Киберпреступники Нанимают Специалистов Для Максимизации Неправедно Нажитого Дохода

Банды вымогателей все чаще обращаются к специалистам, чтобы завершить свои каперсы на корпорациях, по словам источника Dark Net intelligence.

В докладе, опубликованном в пятницу тель-авивской Kela, отмечается, что дни, когда одинокие волки проводили кибератаки от начала до конца, почти исчезли.

Шоу одного человека почти полностью распалось, уступив место специализации, говорится в докладе, написанном аналитиком Kela Threat Intelligence Викторией Кивилевич.

Кивилевич выделил четыре направления специализации:

Предоставление или получение кода для атаки;
Заражение и распространение атаки;
Обеспечение доступа и сбора данных из зараженных систем; и
Монетизация плодов атаки.
Вымогатели также начали расширять свои методы запугивания жертв, такие как использование DDoS-атак и спам-звонков, говорится в докладе.

«Таким образом, экосистема вымогателей все больше напоминает корпорацию с диверсифицированными ролями внутри компании и множеством аутсорсинговых мероприятий», — отмечает он.

Подъем переговорщика
Отчет также показал появление новой роли в экосистеме вымогателей: переговорщик.

Первоначально, как пояснялось, большинство операторов вымогателей общались с жертвами по электронной почте. По мере того как ransomware-as-a-service рос и становился все более заметным и деловым, многие акторы начали создавать свои собственные порталы, через которые проводились все коммуникации.

Accusoft PrizmDoc Editor — Попробуйте прямо сейчас!

Разработчики программ — вымогателей или их партнеры определяли сумму выкупа, предлагали скидки и обсуждали условия оплаты. «Однако, — отметил он, — теперь эта часть атаки также, похоже, является аутсорсинговой деятельностью-по крайней мере, для некоторых филиалов и/или разработчиков.»

Одна из возможных причин, по которой киберпреступники начали вербовать переговорщиков, заключается в том, что жертвы начали их использовать. «Актерам-выкупщикам пришлось также поднять свою игру, чтобы сделать хорошую маржу», — рассуждал отчет.

Другой мотив может быть связан с самими киберпреступниками. «Поскольку большинство участников выкупа, вероятно, не являются носителями английского языка, более деликатные переговоры-особенно вокруг очень высоких бюджетов и окружающих сложных деловых ситуаций-требовали лучшего английского языка», — предположил доклад.

Он отметил, что участники переговоров обычно просят от 10 до 20 процентов выкупа в качестве оплаты за свои услуги.

«Англоязычные переговорщики там, чтобы поставить» лицо обслуживания клиентов «на сделку», — заметил Эйджей Кинг , CISO в BreachQuest, компании по реагированию на инциденты в Далласе.

«В зависимости от типа компромисса использование нюансов языка может означать разницу между получением дополнительных 10 процентов от вашей цели, а не нет», — сказал он NewsTechWorld.

«Если вы не можете общаться должным образом, вы не будете успешны в долгосрочной перспективе и в более крупных случаях», — сказал он. -Киберпреступники обратили на это внимание.»

Факторы, Стоящие За Специализацией
Оливер Таваколи, технический директор Vectra AI, поставщика автоматизированных решений для управления угрозами в Сан-Хосе, штат Калифорния. вымогатели начали специализироваться по тем же причинам, что и любой крупный бизнес.

«Легче быть хорошим в небольшом количестве вещей, чем в большом, лучше работать над тем, в чем вы хороши, и организации, пытающиеся организовать целую цепочку атак, не хотят полагаться на людей, которые не являются экспертами в чем-то для критического шага в атаке», — сказал он NewsTechWorld.

Масштаб также может способствовать необходимости специализации, добавил Пурандар Дас, генеральный директор и соучредитель Sotero, компании по защите данных в Берлингтоне, штат Массачусетс.

«Атаки теперь стали настолько большими, что то, что, вероятно, рассматривалось как часть атаки, теперь требует таких же услуг в масштабе», — сказал он NewsTechWorld.

• Каждая из этих способностей требует специальных навыков,- сказал он. «Будь то вторжение, доступ или переговоры, бизнес работает в таких масштабах, что каждый из них требует своей специализации.»

Брэндон Хоффман, главный специалист по безопасности Intel 471, поставщика разведывательной информации о киберпреступности в Далласе, добавил, что поставщики программ-вымогателей как услуг нуждаются в специалистах, потому что они обычно предлагают только программное обеспечение для шифрования и способ монетизации атаки.

«Важно иметь в виду, что программы-вымогатели, по сути, находятся в конце цепочки атак», — сказал он TechNewsWorld. — Чтобы загрузить программу-вымогателя, им нужен первоначальный доступ, боковое перемещение и повышение привилегий, прежде чем шифрование станет достаточно эффективным и распространенным, чтобы нанести вред организации.»

Премиальные тарифы за права администратора
В отчете Kela также отмечалось, что злоумышленники-вымогатели были готовы платить премию за доступ администратора домена к скомпрометированному компьютеру.

«Если злоумышленники-вымогатели начинают боковое движение с машины администратора домена, у них больше шансов успешно развернуть программу-вымогателя в скомпрометированной сети», — поясняется в отчете.

• Однако, — продолжал он, — если все, что у них есть, — это доступ пользователя, то они должны повысить свои привилегии сами-или позвать на помощь опытных коллег.»

Эта помощь может быть дорогой. Согласно отчету, специалисты по вторжению получают от 10 до 30 процентов выкупа за повышение привилегий до уровня домена.

Таваколи объяснил, что вторжение и эскалация-это часть атаки программ-вымогателей, которая требует высокого уровня технического мастерства и, как правило, не может быть автоматизирована.

«Этот шаг предполагает использование существующих инструментов и методов и их адаптацию к особенностям среды, с которой сталкивается целевая организация», — продолжил он. «Учитывая, что этот шаг требует навыков и является ручным, спрос-с точки зрения общего количества необходимых людей-относительно высок.»

Гаррет Грайек, генеральный директор YouAttest, компании по аудиту личных данных в Ирвине, штат Калифорния. он добавил, что ключевым выводом из этих выводов является напоминание о том, насколько важны административные права для хакеров.

«Исследование показывает, что хакеры платят в 10 раз больше за скомпрометированные учетные данные администратора, чем за учетные данные обычных пользователей», — сказал он NewsTechWorld.

«Чтобы компенсировать затраты, хакеры также покупают недорогие украденные учетные данные пользователей, а затем используют оплаченные хаки для повышения привилегий этих учетных записей пользователей», — добавил он.

Хакеры Двойного Погружения
Как только злоумышленники-вымогатели проникают в систему, они обычно действуют одним из двух способов, а в некоторых случаях и тем и другим.

«Киберпреступники шифруют данные для получения выкупа в соответствии с классическими методами вымогателей», — заметила Элли Меллен, аналитик по безопасности и рискам Forrester Research.

«В дополнение к этому, — сказала она NewsTechWorld, — они также используют новый подход-крадут бизнес-данные, а затем угрожают выпустить их, если организация не заплатит.»

«Этот двойной удар выкупа и вымогательства позволяет бандам вымогателей получать вдвое больше, чем они получали бы традиционно, что может иметь еще более негативное влияние на бизнес-хит с вымогателями», — сказала она.

Как организации могут защитить себя от атак вымогателей? У Кинга есть эти рекомендации:

Реализовать сильную программу управления идентификацией и доступом.
Ограничьте права локального администратора для обычных пользователей.
Требуется многофакторная аутентификация для всех интернет-порталов.
Сегментируйте сеть, что может ограничить боковое движение злоумышленника.
Имейте сильный оперативный центр безопасности либо на аутсорсинге, либо в доме с надлежащей подготовкой, оборудованием и штатным расписанием, чтобы поймать событие рано, когда произойдет неизбежное вторжение.