«Лаборатория Касперского»: как устроена экосистема программ-вымогателей

Программы-шифровальщики часто упоминаются при обсуждении киберугроз, с которыми компании могут столкнуться в 2021 году. Злоумышленники весьма продвинулись в создании таких программ, что подтверждается регулярными новостями о таких атаках. Тем не менее хакерам удаётся скрывать, как именно устроена экосистема программ-вымогателей. Чтобы помочь организациям понять, как она работает и как с ней бороться, эксперты «Лаборатории Касперского» изучили форумы даркнета и деятельность групп REvil и Babuk.

Экосистема программ-вымогателей включает в себя множество участников, которые выполняют различные роли. Среди них — разработчики, ботмастеры, продавцы доступов и операторы вымогателей, которые взаимодействуют друг с другом в даркнете. Они встречаются на специализированных форумах, где всегда можно найти новые объявления об услугах или поиске партнёров. Крупные игроки, которые устраивают масштабные атаки и обычно работают самостоятельно, нечасто посещают подобные сайты.

Однако известные группы, такие как REvil, которые в последние несколько кварталов всё чаще атакуют организации, регулярно публикуют свои предложения и новости о партнёрской программе. Такой тип участия предполагает взаимовыгодные отношения между разработчиками и теми, кто непосредственно атакует организацию. Первые получают долю прибыли в размере 20-40%, а вторые — 60-80%.

Выбор партнёров — тщательно отлаженный процесс с устоявшимися правилами, которые определяются операторами программ-вымогателей с самого начала, включая ограничения по географическому признаку. В то же время при поиске жертв злоумышленники не проводят никакого специального отбора.

Люди, которые заражают организации, и те, кто управляет вымогателями, — это разные субъекты, которые объединены только желанием получить прибыль, поэтому часто жертвами становятся организации, к инфраструктуре которых злоумышленники легко могут получить доступ. Для этого к атаке могут привлекаться партнёры, которые продают доступ к уже заражённым компаниям — на аукционе или по фиксированной цене, которая может начинаться от 50$. Эти злоумышленники чаще всего являются либо владельцами ботнетов, которые проводят массовые и широкомасштабные кампании и продают доступ к заражённым устройствам оптом, либо продавцами доступов, которые ищут публично раскрытые уязвимости в ПО для выхода в интернет, например VPN-устройствах или шлюзах электронной почты, и предлагают использовать их для проникновения в корпоративную сеть.

На форумах, где предлагаются программы-вымогатели, можно найти и другие предложения. Например, некоторые злоумышленники продают образцы вредоносных программ и ПО для создания программ-вымогателей по цене от 300 до 4000 долларов США, а также предлагают программы-вымогатели как услугу с постоянной поддержкой от разработчиков по цене от 120 долларов США в месяц до 1900 долларов США в год.

«Экосистема вымогателей — сложная структура, и на карту поставлено множество интересов. Это подвижный рынок со многими игроками, как случайными, так и очень профессиональными и продвинутыми. Они не выбирают конкретные цели и атакуют организацию любого масштаба, если могут получить доступ к её инфраструктуре. Этот бизнес процветает, он не исчезнет в ближайшее время, — комментирует Дмитрий Галов, эксперт по кибербезопасности «Лаборатории Касперского». — Хорошая новость заключается в том, что даже довольно простые меры безопасности могут помешать злоумышленникам атаковать организацию. Базовые методы, такие как регулярное обновление ПО и создание изолированных резервных копий, действительно работают. Есть ещё множество других способов, которые могут использовать компании, чтобы обезопасить себя».

Подробнее об экосистеме вымогателей и защите от них можно узнать на сайте.