

Novos RaaS como o QuantumLocker e o Black Basta estão a preencher o vazio deixado pelo encerramento do Conti. Uma vez que a maioria da cobertura do ransomware se centra nos payloads em vez dos atores, esta mudança de payload é capaz de confundir os governos, as autoridades policiais, os meios de comunicação social, os investigadores de segurança e os defensores sobre quem está por detrás dos ataques.

A criação de relatórios sobre o ransomware pode parecer um problema de escala infinita; no entanto, na realidade trata-se de um conjunto finito de atores que utilizam um conjunto de técnicas.