The anatomy of a ransomware attack
Inside the hacks that lock down computer systems and damage businesses.
Just hours before the Fourth of July weekend, a huge, coordinated cyberattack hit hundreds of businesses across the world. A group of hackers broke in by exploiting a hole in the software code of an information technology company with a wide-ranging client base, then demanded $70 million in ransom.
A large grocery chain in Sweden shut down hundreds of stores. Schools in New Zealand warned that staff might not be able to use computers.
It was the biggest case yet of a scourge that affects the world’s companies and government agencies nearly every day, and that is only getting worse. In an analysis of publicly reported ransomware attacks against health-care providers, municipalities and schools, The Washington Post found that ransomware attacks in the United States more than doubled from 2019 to 2020.
To reconstruct the anatomy of a ransomware attack, The Post conducted its own data analysis and spoke with nearly a dozen cybersecurity experts, law enforcement officials, negotiators and victims. The Post used different examples to illustrate the components of how an attack happens. The resulting examination has five parts: the hackers, the hack, the negotiation, the payment and the aftermath.
[Hackers demand $70 million to unlock businesses hit by sprawling ransomware attack]
The costs of such attacks add up. Some experts conservatively estimate that hackers received $412 million in ransom payments last year.
“Criminals are economically motivated and they are not dumb,” said Joshua Motta, chief executive of cyber-insurance company Coalition. “For a while, it was credit-card skimming, data breaches, reselling Social Security numbers. Ransomware is a considerably more lucrative business model.”
The Hackers The Hack The Negotiation The Payment The Aftermath
A ransomware attack shut down IT systems and caused major disruption for Ireland’s public health service in May. The Health Service Executive identified the attackers as one of the largest cybercriminal gangs operating today, known as Conti.
The organization, which researchers believe is based in Russia, has an unknown number of hackers working together in a hierarchical structure, operating almost like a legitimate business. It has developed a malware that can crawl through computer systems and lock down files, and it employs representatives to communicate with victims, said Rick Holland, chief information security officer for cyberthreat software company Digital Shadows.
[The Biden administration seeks to rally allies and the private sector against the ransomware threat]
Some attacks, like the one on Kaseya, happen when hackers find a vulnerability in a company’s software and use that to get into their system. But most use relatively unsophisticated methods to break into computers, such as sending phishing emails that trick employees into opening an attachment or clicking on a link that downloads malicious software, which goes on to encrypt files and bar access to the whole network.
Conti then sends a message that demands a ransom in exchange for a “decryption key,” or a computer program that will unlock the files. Companies or negotiators can message with Conti hackers to get a discount or make a deal, as well as work through logistics such as where and when the money will be sent.
“If you ignore them, you can tick them off and then they may start going to media, they may start going to social media, they may start going to blog sites,” Holland said.
Conti also threatens to leak stolen company information.
“If you are a client who declined the deal and did not find your data on cartel’s website or did not find valuable files, this does not mean that we forgot about you, it only means that data was sold and only therefore it did not publish in free access!” Conti says on its website, available only on the dark web, which requires special software to access.
Attempts to reach Conti for comment failed.
It has leaked information stolen from more than 418 organizations since it was established in January 2020, according to cyber firm Recorded Future. The actual number of companies it has hacked is likely to be orders of magnitude larger. Conti was cited in May by the FBI for hacking 16 health-care and first-responder organizations across the United States.
Ransomware attacks are becoming more common in
the United States
Ransomware accounted for 30% of all U.S.-based cyberattacks reported to and confirmed by Verizon data breach researchers in 2020, more than double the rate for the world.
Source: Verizon 2021 Data Breach Investigations Report
Ireland’s Health Service Executive refused to pay the ransom, but Conti relented and handed over the keys to unlock the systems to “lessen criticism,” according to the Irish Times. Still, health-care services were “severely impacted” by late June, the service said in a news release. A spokesperson for the service confirmed it had not paid a ransom and pointed to a comment its chief executive made last month.
“We did get a decryption key. … It’s not any kind of simple off-the-shelf software,” CEO Paul Reid said at a mid-June news conference. “It’s a very clunky, unsafe set of locking codes that we had to make safe.”
[DarkSide group that attacked Colonial Pipeline drops from sight online]
And Conti is just one such group. Many attacks come from organized groups that operate with relative impunity out of Russia, Belarus and other East European countries, according to researchers. Attackers range from enterprising individuals all the way up to groups of hundreds working directly for a nation state like North Korea.
The highest-profile attacks are often conducted by hacking groups that researchers say operate somewhat like regular companies, with employees, revenue goals and internal hierarchies.
Many of these groups, like DarkSide and REvil, offer “ransomware as a service,” selling their malware to whoever has the know-how to execute a hack and has a target.
The Hackers The Hack The Negotiation The Payment The Aftermath
Just before 5 a.m. on May 7, a Colonial Pipeline employee saw a ransom note on a computer screen. Many of the IT or business-side computers in the company’s network had been locked up — their data encrypted — by hackers. And they wanted money to open them back up.
Colonial Pipeline’s experience was unique in that it led the company, as a precaution, to shut down its entire pipeline. But it’s not just big companies that get hit. For the tens of thousands of smaller American companies that have been targeted by ransomware criminals over the last several years, the feeling of seeing a ransom note is all too familiar.
Worldwide industries impacted by ransomware
The frequency of ransomware attacks against health-care and education
institutions – historically two of the most targeted sectors – declined
from 2019 to 2020 ...
... but the rate has accelerated in other major industries.
Utilities &
Transportation
Note: Charts are sorted by number of attacks in 2020, based on a sample of incident reports submitted to the Verizon Data Breach Investigations Research Team by companies, government agencies, cybersecurity firms and the public. The numbers are very likely an undercount, as the true count of ransomware attacks is unknown.
Source: Verizon 2021 Data Breach Investigations Report
“They’re absolutely terrified,” said Keith Swanson, director of counterextortion and threat intelligence at Kivu Consulting, which helps victim companies negotiate with hackers. “They don’t know what to do. They’ve never dealt with anything like this in their lives.”
Roughly one-third of American companies have cyber insurance, although it’s getting harder and more expensive to obtain as attacks surge. Generally, the insurer acts as a hub to help the victim with everything from investigating the attack to remediating compromised systems, negotiating ransoms and navigating legal and public relations issues.
A first call goes to a cybersecurity company that can investigate, help contain damage and repair systems. Colonial, for instance, confirmed that it is working with Mandiant, a leading cybersecurity firm now owned by FireEye. It responds to more than 1,000 breach incidents a year — a little more than one-third of them involving some form of ransomware, financial extortion or payment card theft.
“The first thing we do is try to assess what’s going on,” said Charles Carmakal, Mandiant’s chief technology officer. That includes how hackers got in, if they still have access, what they did and what data was exposed.
To answer the questions, Mandiant needs access to network data. It remotely deploys a software forensics tool that it uses to reach into every single computer in the victim’s network.
Firms like Mandiant also help get networks back online. That might entail rebuilding systems that were infected with malicious software, decrypting files encrypted by the hacker and improving defenses to fend off further attacks.
[Ransomware is a national security threat and a big business — and it’s wreaking havoc]
The process can take days to weeks for an organization that hasn’t been hit too hard and has good backups of its files, Carmakal said. For larger organizations, or those without good backups, the process can take months.
Often, the ransomware actors don’t stop at simply encrypting data. They steal it, too. And they go after the most sensitive data they can find — tax records, business negotiations and intellectual property.
If a victim can avoid paying a ransom, and restore its network from backups, that’s great, experts said. But, said Kivu’s Swanson, a “lot of times the networks are nonoperational — completely fried. The bad guys will come in and delete the backups or encrypt them.”
In that case, the victim either has to pay the ransom or rebuild its entire network from scratch. Even if the victim pays and receives a decryptor — software that returns encrypted data to its original state — the process of restoration can take anywhere from a few days to weeks, said Austin Berglas, global head of professional services for the cybersecurity firm BlueVoyant.
The entire experience is grueling. “Even if a company has a solid incident-response plan and they’ve practiced it, it’s still massive panic,” Berglas said. “If their business is shut down, it’s all hands on deck. Nobody’s resting. It’s full-force.”
The Hackers The Hack The Negotiation The Payment The Aftermath
Kurtis Minder, founder of the cybersecurity service GroupSense, recently helped a cancer charity that was locked out of its computer network negotiate down a ransomware payment.
“We were pretty direct with the bad guy. Like, ‘Look, shame on you, dude. They don’t have it. They use it to prevent breast cancer,’ ” Minder said.
That tactic worked in bringing the ransom down, he said. “We didn’t get it for zero, but we got it for almost zero.”
When a company is hacked, the attackers will generally leave a ransom note. The note can be as simple as an email to the company’s executives or a text file left unencrypted on one of the servers. Sometimes hundreds of computers in a room might all be swept with red banners that say “You have been infected,” said James Turgal, a former FBI agent who’s now a vice president at cybersecurity firm Optiv.
The note typically contains instructions on how to access a website on the dark web. That’s where hackers will say how much they want, and how much time the victim has to pay up. A countdown clock sometimes ticks away, giving a company a set amount of time, usually about a week, before the price goes up.
Those who negotiate often hire a professional. Minder founded GroupSense in 2014 to study criminal hackers and help other companies protect against them. His analysts, who together speak more than a dozen languages, scour the dark web to learn about hacking groups and then notify companies that they might be compromised.
[Ransomware claims are roiling an entire segment of the insurance industry]
“We do [negotiations] virtually every day, sometimes multiple times a day,” Minder said. “We’ve got lots of information about these bad guys. We know where they operate. We know a lot of things about them.”
He has gotten requests for help from victims including flower shops, print shops and microbreweries.
For large companies, hackers usually ask for a sum of money based on information dug up from stolen financial statements. For smaller companies, the opening demand can be more arbitrary, Minder said.
In those cases, hackers may ask companies for relatively low amounts, like $10,000, to encourage speed, said Berglas. More-sophisticated hackers hitting larger companies often ask for initial payments in the millions of dollars.
Negotiations are usually in English, but it’s often clear that the messages are being run through Google Translate because the hacker’s language doesn’t appear to be that of a native speaker. The tone of negotiations is generally civil and businesslike, Minder said. “They’re perpetrating this as if it’s normal business and that they’re doing some sort of security favor for the victim.”
The hackers expect the negotiator to try to bring down the price. “It’s almost like used-car dealers,” Minder said. “They know you’re not paying the price on the sticker. And that’s why the price on the sticker is what it is.” For small companies, the entire process takes two to four days. For bigger ones, it could go as long as three weeks.
Data on what companies actually pay to hackers is spotty, because many victims don’t disclose the attacks in the first place. The average payment in the fourth quarter of 2020 was $154,000, down from a peak of over $230,000 earlier in the year, according to cybersecurity consulting firm Coveware.
Generally, Minder’s firm has been able to get the ultimate amount companies pay down to between 10 and 40 percent of the original demand, he said.
The Hackers The Hack The Negotiation The Payment The Aftermath
JBS, the world’s largest meat processor, was hacked in late May, a system breach that caused it to shut down beef plants across the United States and disrupted operations for days. On June 1, it paid an $11 million ransom to prevent customer data from being compromised.
“This was a very difficult decision to make for our company and for me personally,” JBS USA chief executive Andre Nogueira said in a statement at the time.
Tom Robinson, a blockchain researcher and co-founder of the analysis company Elliptic, said he scrutinized the digital ledger, a publicly available online list of all transactions made with bitcoin.
He was able to track the bitcoin ransom payment from JBS to a “wallet” he believed is associated with a cybercriminal gang thought to be based in Russia.
Bitcoin is a cryptocurrency, a digital form of money that is created through massive amounts of computing power and can be traded virtually through a series of private “wallets” and public “exchanges.” Exchanges are organized markets, managed by companies, where people bring their cryptocurrencies to switch them into dollars, pounds or other forms of money — they operate somewhat like currency exchanges at banks.
[Bitcoin FAQ: A detailed guide to how cryptocurrency works]
In most cryptocurrencies, every transaction is recorded on the ledger, known as the blockchain. That’s how Robinson could see JBS’s 301 bitcoin payment get sourced on a U.S. exchange and transferred from its hands to a private wallet, presumably belonging to the cybercriminals.
Within hours, the funds were scattered into hundreds of wallets.
How the 301 bitcoin that JBS paid got scattered
“Cryptocurrency is invading all forms of criminal activities, and criminals follow the money,” said Gurvais Grigg, a former assistant director of the FBI and now global public sector chief technology officer of blockchain analysis firm Chainalysis.
The transactions are also irreversible, said Rich Sanders, co-founder and lead investigator at CipherBlade, which analyzes the blockchain. “You can’t go to complain to bitcoin and ask for a charge back.”
Some of the JBS funds were sent through digital “mixers,” which operate as a digital form of money laundering. Mixers use software to commingle and swap one bitcoin for another, all with the purpose of breaking the chain so the history of a single coin is more difficult to trace.
Hackers tend to get caught when they want to exchange their digital currency for traditional cash, experts said.
Investigators try to identify and label funds on the blockchain to keep track of them. If the money is ever moved from a private wallet to a public exchange, the researchers or law enforcement can directly contact the exchange operators and ask them to lock the account in question while they investigate.
Many exchanges based in the United States will cooperate with these requests, said Megan Stifel, senior policy analyst at the Global Cyber Alliance. They comply with common financial regulations, such as “know your customer,” meaning they have identification for account holders.
But there are exchanges that purposely ignore or try to resist requests, or are based in jurisdictions that have lax regulations or look the other way.
[Feds recover more than $2 million in ransomware payments from Colonial Pipeline hackers]
Federal authorities did manage to recover more than $2 million worth of Colonial’s $4.3 million ransom payment. In that case, researchers say, officials seem to have accessed a private wallet that contained the cryptocurrency.
Private wallets are difficult to access because they require an encryption key, a long string of numbers and letters, that only the wallet holder possesses. It’s unclear how officials got hold of the wallet’s key.
The Hackers The Hack The Negotiation The Payment The Aftermath
It takes the better part of a year — an average of 287 days — for a company to fully recover from a ransomware attack, according to a wide-ranging April report from a group of more than 60 experts from industry, government, nonprofits and academia known as the Ransomware Task Force.
For many companies, the actual ransom payment isn’t even the most expensive part of the attack. Companies have to restore backups, rebuild systems, work with forensic investigators to ensure that the hackers are truly locked out and, in many cases, implement stronger cybersecurity controls to prevent future attacks.
And the effects of an attack can reach well beyond the company’s own doors, affecting people’s everyday lives and crucial services. Ferry services were disrupted on the East Coast when a breach brought down a ticketing system. JBS meat-processing plants temporarily shuttered some operations when an attack hit the company’s systems.
Governments around the world are trying to find ways to crack down, with the Group of Seven industrialized countries committing to work together to thwart the attacks, and the White House saying it’s “not taking any options off the table” when it comes to possible responses to the Russian government being slow to stem the tide of attacks originating from inside the country.
Various U.S. agencies began earlier this year to launch ransomware initiatives. The Department of Homeland Security’s cybersecurity agency in January kicked off a campaign to prod public and private-sector organizations to adopt measures to reduce their risk of being victimized by ransomware. Last fall 2019, that agency launched a similar initiative to encourage state and local officials to secure election infrastructure against ransomware attacks. In April, the Justice Department created a task force to disrupt the criminal ecosystem that fuels ransomware attacks.
But the Colonial Pipeline attack fueled a more concerted effort as the White House with President President Biden launching an initiative to address the dangers of ransomware. The initiative complements an executive order he signed in May to shore up the federal government’s digital defenses, which officials hope will spur the private sector to bolster its own.
During a June 16 summit in Geneva, Biden and Russian President Vladimir Putin discussed cyberattacks and agreed that the two countries would begin strategic talks on cybersecurity.
[Biden, Putin hold 'positive’ summit but divisions remain over human rights, cyberattacks, Ukraine]
In the meantime, cybercriminals are doubling down on ransomware attacks, having proven to themselves and other potential hackers that they can be extremely profitable.
“You’ve got a lot of folks out there, bad threat actors, that are now emboldened and certainly motivated by the high numbers that are reported on the ransomware payments,” Turgal, the cybersecurity expert from Optiv said. “It’s not going to go away.”
Dalton Bennett and Zach Levitt contributed to this report. Motion graphics by William Neff.
————————————————————————
Giải phẫu của một cuộc tấn công ransomware
Bên trong các vụ hack khóa hệ thống máy tính và gây thiệt hại cho doanh nghiệp.
Ellen Nakashima
Chỉ vài giờ trước ngày 4 tháng 7 cuối tuần, một cuộc tấn công mạng khổng lồ có phối hợp đã tấn công hàng trăm doanh nghiệp trên khắp thế giới. Một nhóm tin tặc đã đột nhập bằng cách khai thác lỗ hổng trong mã phần mềm của một công ty công nghệ thông tin có lượng khách hàng rộng khắp, sau đó đòi 70 triệu USD tiền chuộc.
Một chuỗi cửa hàng tạp hóa lớn ở Thụy Điển đã đóng cửa hàng trăm cửa hàng. Các trường học ở New Zealand cảnh báo rằng nhân viên có thể không được sử dụng máy tính.
Đó là trường hợp lớn nhất chưa xảy ra về một tai họa ảnh hưởng đến các công ty và cơ quan chính phủ trên thế giới gần như hàng ngày, và điều đó chỉ ngày càng trở nên tồi tệ hơn. Trong một phân tích về các cuộc tấn công ransomware được báo cáo công khai nhằm vào các nhà cung cấp dịch vụ chăm sóc sức khỏe, thành phố và trường học, The Washington Post nhận thấy rằng các cuộc tấn công ransomware ở Hoa Kỳ đã tăng hơn gấp đôi từ năm 2019 đến năm 2020.
Để tái tạo cấu trúc của một cuộc tấn công ransomware, The Post đã tiến hành phân tích dữ liệu của riêng mình và nói chuyện với gần chục chuyên gia an ninh mạng, quan chức thực thi pháp luật, nhà đàm phán và nạn nhân. Bài đăng đã sử dụng các ví dụ khác nhau để minh họa các thành phần của cách một cuộc tấn công xảy ra. Kết quả kiểm tra có năm phần: tin tặc, hack, thương lượng, thanh toán và hậu quả.
[Tin tặc đòi 70 triệu đô la để mở khóa các doanh nghiệp bị tấn công bằng mã độc tống tiền]
Chi phí của các cuộc tấn công như vậy cộng lại. Một số chuyên gia ước tính thận trọng rằng tin tặc đã nhận được 412 triệu đô la tiền chuộc vào năm ngoái.
Joshua Motta, giám đốc điều hành của công ty bảo hiểm mạng liên minh cho biết: “Tội phạm có động cơ kinh tế và chúng không ngu ngốc. “Trong một thời gian, đó là việc đọc lướt thẻ tín dụng, vi phạm dữ liệu, bán lại số An sinh xã hội. Ransomware là một mô hình kinh doanh sinh lợi hơn đáng kể. "
Tin tặc Cuộc tấn công Đàm phán Khoản thanh toán Hậu quả
Một cuộc tấn công ransomware đã đóng cửa các hệ thống CNTT và gây ra gián đoạn lớn cho dịch vụ y tế công cộng của Ireland vào tháng 5. Cơ quan điều hành dịch vụ y tế xác định những kẻ tấn công là một trong những băng nhóm tội phạm mạng lớn nhất đang hoạt động hiện nay, được gọi là Conti.
Tổ chức mà các nhà nghiên cứu tin rằng có trụ sở tại Nga, có một số lượng không xác định các tin tặc làm việc cùng nhau trong một cấu trúc phân cấp, hoạt động gần giống như một doanh nghiệp hợp pháp. Rick Holland, giám đốc an ninh thông tin của công ty phần mềm Digital Shadows, cho biết họ đã phát triển một phần mềm độc hại có thể thu thập thông tin qua hệ thống máy tính và khóa các tệp tin, đồng thời sử dụng đại diện để giao tiếp với nạn nhân.
[Chính quyền Biden tìm cách tập hợp các đồng minh và khu vực tư nhân chống lại mối đe dọa ransomware]
Một số cuộc tấn công, như cuộc tấn công vào Kaseya, xảy ra khi tin tặc tìm thấy lỗ hổng trong phần mềm của công ty và sử dụng lỗ hổng đó để xâm nhập vào hệ thống của họ. Nhưng hầu hết sử dụng các phương pháp tương đối phức tạp để đột nhập vào máy tính, chẳng hạn như gửi email lừa đảo lừa nhân viên mở tệp đính kèm hoặc nhấp vào liên kết tải xuống phần mềm độc hại để mã hóa tệp và chặn quyền truy cập vào toàn bộ mạng.
Conti sau đó sẽ gửi một tin nhắn yêu cầu tiền chuộc để đổi lấy “khóa giải mã” hoặc một chương trình máy tính sẽ mở khóa các tệp. Các công ty hoặc nhà đàm phán có thể nhắn tin với tin tặc Conti để được giảm giá hoặc thực hiện một thỏa thuận, cũng như làm việc thông qua hậu cần như địa điểm và thời gian gửi tiền.
“Nếu bạn phớt lờ họ, bạn có thể đánh dấu vào họ và sau đó họ có thể bắt đầu lên phương tiện truyền thông, họ có thể bắt đầu truy cập mạng xã hội, họ có thể bắt đầu truy cập các trang blog,” Holland nói.
Conti cũng đe dọa sẽ làm rò rỉ thông tin công ty bị đánh cắp.
“Nếu bạn là khách hàng đã từ chối giao dịch và không tìm thấy dữ liệu của mình trên trang web của cartel hoặc không tìm thấy các tệp có giá trị, điều này không có nghĩa là chúng tôi đã quên bạn, điều đó chỉ có nghĩa là dữ liệu đã được bán và do đó nó không được xuất bản trong quyền truy cập miễn phí! ” Conti cho biết trên trang web của mình, chỉ có trên dark web, đòi hỏi phần mềm đặc biệt để truy cập.
Không thể liên hệ với Conti để nhận xét.
Nó đã bị rò rỉ thông tin bị đánh cắp từ hơn 418 tổ chức kể từ khi nó được thành lập vào tháng 1 năm 2020, theo công ty mạng Recorded Future. Số lượng công ty thực tế mà nó đã tấn công có thể là những đơn đặt hàng lớn hơn. Conti đã bị FBI trích dẫn vào tháng 5 vì đã hack 16 tổ chức chăm sóc sức khỏe và người sơ cứu trên khắp Hoa Kỳ.
Các cuộc tấn công ransomware đang trở nên phổ biến hơn trong
Hoa Kỳ
Ransomware chiếm 30% tất cả các cuộc tấn công mạng có trụ sở tại Hoa Kỳ được các nhà nghiên cứu về vi phạm dữ liệu của Verizon báo cáo và xác nhận vào năm 2020, cao hơn gấp đôi tỷ lệ trên toàn thế giới.
Nguồn: Báo cáo điều tra vi phạm dữ liệu năm 2021 của Verizon
Điều hành Dịch vụ Y tế của Ireland từ chối trả tiền chuộc, nhưng Conti đã từ chối và giao chìa khóa để mở khóa hệ thống để "giảm bớt sự chỉ trích", theo Thời báo Ireland. Tuy nhiên, các dịch vụ chăm sóc sức khỏe đã bị "ảnh hưởng nghiêm trọng" vào cuối tháng 6, dịch vụ này cho biết trong một bản tin tứce. Người phát ngôn của dịch vụ xác nhận họ đã không trả tiền chuộc và chỉ vào một nhận xét mà giám đốc điều hành của họ đưa ra vào tháng trước.
“Chúng tôi đã nhận được một khóa giải mã. … Đó không phải là bất kỳ loại phần mềm đơn giản nào có sẵn ”, Giám đốc điều hành Paul Reid cho biết tại một cuộc họp báo giữa tháng 6. “Đó là một bộ mã khóa rất kỳ cục, không an toàn mà chúng tôi phải đảm bảo an toàn”.
[Nhóm DarkSide đã tấn công Colonial Pipeline khiến nó không còn nữa trên mạng]
Và Conti chỉ là một trong những nhóm như vậy. Theo các nhà nghiên cứu, nhiều cuộc tấn công đến từ các nhóm có tổ chức hoạt động tương đối không bị trừng phạt ngoài Nga, Belarus và các nước Đông Âu khác. Những kẻ tấn công bao gồm từ những cá nhân dám nghĩ dám làm cho đến những nhóm hàng trăm người làm việc trực tiếp cho một quốc gia như Triều Tiên.
Các cuộc tấn công cấp cao nhất thường được tiến hành bởi các nhóm hack mà các nhà nghiên cứu cho biết hoạt động giống như các công ty thông thường, với nhân viên, mục tiêu doanh thu và hệ thống phân cấp nội bộ.
Nhiều nhóm trong số này, như DarkSide và REvil, cung cấp “ransomware như một dịch vụ”, bán phần mềm độc hại của họ cho bất kỳ ai có bí quyết thực hiện một cuộc tấn công và có mục tiêu.
Tin tặc Cuộc tấn công Đàm phán Khoản thanh toán Hậu quả
Ngay trước 5 giờ sáng ngày 7 tháng 5, một nhân viên của Colonial Pipeline đã nhìn thấy thông báo đòi tiền chuộc trên màn hình máy tính. Nhiều máy tính IT hoặc bên doanh nghiệp trong mạng của công ty đã bị tin tặc khóa - dữ liệu của họ bị mã hóa -. Và họ muốn có tiền để mở lại.
Trải nghiệm của Colonial Pipeline là duy nhất ở chỗ, nó đã khiến công ty, như một biện pháp phòng ngừa, phải đóng toàn bộ đường ống của mình. Nhưng không chỉ các công ty lớn mới bị ảnh hưởng. Đối với hàng chục nghìn công ty nhỏ hơn của Mỹ đã bị bọn tội phạm ransomware nhắm đến trong vài năm qua, cảm giác nhìn thấy một tờ tiền chuộc đã quá quen thuộc.
Các ngành công nghiệp trên toàn thế giới bị ảnh hưởng bởi ransomware
Tần suất các cuộc tấn công ransomware chống lại chăm sóc sức khỏe và giáo dục
thể chế - trước đây là hai trong số các lĩnh vực được nhắm mục tiêu nhiều nhất - đã từ chối
từ 2019 đến 2020 ...
... nhưng tỷ lệ này đã tăng nhanh trong các ngành công nghiệp chính khác.
Tiện ích & Vận chuyển
Lưu ý: Biểu đồ được sắp xếp theo số lượng các cuộc tấn công vào năm 2020, dựa trên một mẫu báo cáo sự cố do các công ty, cơ quan chính phủ, công ty an ninh mạng và công chúng gửi cho Nhóm nghiên cứu điều tra vi phạm dữ liệu của Verizon. Các con số này rất có thể là một con số quá thấp, vì số lượng thực sự của các cuộc tấn công ransomware là không xác định.
Nguồn: Báo cáo điều tra vi phạm dữ liệu năm 2021 của Verizon
Keith Swanson, giám đốc bộ phận tình báo về mối đe dọa và phản mã tại Kivu Consulting, giúp các công ty nạn nhân đàm phán với tin tặc cho biết: “Họ thực sự vô cùng kinh hãi. “Họ không biết phải làm gì. Họ chưa bao giờ đối mặt với bất cứ điều gì như thế này trong cuộc đời của họ. "
Gần một phần ba các công ty Mỹ có bảo hiểm mạng, mặc dù việc mua bảo hiểm ngày càng khó hơn và đắt hơn khi các cuộc tấn công gia tăng. Nói chung, công ty bảo hiểm hoạt động như một trung tâm giúp nạn nhân trong mọi việc, từ điều tra vụ tấn công đến khắc phục hệ thống bị xâm phạm, thương lượng tiền chuộc và điều hướng các vấn đề pháp lý và quan hệ công chúng.
Một cuộc gọi đầu tiên đến một công ty an ninh mạng có thể điều tra, giúp ngăn chặn hư hỏng và sửa chữa hệ thống. Ví dụ, Colonial xác nhận rằng họ đang làm việc với Mandiant, một công ty hàng đầu về an ninh mạng hiện thuộc sở hữu của FireEye. Nó phản ứng với hơn 1.000 sự cố vi phạm mỗi năm - hơn một phần ba trong số đó liên quan đến một số hình thức ransomware, tống tiền tài chính hoặc đánh cắp thẻ thanh toán.
Charles Carmakal, giám đốc công nghệ của Mandiant cho biết: “Điều đầu tiên chúng tôi làm là cố gắng đánh giá xem điều gì đang diễn ra. Điều đó bao gồm cách tin tặc xâm nhập, nếu họ vẫn có quyền truy cập, họ đã làm gì và dữ liệu nào đã bị lộ.
Để trả lời các câu hỏi, Mandiant cần truy cập vào dữ liệu mạng. Nó triển khai từ xa một công cụ pháp y phần mềm mà nó sử dụng để truy cập vào mọi máy tính trong mạng của nạn nhân.
Các công ty như Mandiant cũng giúp đưa mạng trở lại trực tuyến. Điều đó có thể đòi hỏi phải xây dựng lại các hệ thống đã bị nhiễm phần mềm độc hại, giải mã các tệp bị tin tặc mã hóa và cải thiện khả năng phòng thủ để chống lại các cuộc tấn công tiếp theo.
[Ransomware là một mối đe dọa an ninh quốc gia và là một doanh nghiệp lớn - và nó đang tàn phá]
Quá trình này có thể mất vài ngày đến vài tuần đối với một tổ chức không bị ảnh hưởng quá nhiều và có bản sao lưu tốt các tệp của mình, Carmakal nói. Đối với các tổ chức lớn hơn hoặc những tổ chức không có bản sao lưu tốt, quá trình này có thể mất hàng tháng.
Thông thường, các tác nhân ransomware không chỉ dừng lại ở việc mã hóa dữ liệu. Họ cũng ăn cắp nó. Và họ theo đuổi những dữ liệu nhạy cảm nhất mà họ có thể tìm thấy - hồ sơ thuế, đàm phán kinh doanh và sở hữu trí tuệ.
Nếu nạn nhân có thể tránh phải trả tiền chuộc và khôi phục mạng của họ từ các bản sao lưu, thì điều đó thật tuyệt vời, các chuyên gia cho biết. Tuy nhiên, Kivu’s Swanson cho biết, “rất nhiều lần mạng không hoạt động - hoàn toàn không hoạt động. Kẻ xấu sẽ vào và xóa các bản sao lưu hoặc mã hóa chúng ”.
Trong trường hợp đó, nạn nhân phải trả tiền chuộc hoặc xây dựng lại toàn bộ mạng của mình từ vết trầy. Austin Berglas, người đứng đầu toàn cầu về dịch vụ chuyên nghiệp của công ty an ninh mạng Blue Voyant cho biết, ngay cả khi nạn nhân trả tiền và nhận được phần mềm giải mã - phần mềm trả dữ liệu đã mã hóa về trạng thái ban đầu - thì quá trình khôi phục có thể mất từ vài ngày đến vài tuần.
Toàn bộ kinh nghiệm là mệt mỏi. Berglas nói: “Ngay cả khi một công ty có một kế hoạch ứng phó sự cố vững chắc và họ đã thực hành nó, thì đó vẫn là một sự hoảng loạn lớn. “Nếu công việc kinh doanh của họ ngừng hoạt động, tất cả đều là vấn đề. Không có ai đang nghỉ ngơi. Đó là toàn lực. "
Tin tặc Cuộc tấn công Đàm phán Khoản thanh toán Hậu quả
Kurtis Minder, người sáng lập dịch vụ an ninh mạng Group Sense, gần đây đã giúp một tổ chức từ thiện về bệnh ung thư bị khóa khỏi mạng máy tính của họ đàm phán về việc thanh toán ransomware.
“Chúng tôi đã khá trực tiếp với kẻ xấu. Giống như, "Nhìn này, xấu hổ về bạn, anh bạn. Họ không có nó. Họ sử dụng nó để ngăn ngừa ung thư vú, ”Minder nói.
Ông nói, chiến thuật đó có tác dụng hạ giá tiền chuộc. "Chúng tôi không nhận được nó cho con số 0, nhưng chúng tôi đã nhận nó gần như con số không."
Khi một công ty bị tấn công, những kẻ tấn công thường sẽ để lại thông báo đòi tiền chuộc. Ghi chú có thể đơn giản như một email gửi cho giám đốc điều hành của công ty hoặc một tệp văn bản không được mã hóa trên một trong các máy chủ. Đôi khi hàng trăm máy tính trong một căn phòng có thể bị quét bằng biểu ngữ màu đỏ có nội dung “Bạn đã bị nhiễm virus”, James Turgal, cựu đặc vụ FBI hiện là phó chủ tịch công ty an ninh mạng Optiv cho biết.
Ghi chú thường chứa hướng dẫn về cách truy cập một trang web trên dark web. Đó là nơi tin tặc sẽ nói số tiền họ muốn và thời gian nạn nhân phải trả. Đồng hồ đếm ngược đôi khi tích tắc, cho công ty một khoảng thời gian nhất định, thường là khoảng một tuần, trước khi giá tăng.
Những người đàm phán thường thuê một chuyên gia. Minder thành lập GroupSense vào năm 2014 để nghiên cứu các hacker tội phạm và giúp các công ty khác bảo vệ chống lại chúng. Các nhà phân tích của ông, những người cùng nói hơn một chục ngôn ngữ, lùng sục trên dark web để tìm hiểu về các nhóm hack và sau đó thông báo cho các công ty rằng họ có thể bị xâm phạm.
[Các tuyên bố về phần mềm tống tiền đang gây chấn động toàn bộ phân khúc của ngành bảo hiểm]
“Chúng tôi thực hiện [đàm phán] hầu như hàng ngày, đôi khi nhiều lần trong ngày,” Minder nói. “Chúng tôi có rất nhiều thông tin về những kẻ xấu này. Chúng tôi biết họ hoạt động ở đâu. Chúng tôi biết rất nhiều điều về họ ”.
Anh ta đã nhận được yêu cầu giúp đỡ từ các nạn nhân bao gồm các cửa hàng hoa, cửa hàng in và các xưởng sản xuất vi sinh.
Đối với các công ty lớn, tin tặc thường yêu cầu một khoản tiền dựa trên thông tin đào được từ các báo cáo tài chính bị đánh cắp. Đối với các công ty nhỏ hơn, nhu cầu mở cửa có thể tùy ý hơn, Minder nói.
Trong những trường hợp đó, tin tặc có thể yêu cầu các công ty cung cấp số tiền tương đối thấp, chẳng hạn như 10.000 USD, để khuyến khích tốc độ, Berglas nói. Các tin tặc tinh vi hơn tấn công các công ty lớn hơn thường yêu cầu các khoản thanh toán ban đầu lên tới hàng triệu đô la.
Các cuộc đàm phán thường bằng tiếng Anh, nhưng thường rõ ràng là các tin nhắn đang được chạy qua Google Dịch vì ngôn ngữ của tin tặc dường như không phải là ngôn ngữ của người bản ngữ. Minder nói rằng giọng điệu của các cuộc đàm phán thường mang tính dân sự và kinh doanh. "Họ đang tiếp tục điều này như thể đó là công việc bình thường và họ đang thực hiện một số biện pháp bảo mật cho nạn nhân."
Các tin tặc mong đợi người đàm phán cố gắng hạ giá. “Nó gần giống như các đại lý xe cũ,” Minder nói. “Họ biết bạn không phải trả giá trên nhãn dán. Và đó là lý do tại sao giá trên nhãn dán là như vậy ”. Đối với các công ty nhỏ, toàn bộ quá trình này mất từ hai đến bốn ngày. Đối với những cái lớn hơn, nó có thể kéo dài đến ba tuần.
Dữ liệu về những gì các công ty thực sự trả cho tin tặc là không rõ ràng, bởi vì nhiều nạn nhân không tiết lộ các cuộc tấn công ngay từ đầu. Theo công ty tư vấn an ninh mạng Coveware, khoản thanh toán trung bình trong quý 4 năm 2020 là 154.000 USD, giảm so với mức đỉnh hơn 230.000 USD hồi đầu năm.
Nói chung, công ty của Minder có thể nhận được số tiền cuối cùng mà công ty phải trả xuống từ 10 đến 40% so với nhu cầu ban đầu, ông nói.
Tin tặc Cuộc tấn công Đàm phán Khoản thanh toán Hậu quả
JBS, công ty chế biến thịt lớn nhất thế giới, đã bị tấn công vào cuối tháng 5, một vi phạm hệ thống khiến công ty này phải đóng cửa các nhà máy sản xuất thịt bò trên khắp Hoa Kỳ và gián đoạn hoạt động trong nhiều ngày. Vào ngày 1 tháng 6, nó đã trả 11 triệu đô la tiền chuộc để ngăn dữ liệu khách hàng bị xâm phạm.
“Đây là một quyết định rất khó khăn đối với công ty của chúng tôi và đối với cá nhân tôi,” Giám đốc điều hành JBS USA, Andre Nogueira cho biết trong một tuyên bố vào thời điểm đó.
Tom Robinson, một nhà nghiên cứu blockchain và đồng sáng lập công ty phân tích Elliptic, cho biết ông đã xem xét kỹ lưỡng sổ cái kỹ thuật số, một danh sách trực tuyến có sẵn công khai về tất cả các giao dịch được thực hiện bằng bitcoin.
Anh ta có thể theo dõi khoản thanh toán tiền chuộc bằng bitcoin từ JBS đến một "ví" mà anh ta tin rằng có liên quan đến một băng nhóm tội phạm mạng được cho là có trụ sở tại Nga.
Bitcoin là một loại tiền điện tử, một dạng tiền kỹ thuật số là creathông qua một lượng lớn sức mạnh tính toán và có thể được giao dịch ảo thông qua một loạt các “ví” cá nhân và “sàn giao dịch” công khai. Sàn giao dịch là thị trường có tổ chức, được quản lý bởi các công ty, nơi mọi người mang tiền điện tử của họ để chuyển chúng thành đô la, bảng Anh hoặc các dạng tiền khác - chúng hoạt động giống như trao đổi tiền tệ tại ngân hàng.
[Câu hỏi thường gặp về Bitcoin: Hướng dẫn chi tiết về cách hoạt động của tiền điện tử]
Trong hầu hết các loại tiền điện tử, mọi giao dịch đều được ghi lại trên sổ cái, được gọi là blockchain. Đó là cách Robinson có thể thấy khoản thanh toán 301 bitcoin của JBS có nguồn gốc trên một sàn giao dịch của Hoa Kỳ và được chuyển từ tay của họ sang một ví cá nhân, có lẽ thuộc về tội phạm mạng.
Trong vòng vài giờ, số tiền đã được phân tán vào hàng trăm ví.
301 bitcoin mà JBS trả đã bị phân tán như thế nào
Gurvais Grigg, cựu trợ lý giám đốc FBI và hiện là giám đốc công nghệ toàn cầu của công ty phân tích blockchain Chainalysis cho biết: “Tiền điện tử đang xâm nhập vào tất cả các hình thức hoạt động tội phạm và tội phạm theo dõi tiền”.
Rich Sanders, đồng sáng lập và điều tra viên chính tại CipherBlade, công ty phân tích blockchain, cho biết các giao dịch cũng không thể thay đổi. “Bạn không thể phàn nàn về bitcoin và yêu cầu hoàn lại tiền.”
Một số quỹ của JBS đã được gửi thông qua các "máy trộn" kỹ thuật số, hoạt động như một hình thức rửa tiền kỹ thuật số. Những kẻ trộn sử dụng phần mềm để trộn lẫn và hoán đổi bitcoin này cho bitcoin khác, tất cả đều nhằm mục đích phá vỡ chuỗi, do đó lịch sử của một đồng tiền khó theo dõi hơn.
Các chuyên gia cho biết tin tặc có xu hướng bị bắt khi họ muốn đổi tiền kỹ thuật số của mình lấy tiền mặt truyền thống.
Các nhà điều tra cố gắng xác định và gắn nhãn các quỹ trên blockchain để theo dõi chúng. Nếu tiền được chuyển từ ví cá nhân sang sàn giao dịch công khai, các nhà nghiên cứu hoặc cơ quan thực thi pháp luật có thể liên hệ trực tiếp với các nhà điều hành sàn giao dịch và yêu cầu họ khóa tài khoản được đề cập trong khi điều tra.
Megan Stifel, nhà phân tích chính sách cấp cao tại Global Cyber Alliance, cho biết nhiều sàn giao dịch có trụ sở tại Hoa Kỳ sẽ hợp tác với những yêu cầu này. Họ tuân thủ các quy định tài chính phổ biến, chẳng hạn như "biết khách hàng của bạn", nghĩa là họ có giấy tờ tùy thân cho chủ tài khoản.
Nhưng có những sàn giao dịch cố tình phớt lờ hoặc cố gắng chống lại các yêu cầu, hoặc có trụ sở tại các khu vực pháp lý có quy định lỏng lẻo hoặc nhìn theo cách khác.
[Feds thu hồi hơn 2 triệu đô la tiền thanh toán ransomware từ các tin tặc Colonial Pipeline]
Các nhà chức trách liên bang đã quản lý để thu hồi hơn 2 triệu đô la khoản thanh toán 4,3 triệu đô la tiền chuộc của Colonial. Trong trường hợp đó, các nhà nghiên cứu cho biết, các quan chức dường như đã truy cập vào một ví riêng chứa tiền điện tử.
Ví cá nhân rất khó truy cập vì chúng yêu cầu khóa mã hóa, một chuỗi dài gồm số và chữ cái mà chỉ chủ ví mới có. Không rõ bằng cách nào mà các quan chức nắm được chìa khóa của chiếc ví.
Tin tặc Cuộc tấn công Đàm phán Khoản thanh toán Hậu quả
Phải mất khoảng thời gian tốt hơn của một năm - trung bình là 287 ngày - để một công ty khôi phục hoàn toàn sau cuộc tấn công ransomware, theo một báo cáo tháng 4 từ một nhóm hơn 60 chuyên gia từ các ngành công nghiệp, chính phủ, tổ chức phi lợi nhuận và học viện. được gọi là Lực lượng Đặc nhiệm Ransomware.
Đối với nhiều công ty, việc thanh toán tiền chuộc thực tế thậm chí không phải là phần đắt nhất của cuộc tấn công. Các công ty phải khôi phục các bản sao lưu, xây dựng lại hệ thống, làm việc với các nhà điều tra pháp y để đảm bảo rằng các tin tặc thực sự bị khóa và trong nhiều trường hợp, thực hiện các biện pháp kiểm soát an ninh mạng mạnh mẽ hơn để ngăn chặn các cuộc tấn công trong tương lai.
Và hậu quả của một cuộc tấn công có thể vượt ra ngoài cửa chính của công ty, ảnh hưởng đến cuộc sống hàng ngày của mọi người và các dịch vụ quan trọng. Dịch vụ phà đã bị gián đoạn ở Bờ biển phía Đông khi một vi phạm đã làm hỏng hệ thống bán vé. Các nhà máy chế biến thịt của JBS đã tạm thời đóng cửa một số hoạt động khi một cuộc tấn công tấn công vào hệ thống của công ty.
Các chính phủ trên khắp thế giới đang cố gắng tìm cách đàn áp, với Nhóm 7 nước công nghiệp phát triển cam kết hợp tác cùng nhau để ngăn chặn các cuộc tấn công và Nhà Trắng nói rằng họ "không đưa ra bất kỳ lựa chọn nào" khi có các phản ứng có thể xảy ra. cho đến việc chính phủ Nga đang chậm chạp trong việc ngăn chặn làn sóng tấn công bắt nguồn từ bên trong đất nước.
Đầu năm nay, nhiều cơ quan khác nhau của Hoa Kỳ đã bắt đầu triển khai các sáng kiến về mã độc tống tiền (ransomware). Cơ quan an ninh mạng của Bộ An ninh Nội địa vào tháng 1 đã khởi động một chiến dịch thúc đẩy các tổ chức khu vực công và tư nhân áp dụng các biện pháp để giảm nguy cơ trở thành nạn nhân của phần mềm tống tiền. Vào mùa thu năm 2019 vừa qua, cơ quan đó đã đưa ra một sáng kiến tương tự nhằm khuyến khích các quan chức tiểu bang và địa phương bảo vệ cơ sở hạ tầng bầu cử trước các cuộc tấn công ransomware. Vào tháng 4, Bộ Tư pháp đã thành lập một lực lượng đặc nhiệm để phá vỡ hệ sinh thái tội phạm thúc đẩy các cuộc tấn công ransomware.
Nhưng cuộc tấn công Đường ống Thuộc địa đã thúc đẩy một nỗ lực phối hợp hơn khi Nhà Trắng với Chủ tịch Tổng thống Biden vừa đưa ra một sáng kiến để giải quyết các mối nguy hiểm của ransomware. Sáng kiến này bổ sung cho một lệnh hành pháp mà ông đã ký vào tháng 5 để củng cố các biện pháp phòng thủ kỹ thuật số của chính phủ liên bang, mà các quan chức hy vọng sẽ thúc đẩy khu vực tư nhân tăng cường cho chính mình.
Trong cuộc gặp thượng đỉnh ngày 16/6 tại Geneva, Biden và Tổng thống Nga Vladimir Putin đã thảo luận về các cuộc tấn công mạng và đồng ý rằng hai nước sẽ bắt đầu các cuộc đàm phán chiến lược về an ninh mạng.
[Biden, Putin tổ chức hội nghị thượng đỉnh 'tích cực' nhưng vẫn còn chia rẽ về nhân quyền, tấn công mạng, Ukraine]
Trong khi đó, tội phạm mạng đang tăng gấp đôi các cuộc tấn công bằng ransomware, họ đã chứng minh cho bản thân và các tin tặc tiềm năng khác rằng chúng có thể thu được rất nhiều lợi nhuận.
Turgal, chuyên gia an ninh mạng từ Optiv cho biết: “Bạn có rất nhiều người ở ngoài kia, những kẻ đe dọa xấu, hiện đang được khuyến khích và chắc chắn bị thúc đẩy bởi những con số cao được báo cáo về các khoản thanh toán ransomware”. "Nó sẽ không biến mất."
Dalton Bennett và Zach Levitt đã đóng góp vào báo cáo này. Đồ họa chuyển động của William Neff.
Comments
Post a Comment