Улей (программа-вымогатель)
Hive (также известная как группа вымогателей Hive ) представляла собой операцию «Вымогатель как услуга» (RaaS), проводившуюся одноименной организацией по борьбе с киберпреступностью в период с июня 2021 года по январь 2023 года. Целью группы было атаковать в основном государственные учреждения с целью последующего требования выкупа за выпуск украденные данные. [1]
В январе 2023 года после совместного американо-германского расследования. [2] с участием 13 правоохранительных органов, [3] Соединенные Штаты объявили, что ФБР «взламывало хакеров» в течение нескольких месяцев, в результате чего были захвачены серверы группы вымогателей Hive, что фактически закрыло преступное предприятие. [4] [5] Группа вымогателей Hive вымогала более 100 миллионов долларов США у примерно 1500 жертв в более чем 80 странах, когда ее ликвидировали правоохранительные органы. [6] [7] [8] Расследование продолжается: Государственный департамент США объявил награду в размере 10 миллионов долларов США за информацию, связывающую программу-вымогатель Hive с каким-либо иностранным правительством. [9]
Метод работы
[ редактировать ]Hive использовал широкий спектр тактик, методов и процедур (TTP), создавая серьезные проблемы для защиты и смягчения последствий. По данным Федерального бюро расследований (ФБР), оно действовало как программа-вымогатель на базе филиалов, используя множество механизмов для компрометации бизнес-сетей, включая фишинговые электронные письма с вредоносными вложениями для получения доступа и протокол удаленного рабочего стола (RDP) после проникновения в сеть. [10] Использование вредоносного ПО для шкафчиков [11] и работает как платформа RaaS, [12] Hive использовал методы двойного вымогательства, при которых операторы устанавливают вредоносное ПО для хранения данных, чтобы получить данные объекта-жертвы, а затем шифруют их, чтобы они стали бесполезными для жертв для ведения бизнеса. Затем операторы группы угрожают опубликовать украденные данные на своем темном сайте Tor – HiveLeaks – если выкуп не будет выплачен. [13] Группа также использовала тактику «тройного вымогательства», стремясь вымогать деньги у всех, кто пострадал от раскрытия данных организации-жертвы. [14]
Улей в основном нацелен на сектор энергетики, здравоохранения, финансов, средств массовой информации и образования и прославился своими атаками и нанесением ущерба критически важной инфраструктуре. [13] По данным компании по кибербезопасности Paloaltonetworks, в конце 2022 года программа-вымогатель запускает два пакетных сценария: hive.bat, который пытается удалить себя, а затем Shadow.bat, который удаляет все теневые копии системы. Затем он добавляет расширение .hive к зашифрованным файлам вместе с запиской о выкупе под названием «HOW_TO_DECRYPT.txt», в которой перечислены инструкции по предотвращению потери данных. Сгенерированные учетные данные для входа включены для инициирования онлайн-коммуникаций между жертвой и хакерами Hive, называемыми ее «отделом продаж». Ссылка Tor направляет жертву на страницу входа и ввода предоставленных учетных данных, после чего открывается чат. [13]
История
[ редактировать ]Появление и растущий профиль
[ редактировать ]Вымогатель Hive впервые стал известен в июне 2021 года. [15] Два месяца спустя ZDNet сообщил, что Hive атаковал как минимум 28 организаций здравоохранения в США, включая клиники и больницы в Огайо и Западной Вирджинии . [16] В августе 2021 года ФБР опубликовало срочные обновления, предупреждающие о рисках, связанных с программой-вымогателем Hive, как и INCIBE в Испании в январе следующего года. [17] Также в августе 2021 года ФБР опубликовало экстренное предупреждение об атаках с помощью программы-вымогателя Hive, в котором указаны технические подробности и индикаторы компрометации, связанные с действиями банды. [10]
В декабре 2021 года аналитики Group-IB Threat Intelligence установили, что группа вымогателей Hive общается на русском языке, хотя и не имеет информации о своем оперативном местонахождении, и что по состоянию на 16 октября 2021 года жертвами программы-вымогателя Hive стали не менее 355 компаний. за предыдущие шесть месяцев, большинство из которых находились в Соединенных Штатах, при этом выкуп был получен от более чем 100 жертв, обязавшихся восстановить контроль над цифровой инфраструктурой. [18] [19] Панель администратора Hive показала, что ее филиалы за четыре месяца взломали более 350 организаций, причем в среднем три компании подвергались атакам каждый день с момента раскрытия операций Hive в конце июня. [20]
Chainaанализ поставил Hive на восьмое место в списке самых высоких доходов от программ-вымогателей в феврале 2022 года. [17] В июле 2022 года компания Malwarebytes поставила Hive на третье место по активности группы программ-вымогателей, отметив, что группа развивается и что Microsoft выпустила предупреждение о том, что HIVE обновил вредоносное ПО до языка программирования Rust, перейдя на более сложный метод шифрования. [ нужна ссылка ]
Ссылки на продолжение
[ редактировать ]По данным эксперта по передовым интеллектуальным системам Елисея Богуславского и BleepingComputer, Hive имел связи с группой вымогателей Conti как минимум с ноября 2021 года. [21] [22] некоторые члены Hive работают в обеих группах. [22] По словам Богуславского, Hive активно использовал первоначальный доступ для атаки, предоставленный Конти. [21]
В мае 2022 года BleepingComputer сообщил, что Conti сотрудничал с Hive и несколькими другими известными бандами, занимающимися вымогательством, включая HelloKitty, AvosLocker, BlackCat и BlackByte. [23] некоторые хакеры Конти мигрировали в эти организации, включая Hive, [21] [24] хотя конкурирующая группа [25] отрицает свою связь с Conti, однако, как только начался процесс закрытия операций и хакеры добрались до Hive, она начала использовать тактику публикации утекших данных в глубокую сеть, как это сделала Conti. [21]
Позже в мае Conti объявила, что начнет процесс закрытия. [11] через несколько дней после того, как 16 мая 2022 года Министерство юстиции объявило два обвинительных заключения в отношении активного оператора Conti и гражданина России, [26] затем на следующей неделе в партнерстве с Hive атаковал службу общественного здравоохранения Коста-Рики и Фонд социального обеспечения Коста-Рики (CCSS). [11]
В отличие от группы Conti, Hive не была связана с прямой поддержкой российского вторжения в Украину , хотя выкуп Hive, вероятно, будет получен теми же людьми в Conti, которые заявляли о коллективной поддержке группы с российским правительством . [21] Затем Богуславский сообщил BleepingComputer, что HIVE активно подтверждается как первоначальными доступами для атак, полученными от Conti, так и с помощью услуг пен-тестеров Conti. [27]
Обнаружение уязвимостей и проникновение ФБР
[ редактировать ]В феврале 2022 года четыре исследователя из Университета Кукмин в Южной Корее обнаружили уязвимость в алгоритме шифрования программы-вымогателя Hive, позволяющую им получить главный ключ и восстановить украденную информацию. [28] [17] В майском отчете Cisco указывалось, что преступники Hive продемонстрировали низкий уровень безопасности при раскрытии деталей операций, в том числе касающихся процесса шифрования , и используют любые средства, чтобы убедить своих жертв заплатить, включая предложение взяток переговорщикам жертв после уплаты выкупа. [29]
В июле 2022 года ФБР проникло в Улей. Агенты полевого офиса под прикрытием в Тампе, штат Флорида, получили полный доступ и действовали в качестве дочерней компании в сети Hive незамеченными в течение семи месяцев, собирая доказательства и тайно генерируя ключи дешифрования для жертв, чтобы они могли восстановить свои данные. ФБР работало с жертвами, чтобы идентифицировать цели Hive, затем проникло в системы Hive после получения постановлений суда и ордеров на обыск, прежде чем в конечном итоге конфисковать цифровую инфраструктуру Hive. [30] которую ее члены использовали для общения и совершения нападений. [31]
В ноябре 2022 года Агентство кибербезопасности и безопасности инфраструктуры (CISA) выпустило рекомендации по кибербезопасности с подробным описанием методов борьбы с программами-вымогателями Hive, отметив, что с июня 2021 года группа стала жертвой более 1300 компаний по всему миру и получила выкуп на сумму около 100 миллионов долларов США. [32] Два месяца спустя, когда правоохранительные органы ликвидировали Hive, он добавил еще 200 компаний в список жертв в 80 странах. [7]
Поражение в киберпространстве
[ редактировать ]26 января 2023 года генеральный прокурор США Меррик Гарланд лично заявил [4] [5] что совместно с правоохранительными органами 13 стран, [3] включая Европол , немецкие и голландские полицейские агентства, Hive был успешно взломан и ликвидирован путем захвата серверов после получения более 1000 ключей дешифрования. [33] которые агентство предоставило 336 жертвам перед закрытием цифровой инфраструктуры Hive. Расследование ФБР обнаружило два серверных компьютера, которые группа использовала для хранения данных в Лос-Анджелесе, и которые были конфискованы. Заместитель генерального прокурора Монако Лиза объяснила, что расследование легально «взломало хакеров». Директор ФБР Кристофер А. Рэй сообщил, что только около 20% американских компаний-жертв сообщили о нарушениях. Никакие выкупы не были возвращены, и никаких арестов произведено не было. Расследование продолжается. [2] [4] [5] [31] [33] В тот же день Государственный департамент США опубликовал уведомление о награде в размере 10 миллионов долларов США за информацию, связывающую программу-вымогатель Hive с правительствами иностранных государств, в рамках своей Программы вознаграждения за транснациональную организованную преступность (TOCRP). [9]
2023 ареста
[ редактировать ]В рамках расследования Европола 21 ноября 2023 года власти Украины обыскали 30 объектов на западе Украины и задержали 5 мужчин, в том числе 32-летнего предполагаемого лидера группировки. они конфисковали неустановленное количество биткойнов , эквивалентное шестизначной сумме евро У одного из подозреваемых . Европол заявил, что под следствием все еще находятся дополнительные подозреваемые. [34]
Атаки
[ редактировать ]Март 2021 г. — Страхование CNA
[ редактировать ]В конце марта CNA заплатила более 40 миллионов долларов, чтобы восстановить контроль над своей сетью после атаки программы-вымогателя Hive. Чикагская компания заплатила хакерам примерно через две недели после того, как была украдена большая часть данных компании, а чиновники CNA были заблокированы из своей сети. [35] Сообщалось, что в 2022 году это был крупнейший на тот момент раскрытый платеж от программы-вымогателя. [36]
Страховщик заявил, что его расследование пришло к выводу, что хакеры, ответственные за кибератаку, были из группы под названием Phoenix. Они использовали вредоносное ПО под названием Phoenix Locker, вариант программы-вымогателя Hades, используемой российской киберпреступной группировкой Evil Corp. [37]
Август 2021 г. — Система здравоохранения «Мемориал».
[ редактировать ]Система Memorial Healthcare была вынуждена заставить свои больницы использовать бумажные записи, отменять процедуры и направлять пациентов в другие незатронутые учреждения. Организация заплатила Hive выкуп, чтобы восстановить доступ к своим системам. [16]
Апрель 2022 г. — серверы Microsoft Exchange.
[ редактировать ]Расследование, проведенное фирмой по кибербезопасности, показало в апреле 2022 года, что филиал группы вымогателей Hive нацелился на серверы Microsoft Exchange с уязвимостью к проблемам безопасности ProxyShell, развернув различные бэкдоры, такие как маяк Cobalt Strike, а затем провел сетевую разведку с целью кражи учетной записи администратора. учетные данные, извлекайте ценные данные и развертывайте полезную нагрузку для шифрования файлов. [38]
Май 2022 г. — государственные учреждения Наварры.
[ редактировать ]Также в мае 2022 года Hive атаковал сообщество Наварра , Испания, заставив сотню учреждений использовать ручку и бумагу, пока системы восстанавливались. [39] [40]
Май 2022 г. — Банк Замбии.
[ редактировать ]Когда Улей атаковал Банк Замбии [41] в мае 2022 года он отказался платить выкуп, заявив, что у него есть средства для восстановления своих систем, и разместил ссылку на картинку члена в чате вымогателей. [42] [41] [43]
Май – июнь 2022 г. – Коста-Рика.
[ редактировать ]Конти объявил, что они начнут процесс закрытия [11] Через несколько дней после того, как 16 мая 2022 года Министерство юстиции объявило о двух обвинительных заключениях в отношении активного оператора Conti и гражданина России. [26] После перезагрузки цифровой инфраструктуры Конти 19 мая стало очевидно, что Конти, заявляя о цели свержения правительства, в партнерстве с Hive атаковал службу общественного здравоохранения Коста-Рики и Фонд социального страхования Коста-Рики (CCSS). [11] 31 мая около 2:00 ( UTC -6:00) Фонд социального страхования Коста-Рики (CCSS) обнаружил аномальные потоки информации в своих системах и немедленно приступил к отключению всех своих критически важных систем, включая Единый цифровой файл здоровья. ( Expediente Digital Único en Salud , EDUS) и централизованной системы сбора. Некоторые принтеры в учреждении печатали сообщения со случайными кодами или символами. [44] в то время как другие распечатывали инструкции по умолчанию от группы вымогателей Hive о том, как восстановить доступ к системам. [45] Во время атаки выяснилось, что только Hive несет ответственность за сбой 800 государственных серверов и тысяч пользовательских терминалов. [13] Президент CCSS Альваро Рамос Чавес заявил, что базы данных с конфиденциальной информацией не были скомпрометированы, хотя по крайней мере 30 из 1500 серверов учреждения были заражены программами-вымогателями. [45]
Август 2022 г. — Bell Технические решения
[ редактировать ]Дочерняя компания телекоммуникационной компании Bell Canada Bell Технические решения подверглись атаке программы-вымогателя Hive в августе 2022 года. [46] Hive слил украденные данные компании. [14]
Ноябрь 2022 г. — Интерспорт
[ редактировать ]В декабре сообщалось, что швейцарский производитель спортивных товаров Intersport с более чем 700 торговыми точками подвергся взлому со стороны Hive в ноябре, при этом подробности взлома можно увидеть только в темной сети, по данным франкоязычного СМИ Numerama . В тот же день Hive потребовал от компании выплатить нераскрытую сумму. Образец файла, предположительно опубликованный в даркнете компанией Hive и тщательно изученный Numerama, содержит паспорта, платежные ведомости и другую личную информацию о клиентах Intersport, что считается обычной практикой среди банд, занимающихся вымогательством. Обычно банда программ-вымогателей блокирует или шифрует все данные компании, прежде чем угрожать опубликовать их в Интернете, если требования о выкупе не будут выполнены. [47]
См. также
[ редактировать ]Ссылки
[ редактировать ]- ^ «Группа вирусов-вымогателей Hive утверждает, что украла данные пациентов плана медицинского страхования в Калифорнии» . ВенчурБит . 29 марта 2022 года. Архивировано из оригинала 31 мая 2022 года . Проверено 15 июня 2022 г.
- ^ Jump up to: а б « Мы взломали хакеров»: вирус-вымогатель Hive пойман в результате глобальной атаки» . Bloomberg.com . 26 января 2023 г. Проверено 21 июня 2023 г.
- ^ Jump up to: а б Гловер, Клаудия (26 января 2023 г.). «Инфраструктура банды-вымогателя Hive уничтожена ФБР и Европолом» . Технический монитор . Проверено 21 июня 2023 г.
- ^ Jump up to: а б с Менн, Джозеф; Штейн, Перри; Шаффер, Аарон (26 января 2023 г.). «ФБР ликвидировало банду программ-вымогателей, атаковавших школы и больницы» . Вашингтон Пост . ISSN 0190-8286 . Проверено 21 июня 2023 г.
- ^ Jump up to: а б с Маклафлин, Дженна (26 января 2023 г.). «ФБР заявляет, что «взломало хакеров», чтобы остановить крупную группу, занимающуюся программами-вымогателями» . Национальное общественное радио . Проверено 21 июня 2023 г.
- ^ «Управление по связям с общественностью | Министерство юстиции США разрушает вариант программы-вымогателя Hive | Министерство юстиции США» . www.justice.gov . 26 января 2023 г. Проверено 21 июня 2023 г.
- ^ Jump up to: а б Бушвик, Софи (апрель 2023 г.). «ФБР ликвидировало группу преступников-вымогателей Hive» . Научный американец . Проверено 21 июня 2023 г.
- ^ «США закрывают крупную сеть вирусов-вымогателей Hive» . www.aljazeera.com . Проверено 21 июня 2023 г.
- ^ Jump up to: а б «США предлагают награду в размере 10 миллионов долларов за связи программы-вымогателя Hive с правительствами иностранных государств» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ Jump up to: а б «Индикаторы компрометации, связанные с программой-вымогателем Hive» (PDF) . 25 августа 2021 г. Архивировано (PDF) из оригинала 24 мая 2022 г. . Проверено 8 июня 2023 г.
- ^ Jump up to: а б с д и «Операция по распространению программы-вымогателя Conti прекращена после того, как бренд стал токсичным» . www.securityweek.com . 23 мая 2022 года. Архивировано из оригинала 8 июня 2022 года . Проверено 15 июня 2022 г.
- ^ Шакир, Умар (27 января 2023 г.). «ФБР заявляет, что оно «взломало хакеров» службы вымогателей, сэкономив жертвам 130 миллионов долларов» . Грань . Проверено 21 июня 2023 г.
- ^ Jump up to: а б с д «Группа Hive Ransomware Group берет на себя ответственность за утечку данных Tata Power» . ТаймсСейчас . 25 октября 2022 г. Проверено 21 июня 2023 г.
- ^ Jump up to: а б Сингх, Карли Пейдж и Джагмит (25 октября 2022 г.). «Банда вымогателей Hive сливает данные, украденные во время кибератаки Tata Power» . ТехКранч . Проверено 03 августа 2023 г.
- ^ «ФБР предупреждает о программе-вымогателе Hive» . Новости ИТ в сфере здравоохранения . 2 сентября 2021 года. Архивировано из оригинала 20 мая 2022 года . Проверено 7 июня 2022 г.
- ^ Jump up to: а б «ФБР публикует предупреждение о программе-вымогателе Hive после атаки на систему больниц в Огайо и Западной Вирджинии» . ЗДНЕТ . Проверено 21 июня 2023 г.
- ^ Jump up to: а б с «Исследователи расшифровывают программу-вымогатель Hive и восстанавливают до 98% файлов» . Стек . 21 февраля 2022 г. Проверено 21 июня 2023 г.
- ^ «Внутри улья» . Группа-ИБ . 9 декабря 2021 г.
- ^ «Программа-вымогатель Hive унесла сотни жертв за 6 месяцев» . TechTarget.com . Архивировано из оригинала 5 июня 2022 года . Проверено 7 июня 2022 г.
- ^ «Программа-вымогатель Hive выходит в высшую лигу: за четыре месяца были взломаны сотни систем» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ Jump up to: а б с д и «Агентство общественного здравоохранения Коста-Рики пострадало от программы-вымогателя Hive» . Мигающий компьютер . Архивировано из оригинала 6 июня 2022 года . Проверено 7 июня 2022 г.
- ^ Jump up to: а б «ФБР: программа-вымогатель Hive вымогала 100 миллионов долларов у более чем 1300 жертв» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ «Программа-вымогатель Conti прекращает работу и переименовывается в более мелкие подразделения» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ «Разве команда вымогателей Conti организовала свою собственную гибель?» . ComputerWeekly.com . Архивировано из оригинала 30 мая 2022 года . Проверено 7 июня 2022 г.
- ^ «Программа-вымогатель Hive закрыта правоохранительными органами; у ФБР есть ключи расшифровки, общедоступный веб-сайт группы» . Журнал ЦПО . Проверено 4 июня 2023 г.
- ^ Jump up to: а б «Округ Нью-Джерси | Россиянин обвиняется в атаках с помощью программ-вымогателей на критически важную инфраструктуру | Министерство юстиции США» . www.justice.gov . 16 мая 2023 г. Проверено 21 июня 2023 г.
- ^ «Программа-вымогатель Hive заявляет о кибератаке на дочернюю компанию Bell Canada» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ Ким, Гиюн; Ким, Сорам; Кан, Суджин; Ким, Чонсон (2022). «Метод расшифровки данных, зараженных программой-вымогателем Hive». arXiv : 2202.08477 [ cs.CR ].
- ^ Маккей, Кендалл. «Операции с программами-вымогателями Conti и Hive: использование чатов жертв для получения ценной информации» (PDF) . Талос Интеллект. Архивировано (PDF) из оригинала 31 мая 2022 г. Проверено 8 июня 2022 г.
- ^ «Как ФБР предотвратило атаки программ-вымогателей на сумму 130 миллионов долларов, взломав хакеров, стоящих за Hive» . Фортуна Крипто . Проверено 22 мая 2023 г.
- ^ Jump up to: а б Лоуэлл, Хьюго (26 января 2023 г.). «Власти США захватывают серверы группы вымогателей Hive» . Хранитель . ISSN 0261-3077 . Проверено 21 июня 2023 г.
- ^ «#StopRansomware: Hive Ransomware | CISA» . www.cisa.gov . 25 ноября 2022 г. Проверено 21 июня 2023 г.
- ^ Jump up to: а б «США и Европол конфисковали серверы с программами-вымогателями Hive и сайты утечки информации: «Мы взломали хакеров» » . СК Медиа . 26 января 2023 г. Проверено 21 июня 2023 г.
- ^ «Следователи арестовали подозреваемых в хакерстве в Украине» . tagesschau.de (на немецком языке) . Проверено 28 ноября 2023 г.
- ^ Мехротра, Картикай; Тертон, Уильям (21 мая 2021 г.). «CNA Financial заплатила выкуп в размере 40 миллионов долларов за мартовскую кибератаку» . Блумберг Бизнесуик . Проверено 22 мая 2021 г.
- ^ Нир Кшетри; Джеффри Воас (март 2022 г.). «Программы-вымогатели: платите за игру?». Компьютер . 55 (3): 11–13. дои : 10.1109/MC.2021.3126529 . ISSN 0018-9162 . Викиданные Q112073068 .
- ^ «CNA платит выкуп в размере 40 миллионов долларов за удаление вредоносного ПО из своих систем» . www.insurancebusinessmag.com . Проверено 21 июня 2023 г.
- ^ «Серверы Microsoft Exchange были взломаны с целью установки программы-вымогателя Hive» . Мигающий компьютер . Проверено 21 июня 2023 г.
- ^ Отазу, Амайя (28 мая 2022 г.). «Компьютерная атака возвращает 179 наваррских предприятий в бумажную эпоху» . Эль Паис (на испанском языке). Архивировано из оригинала 5 июня 2022 года . Проверено 7 июня 2022 г.
- ^ «Виновником взлома муниципальных сайтов Наварры является программа-вымогатель Hive» . Памплона Актуальная (на испанском языке). 30 мая 2022 года. Архивировано из оригинала 30 мая 2022 года . Проверено 7 июня 2022 г.
- ^ Jump up to: а б «Злоумышленникам, использующим программы-вымогатели, не удавалось расправиться с Центральным банком Замбии» . Bloomberg.com . 18 мая 2022 г. . Проверено 7 июня 2022 г.
- ^ «Банк Замбии отвечает «фотополем» на вымогательство киберпреступников, напавших на них» . derechodelared.com (на испанском языке). 25 мая 2022 года. Архивировано из оригинала 25 мая 2022 года . Проверено 7 июня 2022 г.
- ^ «Национальный банк атакован программой-вымогателем, тролли-хакеры с фотографиями членов» . Мигающий компьютер . Архивировано из оригинала 1 июня 2022 года . Проверено 7 июня 2022 г.
- ^ «ФОТО И ВИДЕО: Странные сообщения от принтеров CCSS после взлома» . CRHoy.com (на испанском языке). Архивировано из оригинала 31 мая 2022 года . Проверено 8 июня 2022 г.
- ^ Jump up to: а б «Hive Ransomware Group, группа киберпреступников, атаковавших CCSS и имеющих пристрастие к медицинским учреждениям» . delfino.cr (на испанском языке). Архивировано из оригинала 31 мая 2022 года . Проверено 8 июня 2022 г.
- ^ «Программа-вымогатель Hive заявляет о кибератаке на дочернюю компанию Bell Canada» . Мигающий компьютер . Проверено 29 июля 2023 г.
- ^ Блэк, Дэмиен (6 декабря 2022 г.). «Hive добавила французскую спортивную фирму в список жертв, утверждают местные СМИ» . Киберньюс . Проверено 23 июля 2023 г.