Ransomware: Σε εξέλιξη μαζική κυβερνοεπίθεση – Πάνω από 1000 εταιρείες επλήγησαν

Μαζική επίθεση ransomware στην αλυσίδα εφοδιασμού λογισμικoύ έχει επηρεάσει περισσότερες από 1.000 επιχειρήσεις μέχρι σήμερα, και ο αριθμός μπορεί να συνεχίσει να αυξάνεται, σύμφωνα με την εταιρεία ασφάλειας στον κυβερνοχώρο Huntress Labs Inc .

Η επίθεση επικεντρώθηκε σε παρόχους υπηρεσιών, οι οποίοι παρέχουν υπηρεσίες πληροφορικής κυρίως σε μικρές και μεσαίες επιχειρήσεις. Τέτοιες επιθέσεις μπορεί να έχουν πολλαπλασιαστικό αποτέλεσμα, καθώς οι χάκερ μπορούν στη συνέχεια να αποκτήσουν πρόσβαση και να διεισδύσουν και στους πελάτες των ΜμΕ.

Ο αντίκτυπος της επίθεσης μόλις αρχίζει να εμφανίζεται. Στη Σουηδία, η πλειονότητα των περισσότερων από 800 καταστημάτων της αλυσίδας ειδών παντοπωλείου Coop δεν μπορούσε να ανοίξει το Σάββατο μετά την επίθεση που οδήγησε σε δυσλειτουργία των ταμειακών μηχανών τους, δήλωσε η εκπρόσωπος Τύπου Τερέζε Κανπ στο Bloomberg News.

Οι χάκερς ταυτοποιήθηκαν ως η Ρωσική ομάδα ransomware REvil, η οποία κατηγορήθηκε τον περασμένο μήνα ότι είχε επιτεθεί στον κολοσσό παρασκευής κρεάτων JBS SA .

Υπάρχουν θύματα σε 11 χώρες μέχρι στιγμής, σύμφωνα με έρευνα που δημοσιεύθηκε από την εταιρεία κυβερνοασφάλειας ESET.

Ερευνητές στον τομέα κυβερνοασφάλειας δείχνουν την Kaseya, εταιρεία που αναπτύσσει λογισμικό που χρησιμοποιούν πάροχοι MSP ως την πιθανή ρίζα της επίθεσης. Η εταιρεία ενημέρωσε τους πελάτες της την Παρασκευή ότι θα κλείσει το λογισμικό της λόγω πιθανής επίθεσης. Η αμερικανική αρχή κυβερνοασφάλειας παραδέχθηκε την επίθεση.

Η ομάδα των χάκερς που βρίσκονται πίσω από την επίθεση είναι γνωστή ως “REvil”, σύμφωνα με τον Αλαν Λίσκα, αναλυτή της Recorded Future Inc. Ο Λίσκα δήλωσε ότι είναι η Τρίτη φορά που η REvil σημαδεύει την Kaseya για να διεξάγει επιθέσεις με στόχο τα λύτρα

Σε δήλωσή της η Kaseya δήλωσε ότι έχει ήδη ενημερώσει το FBI.

Η ρωσική ομάδα ransomware Revil είναι μια από τις πιο σημαντικές οικογένειες ransomware στον πλανήτη και είναι υπεύθυνη για δεκάδες σημαντικές παραβιάσεις από το 2019. Ένας από τους βασικούς παράγοντες που οδήγησαν στην επιτυχία της είναι η χρήση της τεχνικής Double Extortion, μια τεχνική όπου οι απειλητικοί παράγοντες κλέβουν δεδομένα από οργανισμούς και επιπλέον προχωρούν σε κρυπτογράφηση αρχείων.

Αυτό σημαίνει ότι, καθώς όχι μόνο απαιτούν λύτρα για την αποκρυπτογράφηση δεδομένων, αλλά μπορούν σε δεύτερο χρόνο να απειλήσουν με διαρροή των κλεμμένων πληροφοριών, εάν δεν πραγματοποιηθεί εκ νέου πληρωμή.

Η Revil είναι επίσης γνωστή για τη συνεργασία της με εξελιγμένους χάκερς, οι οποίοι είναι υπεύθυνοι για την παραβίαση νέων στόχων, την εκροή δεδομένων και την κρυπτογράφηση δικτύων. Με τη σειρά του, ο όμιλος Revil παρέχει σε αυτούς το ίδιο το ransomware, τον ιστότοπο διαρροής και όλα όσα σχετίζονται με τα χρήματα: από τη διαπραγμάτευση έως την πληρωμή.

Σε ευρύτερη κλίμακα, η ομάδα ransomware Revil ανακοίνωσε τον Φεβρουάριο του 2021 ότι πρόσθεσε δύο στάδια στο σχήμα Double Extortion: επιθέσεις DDoS και τηλεφωνικές κλήσεις στους συνεργάτες των εταιρειών-θύματα και στα μέσα ενημέρωσης. Η ομάδα προσφέρει τώρα στους συνεργαζόμενους μαζί της χάκερς, επιθέσεις DDoS και φωνητικές κλήσεις VOIP σε δημοσιογράφους και συνεργάτες ως δωρεάν υπηρεσία, κάτι που έχει σχεδιαστεί για να ασκήσει περαιτέρω πίεση στην εταιρεία-θύμα για να ανταποκριθεί στις απαιτήσεις λύτρων εντός του καθορισμένου χρόνου.

Τον Απρίλιο του 2021, η Revil παρουσίασε τη χρήση αυτού που αποκαλούμε τεχνική Triple Extortion. Αυτή τη φορά η συμμορία παραβίασε με επιτυχία την Quanta Computer, μια εξέχουσα κατασκευάστρια εταιρεία πρωτότυπου σχεδιασμού φορητών υπολογιστών (ODM) με έδρα την Ταϊβάν και επιχειρηματικού συνεργάτη της Apple. Μετά την ransomware επίθεση, της ζητήθηκε πληρωμή περίπου 50 εκατομμυρίων δολαρίων, μαζί με την προειδοποίηση ότι το ποσό θα διπλασιαστεί αν δεν καταβληθεί εγκαίρως.

Δεδομένου ότι η εταιρεία αρνήθηκε να επικοινωνήσει μαζί τους, οι επιτιθέμενοι προχώρησαν σε εκβιασμό της Apple απευθείας, απαιτώντας από αυτήν να επαναγοράσει σχέδια των προϊόντων της που βρέθηκαν στο δίκτυο της Quanta Computer. Περίπου μια εβδομάδα αργότερα, η Revil περιέργως αφαίρεσε τα σχέδια της Apple από τον επίσημο ιστότοπο της διαρροής δεδομένων.

Μετά την ransomware επίθεση της DarkSide στην Colonial Pipeline και την διεθνή πίεση επιβολής του νόμου που την ακολούθησε, μεγάλες υπόγειες ρωσικές κοινότητες απαγόρευσαν τη μελλοντική προώθηση έργων θυγατρικών ransomware όπως η Revil. Κάτι που αναμένεται να δούμε πως θα επηρεάσει τις ransomware δραστηριότητες όπως της Revil στο μέλλον.

Τέλος, το τμήμα έρευνας της Check Point Software Technologies, Check Point Research (CPR) ανακάλυψε σε ένα υπόγειο ρωσικό φόρουμ τους «κανόνες εργασίας» της Revil, που συμπεριλαμβάνουν απαγόρευση στόχευσης εντός της πρώην Σοβιετικής Ένωσης (μετέπειτα Κοινοπολιτεία Ανεξαρτήτων Κρατών/ ΚΑΚ), συμπεριλαμβανόμενης της Ουκρανίας.