Атака після атаки: як зловмисники маскуються під команду відновлення
Після ransomware-атаки (атаки з шифруванням або викраденням даних і вимогою викупу) компанія перебуває під сильним тиском: системи недоступні, дані могли викрасти, а роботу потрібно відновити якнайшвидше. У цей момент жертва може отримати неочікувану пропозицію допомоги від нібито незалежної команди з відновлення. Однак за такою «допомогою» може стояти той самий зловмисник, який брав участь в атаці.
Дослідники GuidePoint Security розповіли про сервіс Ransom Busters LTD, який зв’язувався з жертвами атаки ще до того, як інформація про інциденти ставала публічною. За суму від 20 000 до 60 000 доларів компаніям пропонували:
- надати ключі дешифрування;
- повернути викрадені файли;
- видалити дані із серверів ransomware-груп;
- знищити резервні копії, які залишилися у зловмисників.
За результатами розслідування фахівці з помірною впевненістю дійшли висновку, що Ransom Busters може бути не незалежною компанією з відновлення, а ransomware-афіліатом, який працює з кількома кримінальними угрупованнями та намагається перенаправити виплати на свою користь.
Звідки «відновлювачі» знали про атаку
Ransom Busters надсилала листи на корпоративні адреси постраждалих компаній і просила зв’язати відправника з генеральним директором або керівником ІТ-підрозділу. Представники сервісу стверджували, що проникли до адміністративних панелей ransomware-груп, знайшли там викрадені дані конкретної компанії та отримали ключі дешифрування. Такі пропозиції були зафіксовані під час реагування на інциденти, пов’язані з DragonForce, Settra та Anubis.
Найпідозрілішим був час звернення. Інформація про атаки ще не була публічною, тому стороння компанія не мала б знати ані про сам інцидент, ані про викрадені дані.
Під час аналізу двох атак фахівці також виявили однакові інструменти, облікові дані прихованого локального акаунта та ім’я пристрою, контрольованого зловмисником. Сукупність цих збігів дала підстави припустити, що за вторгненнями та подальшими пропозиціями «відновлення» стояв один афіліат.
Атакувальник у ролі рятівника
Ransomware-операції часто працюють за моделлю Ransomware-as-a-Service. Одні учасники надають шкідливе ПЗ, інфраструктуру та майданчик для переговорів, а афіліати безпосередньо проникають у мережі компаній. Після отримання викупу гроші розподіляються між учасниками.
Ransom Busters, імовірно, намагалася обійти цю модель. Афіліат міг звертатися до жертв окремо, представлятися незалежною стороною та отримувати всю суму без розподілу з операторами ransomware.
Таким чином, компанія могла одночасно вести переговори з основним угрупованням та отримувати «вигіднішу» пропозицію від іншої назви, за якою фактично стояв учасник тієї самої атаки.
Чому видалення даних неможливо гарантувати
Навіть якщо компанія отримає робочий ключ дешифрування, вона не зможе перевірити, чи були викрадені дані справді видалені. Копії можуть залишитися в афіліата, операторів ransomware, інших учасників угруповання або у сторонньому хмарному сховищі. Надалі їх можуть продати, оприлюднити або використати для повторного вимагання.
Тому обіцянка «видалити всі дані» після оплати не є технічною гарантією. CISA, FBI та NSA також не рекомендують сплачувати викуп, оскільки це не гарантує ані відновлення файлів, ані припинення подальшого використання викраденої інформації.
Головний ризик — пошук підрядника під час кризи
Цей випадок демонструє ширшу проблему: компанії починають шукати зовнішню DFIR-команду вже під час активної фази інциденту.
DFIR-команда проводить цифрову криміналістику, визначає масштаб компрометації, локалізує атаку, збирає докази та допомагає відновити роботу. Для цього підрядник може отримати привілейований доступ до систем, журналів, резервних копій, конфіденційних документів і даних клієнтів.
Тому зовнішня команда реагування повинна перевірятися не менш ретельно, ніж будь-який критичний ІТ-постачальник. NIST рекомендує заздалегідь визначати договором відповідальність підрядника, інформаційні потоки, повноваження та обмеження його дій.
Як перевіряти DFIR-підрядника
Перед залученням зовнішньої команди потрібно перевірити:
- Юридичну особу та корпоративні контакти. Компанія повинна мати підтверджені реєстраційні дані, офіційний домен і можливість укласти договір.
- Досвід і репутацію. Важливі підтверджені кейси, рекомендації клієнтів і досвід реагування на ransomware у відповідній галузі.
- Кваліфікацію фахівців. Професійні сертифікації, незалежне підтвердження компетенцій і наявність спеціалістів із цифрової криміналістики.
- Умови роботи з даними. Потрібно визначити, де зберігатимуться матеріали розслідування, хто матиме до них доступ і чи залучатимуться субпідрядники.
- Договірні зобов’язання. У договорі мають бути закріплені конфіденційність, SLA, повноваження команди, порядок збереження доказів і відповідальність сторін.
- Правила доступу. Підрядник повинен використовувати іменні акаунти, MFA, мінімальні привілеї та обмежений у часі доступ із повним журналюванням дій.
Ознаки підозрілої «допомоги»
Пропозицію потрібно розглядати як можливе продовження атаки, якщо відправник:
- знає непублічні подробиці інциденту;
- самостійно звертається до компанії до офіційного розголошення;
- вимагає контакту безпосередньо з керівництвом;
- одразу називає ціну без попереднього аналізу;
- гарантує повне видалення викрадених даних;
- використовує анонімну пошту;
- вимагає оплату в криптовалюті;
- створює терміновість і тисне на рішення
У випадку Ransom Busters були присутні одразу кілька таких ознак: ранній контакт, непідтверджена поштова адреса, швидка фінансова вимога та пропозиція оплатити послугу в біткоїнах.
Що робити після отримання такого листа
Не потрібно відповідати відправнику, відкривати вкладення, переходити за посиланнями або передавати інформацію про інфраструктуру. Лист необхідно зберегти разом із технічними заголовками, передати внутрішній або заздалегідь залученій incident response команді та додати до матеріалів розслідування.
В Україні про інцидент можна повідомити CERT-UA, а підозрілий лист або шкідливий файл передати Кіберполіції через офіційні канали.
До речі, саме для державних інформаційних систем і критичної інфраструктури перевірка підрядників є нормативною вимогою: постанова КМУ №1531 та наказ Держспецзв’язку №836 вимагають установлювати вимоги до безпеки постачальників. Постанова КМУ №1533 також зобов’язує протягом години повідомляти відповідну CSIRT про кіберінциденти, а за її відсутності — CERT-UA та СБУ.
Підрядника потрібно обрати до атаки
Головний висновок з історії Ransom Busters: соціальна інженерія не завершується після проникнення в мережу. Зловмисник може змінити ім’я та роль, але продовжувати ту саму атаку вже під виглядом допомоги. Тому компанії варто заздалегідь мати перевіреного DFIR-підрядника, погоджений порядок надання доступу, контакти відповідальних осіб і відпрацьований план реагування на подібні атаки. Це дозволить не витрачати критичний час на пошук допомоги та не довірити відновлення тому, хто міг бути причетним до самої атаки.
А ми зі свого боку можемо допомогти замовникам підготуватися до таких сценаріїв: підібрати та впровадити рішення для своєчасного виявлення і стримування атак, контролю доступу, резервного копіювання та відновлення. Це дозволить організації не лише посилити кіберзахист, а й швидко та злагоджено діяти у разі інциденту.