Zarabianie na wymuszeniach

Podobnie do wielu firm, które przestawiają się obecnie na model pracy krótkoterminowej w celu zwiększenia wydajności, cyberprzestępcy wynajmują lub sprzedają swoje narzędzia ransomware za procent zysków zamiast przeprowadzać takie ataki samodzielnie.

RaaS obniża zmniejsza bariery dostępu do tego branży i pozwala ukryć tożsamość wymuszających okup atakujących. Niektóre programy obejmują ponad 50 „wspólników”, jak określani są ich użytkownicy, i korzystają z różnych narzędzi i zaawansowanych rozwiązań w różnych celach. Podobnie jak właściciel samochodu może zaoferować usługi transportowe na rynku współdzielenia pojazdów, tak każdy posiadacz laptopa i karty kredytowej może przedostać się do darknetu i znaleźć narzędzia do testów penetracyjnych lub gotowe złośliwe oprogramowanie, aby dołączyć do rynku cyberprzestępstw.

Industrializacja cyberprzestępstwa spowodowała powstanie nowych specjalistycznych ról, jak brokerzy sprzedający dostęp do sieci. Pojedynczy incydent naruszenia bezpieczeństwa sieci często odbywa się z udziałem kilku cyberprzestępców działających na różnym etapie ataku.

Zestawy RaaS są stosunkowo łatwo dostępne w darknecie i reklamuje się je tak samo, jak ma to miejsce w przypadku zwykłych artykułów sprzedawanych przez Internet.

Kompleksowe pakiety RaaS mogą nawet obejmować obsługę klienta, oferty łączone, recenzje użytkowników i inne funkcje. Niektórzy cyberprzestępcy wpłacają określoną kwotę za pakiet RaaS, podczas gdy inne grupy uczestniczą w sprzedaży pakietów RaaS według modelu partnerskiego w zamian za procent zysków.

Ataki z użyciem ransomware często wiążą się z decyzjami dotyczącymi konfiguracji sieci i przebiegają różnie dla każdej ofiary ataku, nawet jeśli ładunki ransomware są takie same. Oprogramowanie ransomware jest zwieńczeniem ataku, który może obejmować eksfiltrację danych lub inne działania. Ze względu na ściśle powiązania gospodarki cyberprzestępstw, niepowiązane ze sobą na pierwszy rzut oka ataki mogą nakładać się na siebie. Wykradające hasła i pliki cookie oprogramowanie traktuje się na ogół mniej poważnie, ale takie wykradzione hasła są następnie sprzedawane innym cyberprzestępcom, aby umożliwić dalsze ataki.

Ataki te zachodzą według pewnego wzorca: najpierw uzyskuje się dostęp przez zainstalowanie złośliwego oprogramowania lub wykorzystanie luki w zabezpieczeniach. Następnie następuje kradzież poświadczeń, które zwiększają uprawnienia dostępu, umożliwiając atakującym poziome poruszanie się po sieci. Industrializacja umożliwia wykonywanie dynamicznych, szeroko zakrojonych ataków z użyciem oprogramowania ransomware, także hakerom nieposiadającym zaawansowanych umiejętności. Po czasu likwidacji systemu Conti możemy zauważyć pewne zmiany w krajobrazie technik ransomware. Niektórzy korzystający z Conti cyberprzestępcy przeszli do wyłudzania korzyści poprzez stabilne ekosystemy RaaS, takie jak LockBit i Hive, podczas gdy inni korzystają z możliwości kilku ekosystemów RaaS jednocześnie.

Nowe programy RaaS, jak np. QuantumLocker i Black Basta, wypełniają próżnię powstałą po likwidacji Conti. Ponieważ większość znajdujących się w obiegu informacji dotyczących ransomware skupia się na ładunkach zamiast źródeł zagrożeń, uczestnictwo w kilku ładunkach ransomware może mylić organy rządowe, organy ścigania, media, a także specjalistów zajmujących się bezpieczeństwem i obrońców odnośnie faktycznego źródła ataku.

Zagrożenia ransomware mogą wydawać się problemem o stale rosnącej skali, ale w rzeczywistości źródłem zagrożenia jest określona liczba atakujących korzystająca ze stałego zestawu technik.