DarkSide (хакерская группа)
ДаркСайд | |
| Цель | Программы-вымогатели как услуга |
|---|---|
Область | Восточная Европа |
Официальный язык | Русский |
DarkSide — хакерская группа киберпреступников , предположительно базирующаяся в России , которая нацелена на жертв с помощью программ-вымогателей и вымогательства ; Считается, что именно он стоит за кибератакой на Colonial Pipeline . [1] [2] [3] [4] Считается, что только в США им удалось взломать и вымогать деньги примерно у 90 компаний. Группа предоставляет программы-вымогатели как услугу. [4] [5] [6]
Сама DarkSide утверждает, что она аполитична. [7]
Цели
[ редактировать ]Предполагается, что DarkSide базируется в Восточной Европе , скорее всего, в России, но в отличие от других хакерских групп, ответственных за громкие кибератаки, не предполагается, что она напрямую спонсируется государством (т. е. управляется российскими спецслужбами). [3] [8] DarkSide избегает целей в определенных географических местах, проверяя языковые настройки их системы. Помимо языков 12 нынешних, бывших или основавших стран СНГ, в список исключений входит сирийский арабский язык . [9] Эксперты заявляют, что эта группа является «одной из многих коммерческих групп, занимающихся вымогательством, которые распространились и процветают в России», по крайней мере, с неявной санкции российских властей, которые допускают эту деятельность до тех пор, пока она атакует иностранные цели. [8] Функцию проверки языка можно отключить при создании экземпляра программы-вымогателя. Одна из таких версий наблюдалась в мае 2021 года. [10] Кроме того, DarkSide не нацелен на медицинские центры , школы и некоммерческие организации . [11]
Код программы-вымогателя, используемый DarkSide, напоминает программу-вымогатель, используемую REvil , другой хакерской группой; Код REvil недоступен публично, что позволяет предположить, что DarkSide является ответвлением REvil. [12] или партнер REvil. [4] DarkSide и REvil используют записки о выкупе с одинаковой структурой и один и тот же код, чтобы проверить, что жертва не находится в стране Содружества Независимых Государств (СНГ). [13]
По данным Trend Micro Research, США являются наиболее целевой страной DarkSide: более 500 обнаружений, за ними следуют Франция , Бельгия и Канада . [13] Из 25 стран, наблюдаемых McAfee, наиболее пострадавшими от атак DarkSide с точки зрения количества пораженных устройств на миллион устройств являются Израиль (1573,28), Малайзия (130,99), Бельгия (106,93), Чили. (103,97), Италия (95,91), Турция (66,82), Австрия (61,19), Украина (56,09), Перу (26,94), США (24,67). [14]
По состоянию на июнь 2021 года DarkSide опубликовал данные только одной компании; объем публикуемых данных превышает 200 ГБ. [15]
Механизм атаки
[ редактировать ]![[икона]](http://upload.wikimedia.org/wikipedia/commons/thumb/1/1c/Wiki_letter_w_cropped.svg/20px-Wiki_letter_w_cropped.svg.png){kind=small} | Этот раздел нуждается в расширении . Вы можете помочь, добавив к нему . ( июнь 2021 г. ) |
Программа-вымогатель DarkSide изначально обходит UAC, используя COM-интерфейс CMSTPLUA. [15] Затем программное обеспечение проверяет местоположение и язык системы, чтобы избежать машин в странах бывшего СССР; В список исключенных языков входят русский , украинский , белорусский , таджикский , армянский , азербайджанский , грузинский , казахский , киргизский , туркменский , узбекский , татарский , молдавский румынский и сирийский арабский . [15]
Затем программа создает файл с именем LOG.{userid}.TXT , который служит файлом журнала . [15] Программное обеспечение удаляет файлы из корзины один за другим, удаляет определенные программы безопасности и резервного копирования, а также завершает процессы, чтобы разрешить доступ к файлам пользовательских данных. [15] Во время самого процесса шифрования идентификатор пользователя генерируется на основе MAC-адреса и добавляется к именам файлов, а данные файла шифруются с помощью Salsa20 и случайно сгенерированного матричного ключа (который, зашифрованный с помощью жестко запрограммированного ключа RSA , сам добавляется к файл). [15] Однако программное обеспечение избегает шифрования определенных папок, файлов и типов файлов. [15]
Наконец, программа-вымогатель оставляет записку с требованием выкупа под названием README.{userid}.TXT , которая направляет пользователя на доступ к сайту с помощью Tor; Затем этот сайт предлагает пользователю подтвердить свою личность и произвести платеж с использованием биткойнов или Monero . [15]
Бизнес-модель
[ редактировать ]DarkSide использует хакеров-посредников 26c3weq («партнеры»). [16] Он использует программу-вымогатель как услугу. [4] [5] [6] - модель, в которой DarkSide предоставляет своим «партнерским» подписчикам (которые проверяются посредством собеседования) доступ к программам-вымогателям, разработанным DarkSide, в обмен на предоставление DarkSide доли выкупных платежей (вероятно, 25% для выкупов на сумму менее 500 000 долларов США и 10 долларов США). % за выкуп на сумму более 5 миллионов долларов США). [4] Партнерам предоставляется доступ к панели администрирования, в которой они создают сборки для конкретных жертв. Панель позволяет в некоторой степени настраивать каждую сборку программы-вымогателя. Фирма по кибербезопасности Mandiant , дочерняя компания FireEye , задокументировала пять кластеров активности угроз, которые могут представлять собой различные филиалы платформы DarkSide RaaS, и описала три из них, получившие названия UNC2628, UNC2659 и UNC2465. [10]
Некоторые исследователи утверждают, что бизнес-модель DarkSide сравнима с франшизой , а это означает, что покупатели могут использовать бренд DarkSide в своих атаках. Кроме того, DarkSide, как известно, работает на высоком уровне профессионализма: аналитики отмечают, что у хакерской группы есть пресс-центр, список рассылки и горячая линия для жертв, расположенные на их веб-сайте. [17]
История и атаки
[ редактировать ]2020
[ редактировать ]Впервые группу заметили в августе 2020 года. [15] Компания по кибербезопасности Касперский назвала группу «предприятием» из-за ее профессионально выглядящего веб-сайта и попыток сотрудничать с журналистами и компаниями по дешифрованию. [2] Группа «публично заявила, что предпочитает нападать на организации, которые могут позволить себе платить большие выкупы, а не на больницы, школы, некоммерческие организации и правительства». [6] Группа стремилась создать имидж « Робин Гуда », утверждая, что часть доходов от выкупа они пожертвовали на благотворительность. [1] [18] В посте в даркнете группа разместила квитанции о пожертвованиях в размере BTC 0,88 (тогда это стоило 10 000 долларов США ) в пользу Children International и The Water Project от 13 октября 2020 года; Children International заявила, что не сохранит деньги. [19] [20]
с 2020 по 2021 год
[ редактировать ]С декабря 2020 года по май 2021 года выкуп, требуемый группой, варьировался от 200 000 до 2 миллионов долларов США. [15] [12] DarkSide четыре раза атаковал нефтегазовую инфраструктуру США. [8] В марте 2021 года программа-вымогатель DarkSide поразила поставщика ИТ- услуг CompuCom, затраты на восстановление составили более 20 миллионов долларов США; он также атаковал канадские компании по аренде автомобилей и грузовиков со скидками. [21] и Toshiba Tec Corp., подразделение Toshiba Corp. [22] DarkSide вымогала деньги у немецкой компании Brenntag . [16] Фирма Elliptic, занимающаяся безопасностью криптовалют , заявила, что биткойн-кошелек , открытый DarkSide в марте 2021 года, получил 17,5 миллиона долларов США от 21 биткойн-кошелька (включая выкуп Colonial Pipeline), что указывает на количество выкупов, полученных в течение нескольких месяцев. [16] Анализ Elliptic показал, что в общей сложности Darkside получила более 90 миллионов долларов в качестве выкупа как минимум от 47 жертв. Средняя сумма выкупа составила 1,9 миллиона долларов. [23]
2021
[ редактировать ]Федеральное бюро расследований определило DarkSide как виновника атаки-вымогателя Colonial Pipeline — кибератаки 7 мая 2021 года, совершенной с помощью вредоносного кода , которая привела к добровольному останову магистрального трубопровода, поставляющего 45% топлива на восточное побережье США. Соединенные Штаты . [3] [12] [24] Атака была названа худшей на сегодняшний день кибератакой на критическую инфраструктуру США . [1] DarkSide успешно выманил около 75 биткойнов (почти 5 миллионов долларов США) из Colonial Pipeline. [16] Американские чиновники расследуют, было ли нападение чисто криминальным или имело место при участии российского правительства или другого государственного спонсора. [12] После нападения DarkSide опубликовал заявление, в котором утверждалось, что «Мы аполитичны, мы не участвуем в геополитике... Наша цель — зарабатывать деньги, а не создавать проблемы обществу». [12]
В мае 2021 года ФБР и Агентство по кибербезопасности и безопасности инфраструктуры выпустили совместное предупреждение, призывающее владельцев и операторов критически важной инфраструктуры предпринять определенные шаги для снижения своей уязвимости к программам-вымогателям DarkSide и программам-вымогателям в целом. [6]
14 мая 2021 года в заявлении на русском языке, полученном компаниями по кибербезопасности Recorded Future , FireEye и Intel 471 и опубликованном Wall Street Journal и The New York Times , DarkSide заявила, что «из-за давления со стороны США» она прекращал операции, закрывая «партнерскую программу» банды (хакеров-посредников, с которыми DarkSide работает для взлома). [16] [25] Конкретное «давление», о котором идет речь, не было ясно, но накануне президент США Джо Байден предположил, что США примут меры против DarkSide, чтобы «подорвать их способность действовать». [16] DarkSide заявила, что потеряла доступ к своему платежному серверу, блогу и средствам, выведенным на неуказанный счет. [16] Эксперты по кибербезопасности предупредили, что заявление DarkSide о роспуске может быть уловкой, чтобы отвлечь внимание. [16] и, возможно, позволить банде возобновить хакерскую деятельность под другим именем. [25] Сети киберпреступников обычно закрываются, возрождаются и переименовываются таким образом. [16]
Репортеры Agence France-Presse обнаружили, что отчет Recorded Future, в котором подробно описывается потеря серверов и средств DarkSide, был ретвитнут в Twitter-аккаунте 780-й бригады военной разведки , группы кибервойны армии США, участвующей в наступательных операциях. [26]
Потомство
[ редактировать ]К апрелю 2022 года Федеральное бюро расследований (ФБР) опубликовало сообщение о том, что несколько разработчиков и лиц, занимающихся отмыванием денег для BlackCat, имели связи с двумя несуществующими группами программ-вымогателей как услуги (RaaS) — DarkSide и BlackMatter. [27] По мнению некоторых экспертов, BlackCat может быть ребрендингом DarkSide после атаки на Colonial Pipeline . [28]
Ссылки
[ редактировать ]- ^ Перейти обратно: а б с «Кто такие DarkSide, преступная группировка «Робин Гуд», обвиняемая в отключении одного из крупнейших топливных предприятий. Нашла своего нового лидера Кадир-хана» . www.abc.net.au. 9 мая 2021 г. . Проверено 10 мая 2021 г.
- ^ Перейти обратно: а б Деденок, Роман (10 мая 2021 г.). «Утечки DarkSide показывают, как программы-вымогатели становятся индустрией» . Касперский Ежедневно . АО «Лаборатория Касперского».
- ^ Перейти обратно: а б с Дастин Волц, США обвиняют преступную группу во взломе колониального трубопровода , Wall Street Journal (10 мая 2021 г.).
- ^ Перейти обратно: а б с д и Чарли Осборн, Исследователи выследили пять филиалов службы вымогателей DarkSide , ZDNet (12 мая 2021 г.).
- ^ Перейти обратно: а б Крис Наттолл, программа-вымогатель DarkSide как услуга , Financial Times (10 мая 2021 г.).
- ^ Перейти обратно: а б с д Оповещение (AA21-131A): Программы-вымогатели DarkSide: передовые методы предотвращения сбоев в работе бизнеса из-за атак программ-вымогателей , Агентство кибербезопасности и безопасности инфраструктуры/Федеральное бюро расследований (11 мая 2021 г., последняя редакция от 12 мая 2021 г.).
- ^ Джаверс, Имон (10 мая 2021 г.). «Вот хакерская группа, ответственная за закрытие Колониального трубопровода» . CNBC . Проверено 21 мая 2021 г.
- ^ Перейти обратно: а б с Николас Риверо, хакерский коллектив DarkSide — пираты, санкционированные государством , Quartz (10 мая 2021 г.).
- ^ Cybereason против DarkSide Ransomware , Cybereason (1 апреля 2021 г.).
- ^ Перейти обратно: а б «Проливаем свет на операции с программами-вымогателями DARKSIDE | Mandiant» .
- ^ Манкастер, Фил (12 марта 2021 г.). «Программа-вымогатель Darkside 2.0 обещает самую высокую скорость шифрования» . Журнал Инфобезопасность . Проверено 21 мая 2021 г.
- ^ Перейти обратно: а б с д и Дэвид Э. Сэнгер и Николь Перлрот, ФБР идентифицирует группу, стоящую за взломом трубопровода , New York Times (10 мая 2021 г.).
- ^ Перейти обратно: а б Что мы знаем о программе-вымогателе DarkSide и атаке на трубопровод в США , Trend Micro Research (14 мая 2021 г.).
- ^ Профиль угрозы: DarkSide Ransomware , MVISION Insights, McAfee.
- ^ Перейти обратно: а б с д и ж г час я дж «Пример: Darkside Ransomware не атакует больницы, школы и правительства» . Акронис . Проверено 15 мая 2021 г.
- ^ Перейти обратно: а б с д и ж г час я Майкл Швирц и Николь Перлрот, DarkSide, обвиненные в атаке на газопровод, заявляют, что он закрывается , New York Times (14 мая 2021 г.).
- ^ Бирман, Джек; Берент, Дэвид; Фальтер, Зак; Бхуния, Суман (май 2023 г.). «Обзор атаки программы-вымогателя на колониальном трубопроводе» . 2023 г. 23-й международный симпозиум IEEE/ACM по кластерным, облачным и интернет-вычислениям (CCGridW) . IEEE. стр. 8–15. дои : 10.1109/CCGridW59191.2023.00017 . ISBN 979-8-3503-0208-0 .
- ^ «Таинственные хакеры из «Робин Гуда» жертвуют украденные деньги» . Новости Би-би-си. 19 октября 2020 г. . Проверено 10 мая 2021 г.
- ^ «Киберразум против программы-вымогателя DarkSide» . www.cybereason.com . 1 апреля 2021 года. Архивировано из оригинала 1 апреля 2021 года . Проверено 10 июня 2021 г.
- ^ Тайди, Джо (19 октября 2020 г.). «Таинственные хакеры из «Робин Гуда» жертвуют украденные деньги» . Новости Би-би-си . Проверено 10 июня 2021 г.
- ^ Имманни, Маниканта (28 марта 2021 г.). «Атака программы-вымогателя на CompuCom обходится в более чем 20 миллионов долларов затрат на восстановление» . ТехДатор . Проверено 14 мая 2021 г.
- ↑ Бенуа Оверстратен и Макико Ямазаки, подразделение Toshiba, взломанное DarkSide, конгломерат проходит стратегическую проверку , Reuters (14 мая 2021 г.).
- ^ «DarkSide Ransomware заработала более 90 миллионов долларов в биткойнах» . Эллиптический . Проверено 20 мая 2021 г.
- ^ Эллен Накашима, Йегане Торбати и Уилл Инглунд, Атака программы-вымогателя привела к остановке крупной трубопроводной системы США , Washington Post (8 мая 2021 г.).
- ^ Перейти обратно: а б Роберт Макмиллан и Дастин Волц, хакер колониального трубопровода DarkSide заявляет, что прекратит свою деятельность , Wall Street Journal (14 мая 2021 г.).
- ^ «Серверы Colonial Pipeline взломал хакер Darkside: охранная фирма» . АФП . Проверено 25 мая 2021 г.
- ^ «В центре внимания программы-вымогатели: BlackCat — новости безопасности» . www.trendmicro.com . Проверено 14 июля 2023 г.
- ^ «Раскрытие операции по вымогательству BlackCat» . cisecurity.org . 7 июля 2022 г.