211service.com
Hakerzy oprogramowania ransomware Colonial mieli tajną broń: samopromujące się firmy zajmujące się cyberbezpieczeństwem
Pięć miesięcy przed atakiem DarkSide na rurociąg Colonial, dwóch badaczy odkryło sposób na uratowanie ofiar ransomware. Następnie ogłoszenie firmy antywirusowej zaalarmowało hakerów.
Drew Angerer/Getty Images
24 maja 202111 stycznia firma Bitdefender poinformowała, że z przyjemnością ogłasza zaskakujący przełom. Wykrył lukę w oprogramowaniu ransomware, którego gang znany jako DarkSide używał do zamrażania sieci komputerowych dziesiątek firm w Stanach Zjednoczonych i Europie. Firmy stojące przed żądaniami DarkSide mogą pobrać bezpłatne narzędzie od Bitdefender i uniknąć płacenia hakerom milionów dolarów.
Ale Bitdefender nie był pierwszym, który zidentyfikował tę wadę. Dwóch innych badaczy, Fabian Wosar i Michael Gillespie , zauważył to miesiąc wcześniej i zaczął dyskretnie szukać ofiar do pomocy. Publikując swoje narzędzie, Bitdefender ostrzegł DarkSide o potknięciu, które polegało na ponownym użyciu tych samych cyfrowych kluczy do blokowania i odblokowywania wielu ofiar. Następnego dnia DarkSide oświadczył, że naprawił problem i że nowe firmy nie mają na co liczyć.
Specjalne podziękowania dla BitDefendera za pomoc w rozwiązaniu naszych problemów, powiedział DarkSide. Dzięki temu będziemy jeszcze lepsi.
DarkSide wkrótce udowodnił, że nie blefuje, wyzwalając serię ataków. W tym miesiącu sparaliżował Colonial Pipeline Co zamknąć 5500-milowego rurociągu, który przewozi 45% paliwa używanego na wschodnim wybrzeżu – szybko po którym nastąpił wzrost cen benzyny, panika na zakup gazu na południowym wschodzie i zamknięcie tysięcy stacji benzynowych. Bez ogłoszenia Bitdefender, możliwe, że kryzys został opanowany i że Colonial mógł po cichu przywrócić swój system za pomocą narzędzia deszyfrującego Wosara i Gillespiego.
Zamiast tego Colonial zapłacił DarkSide 4,4 miliona dolarów w bitcoinach za klucz do odblokowania jego plików. Przyznam, że nie czułem się komfortowo, widząc, jak pieniądze trafiają do takich ludzi, powiedział prezes Joseph Blount dla Wall Street Journal.
Stracona szansa była częścią szerszego schematu nieudanych lub połowicznych reakcji na rosnące zagrożenie ze strony oprogramowania ransomware, które podczas pandemii spowodowało niepełnosprawność przedsiębiorstw, szkół, szpitali i agencji rządowych w całym kraju. Incydent pokazuje również, jak firmy antywirusowe chcące wyrobić sobie markę czasami naruszają jedną z podstawowych zasad cyberwojnej gry w kotka i myszkę: nie pozwól swoim przeciwnikom wiedzieć, co odkryłeś. W czasie II wojny światowej, kiedy brytyjskie tajne służby dowiedziały się z odszyfrowanych wiadomości, że Gestapo planuje porwać i zamordować cennego podwójnego agenta, Johnny'ego Jebsena, jego przewodnikowi nie wolno było ostrzec go z obawy, że przekaże wrogowi, że jego szyfr został złamany. Dzisiaj łowcy ransomware, tacy jak Wosar i Gillespie, próbują przedłużyć ignorancję atakujących, nawet kosztem skontaktowania się z mniejszą liczbą ofiar. Prędzej czy później, gdy płatności spadają, cyberprzestępcy zdają sobie sprawę, że coś poszło nie tak.
To, czy reklamować narzędzie deszyfrujące, jest przemyślaną decyzją, powiedział Rob McLeod, starszy dyrektor jednostki reagowania na zagrożenia w firmie eSentire zajmującej się cyberbezpieczeństwem. Z marketingowego punktu widzenia śpiewasz tę piosenkę z dachów o tym, jak wymyśliłeś rozwiązanie zabezpieczające, które odszyfruje dane ofiary. A potem badacz bezpieczeństwa mówi: „Nie ujawniaj tutaj żadnych informacji. Zachowaj wykryte przez nas błędy ransomware, które pozwalają nam odszyfrować dane w tajemnicy, aby nie powiadamiać cyberprzestępców”.
W poście w ciemnej sieci DarkSide podziękował Bitdefender za zidentyfikowanie luki w oprogramowaniu ransomware gangu. (Wyróżnienie dodane przez ProPublica.)
Wosar powiedział, że publiczne udostępnianie narzędzi, tak jak Bitdefender, stało się bardziej ryzykowne, ponieważ wzrosły okupy, a gangi stały się bogatsze i bardziej technicznie biegłe. We wczesnych dniach ransomware, gdy hakerzy zamrażali komputery domowe na kilkaset dolarów, często nie byli w stanie określić, w jaki sposób ich kod został złamany, chyba że wskazali im konkretnie tę usterkę.
Dziś twórcy oprogramowania ransomware mają dostęp do inżynierów wstecznych i testerów penetracji, którzy są bardzo kompetentni, powiedział. W ten sposób przede wszystkim uzyskują dostęp do tych często wysoce zabezpieczonych sieci. Pobierają deszyfrator, demontują go, poddają go inżynierii wstecznej i dokładnie dowiadują się, dlaczego udało nam się odszyfrować ich pliki. A 24 godziny później wszystko zostało naprawione. Bitdefender powinien wiedzieć lepiej.
Powiązana historia
Czy kryzys związany z oprogramowaniem ransomware może wymusić działania przeciwko Rosji? Eksperci twierdzą, że przymykanie oka Moskwy na cyberprzestępców sprawia, że eskalacja ataków jest nieunikniona. Ale zmiana podejścia jest łatwiejsza do powiedzenia niż do zrobienia.
To nie był pierwszy raz, gdy Bitdefender trąbił na rozwiązanie, w którym Wosar lub Gillespie go pokonali. Gillespie złamał kod szczepu ransomware o nazwie GoGoogle i pomagał ofiarom bez żadnych fanfar, gdy Bitdefender udostępnił deszyfrowanie narzędzie w maju 2020 r. Inne firmy również ogłosiły publicznie przełomy, powiedzieli Wosar i Gillespie.
Ludzie desperacko potrzebują wzmianki o wiadomościach, a duże firmy ochroniarskie nie dbają o ofiary, powiedział Wosar.
Bogdan Botezatu, dyrektor ds. badań zagrożeń w firmie Bitdefender z siedzibą w Bukareszcie, powiedział, że firma nie była świadoma wcześniejszych sukcesów w odblokowywaniu plików zainfekowanych przez DarkSide.
Niezależnie od tego, powiedział, Bitdefender zdecydował się opublikować swoje narzędzie, ponieważ większość ofiar, które zakochały się w ransomware, nie ma odpowiedniego połączenia z grupami wsparcia ransomware i nie będzie wiedziała, gdzie poprosić o pomoc, chyba że dowiedzą się o istnieniu narzędzi z doniesień medialnych lub za pomocą prostego wyszukiwania.
Bitdefender zapewnił bezpłatną pomoc techniczną ponad tuzinowi ofiar DarkSide i wierzymy, że wiele innych z powodzeniem korzystało z tego narzędzia bez naszej interwencji, powiedział Botezatu. Powiedział, że przez lata Bitdefender pomagał osobom fizycznym i firmom uniknąć płacenia okupu w wysokości ponad 100 milionów dolarów.
Bitdefender uznał, że DarkSide może naprawić usterkę, Botezatu powiedział: Doskonale zdajemy sobie sprawę, że atakujący są zwinni i dostosowują się do naszych deszyfratorów. Ale DarkSide i tak mógł zauważyć problem. Nie wierzymy w dostępne po cichu dekryptery ransomware. Atakujący dowiedzą się o ich istnieniu podszywając się pod użytkowników domowych lub firmy w potrzebie, podczas gdy zdecydowana większość ofiar nie będzie miała pojęcia, że mogą odzyskać swoje dane za darmo.
Atak na rurociąg kolonialny i wynikający z tego chaos przy dystrybutorach gazu na południowym wschodzie wydaje się skłonić rząd federalny do większej czujności. Prezydent Joe Biden wydał zarządzenie wykonawcze mające na celu poprawę cyberbezpieczeństwa i stworzenie planu federalnej reakcji na cyberataki. DarkSide powiedział, że zamyka się pod presją USA, chociaż ekipy zajmujące się oprogramowaniem ransomware często rozwiązywały się, aby uniknąć kontroli, a następnie ponownie tworzyły się pod nowymi nazwami, lub ich członkowie zakładali inne grupy lub dołączali do nich.
Choć są wyrafinowani, ci faceci pojawią się ponownie i będą o wiele mądrzejsi – powiedział Aaron Tantleff, prawnik ds. cyberbezpieczeństwa z Chicago, który konsultował się z 10 firmami zaatakowanymi przez DarkSide. Wrócą z zemstą.
„Ludzie desperacko potrzebują wzmianki o wiadomościach, a duże firmy ochroniarskie nie dbają o ofiary”.
Fabian Wosar, zespół łowców ransomware
Przynajmniej do tej pory prywatni badacze i firmy często skuteczniej niż rząd w walce z oprogramowaniem ransomware. W październiku ubiegłego roku Microsoft zakłócił infrastrukturę Trickbota, sieci ponad miliona zainfekowanych komputerów, które rozpowszechniały niesławną odmianę oprogramowania ransomware Ryuk, wyłączając jego serwery i komunikację. W tym miesiącu ProtonMail, szwajcarska usługa poczty e-mail, zamknęła 20 000 kont związanych z Ryuk.
Wosar i Gillespie, którzy należą do światowej grupy wolontariuszy o nazwie Ransomware Hunting Team, złamali ponad 300 głównych odmian i wariantów oprogramowania ransomware, oszczędzając około 4 milionów ofiar przed zapłaceniem miliardów dolarów.
Z kolei FBI rzadko odszyfrowuje oprogramowanie ransomware lub aresztuje napastników, którzy zazwyczaj mają siedzibę w krajach takich jak Rosja czy Iran, które nie mają umów o ekstradycji ze Stanami Zjednoczonymi. Na przykład uważa się, że DarkSide działa poza Rosją. Znacznie więcej ofiar zwraca się o pomoc do Drużyny Łowieckiej, za pośrednictwem stron internetowych prowadzonych przez jej członków, niż do FBI.
Tajne służby USA również badają oprogramowanie ransomware, które wchodzi w zakres jej zadań związanych ze zwalczaniem przestępstw finansowych. Ale, zwłaszcza w latach wyborczych, czasami rotuje agentów z zadań cybernetycznych, aby realizować swoją bardziej znaną misję ochrony prezydentów, wiceprezydentów, kandydatów głównych partii i ich rodzin. Europejskie organy ścigania, zwłaszcza holenderska policja krajowa, odnoszą większe sukcesy niż USA w aresztowaniu napastników i zajmowaniu serwerów.
Powiązana historia
Fala oprogramowania ransomware uderza w amerykańskie szpitale, gdy koronawirus gwałtownie wzrasta. Bezprecedensowy i oportunistyczny atak rodzi niepokojące pytanie: Czy będzie to kosztować życie?Podobnie rząd USA poczynił jedynie niewielkie postępy w nakłanianiu prywatnego przemysłu, w tym firm rurociągowych, do wzmocnienia obrony cybernetycznej. Nadzór nad cyberbezpieczeństwem jest podzielony między alfabetyczną zupę agencji, co utrudnia koordynację. Departament Bezpieczeństwa Wewnętrznego przeprowadza oceny podatności infrastruktury krytycznej, w tym rurociągów.
Około 2013 r. przeanalizował Colonial Pipeline w ramach badania miejsc, w których cyberatak może spowodować katastrofę. Według byłego urzędnika DHS rurociąg został uznany za odporny, co oznacza, że może szybko się odbudować. Dział nie odpowiadał na pytania dotyczące kolejnych recenzji.
Pięć lat później DHS stworzyło cyberbezpieczeństwo potoku inicjatywa zidentyfikowanie słabych punktów w systemach komputerowych rurociągów i zarekomendowanie strategii ich rozwiązania. Uczestnictwo jest dobrowolne, a osoba zaznajomiona z inicjatywą stwierdziła, że jest ona bardziej przydatna dla mniejszych firm o ograniczonej wewnętrznej wiedzy informatycznej niż dla dużych, takich jak Colonial. Narodowe Centrum Zarządzania Ryzykiem, które nadzoruje inicjatywę, zmaga się również z innymi drażliwymi zagadnienia takich jak bezpieczeństwo wyborów.
Ransomware poszybowało w górę od 2012 r. , kiedy pojawienie się Bitcoina utrudniło śledzenie lub blokowanie płatności. Taktyka przestępców ewoluowała od masowych kampanii spryskiwania i modlenia się, w których poszukuje się kilkuset dolarów za sztukę, do atakowania konkretnych firm, agencji rządowych i grup non-profit z żądaniami wielomilionowych dolarów.
Szczególnie w czasie pandemii nasiliły się ataki na firmy energetyczne – nie tylko w Stanach Zjednoczonych, ale także w Kanadzie, Ameryce Łacińskiej i Europie. Ponieważ firmy pozwoliły pracownikom pracować w domu, złagodziły niektóre kontrole bezpieczeństwa, powiedział McLeod.
DarkSide przyjął tak zwany model ransomware-as-a-service. W ramach tego modelu współpracował z podmiotami stowarzyszonymi, które przeprowadziły ataki. Partnerzy otrzymali od 75% do 90% okupu, a pozostałą część zatrzymał DarkSide.
Od 2019 r. liczne gangi zwiększyły presję za pomocą techniki znanej jako podwójne wymuszenie. Po wejściu do systemu kradną wrażliwe dane przed uruchomieniem oprogramowania ransomware, które szyfruje pliki i uniemożliwia codzienną pracę szpitalom, uniwersytetom i miastom. Jeśli utrata dostępu do komputera nie jest wystarczająco przerażająca, grożą ujawnieniem poufnych informacji, często publikując próbki jako efekt dźwigni. Na przykład, kiedy wydział policji w Waszyngtonie nie zapłacił w zeszłym miesiącu okupu w wysokości 4 milionów dolarów, którego zażądał gang Babuk, Babuk opublikował informacje wywiadowcze, nazwiska podejrzanych i świadków przestępstw oraz akta osobowe, od informacji medycznych po testy wariograficzne. wyniki, funkcjonariuszy i kandydatów do pracy.
DarkSide, który pojawił się w sierpniu ubiegłego roku, uosabiał tę nową rasę. Wybrał cele na podstawie dokładnej analizy finansowej lub informacji zebranych z korporacyjnych wiadomości e-mail. Na przykład zaatakował jednego z klientów Tantleff w ciągu tygodnia, kiedy hakerzy wiedzieli, że firma będzie narażona, ponieważ przenosi swoje pliki do chmury i nie ma czystych kopii zapasowych.
Aby infiltrować sieci docelowe, gang wykorzystywał zaawansowane metody, takie jak exploity dnia zerowego, które natychmiast wykorzystują luki w oprogramowaniu, zanim zostaną załatane. Po wejściu do środka poruszał się szybko, szukając nie tylko poufnych danych, ale także polisy ubezpieczeniowej ofiary, aby móc powiązać swoje wymagania z zakresem ubezpieczenia. Po dwóch do trzech dniach przeglądania, DarkSide zaszyfrował pliki.
Mają szybsze okno ataku, powiedział Christopher Ballod, zastępca dyrektora zarządzającego ds. cyberryzyka w Kroll, firmie zajmującej się dochodzeniami biznesowymi, która doradzała pół tuzinowi ofiar DarkSide. Im dłużej przebywasz w systemie, tym większe prawdopodobieństwo, że zostaniesz złapany.
Zazwyczaj żądania DarkSide były na najwyższym poziomie, 5 milionów dolarów i więcej, powiedział Ballod. Jedna przerażająca taktyka: jeśli spółki notowane na giełdzie nie zapłaciły okupu, DarkSide zagroziło udostępnieniem skradzionych im informacji krótkoterminowym sprzedawcom, którzy odnieśliby zyski, gdyby cena akcji spadła po publikacji.
Witryna DarkSide w ciemnej sieci zidentyfikowała dziesiątki ofiar i opisała poufne dane, które rzekomo od nich wykradli. Jedną z nich była nowoorleańska firma prawnicza Stone Pigman Walther Wittmann. To było bardzo irytujące, powiedział adwokat Phil Wittmann, odnosząc się do ataku na DarkSide w lutym. Nic im nie zapłaciliśmy, powiedział Michael Walshe Jr., przewodniczący komitetu zarządzającego firmy, odmawiając dalszych komentarzy.
W listopadzie zeszłego roku, DarkSide przyjęty tak zwany model ransomware jako usługa. W ramach tego modelu współpracował z podmiotami stowarzyszonymi, które przeprowadziły ataki. Oddziały Odebrane 75% do 90% okupu, a pozostała część pozostaje przez DarkSide. Jak sugeruje to partnerstwo, ekosystem oprogramowania ransomware jest zniekształconym odzwierciedleniem kultury korporacyjnej, obejmującej wszystko, od rozmów o pracę po procedury rozwiązywania sporów. Po zamknięciu DarkSide kilka osób, które przedstawiły się jako jej podmioty stowarzyszone, skarżyło się na forum rozwiązywania sporów, że je usztywniło. Cel zapłacił, ale nie otrzymałem swojego udziału, napisał jeden z nich.
Podobno DarkSide i jej podmioty stowarzyszone zarobiły co najmniej 90 milionów dolarów. Siedmiu klientów Tantleffa, w tym dwie firmy z branży energetycznej, zapłaciło okupy w wysokości od 1,25 mln do 6 mln USD, co odzwierciedla wynegocjowane rabaty od początkowych żądań w wysokości od 7,5 mln do 30 mln USD. Jego pozostali trzej klienci trafieni przez DarkSide nie zapłacili. W jednym z tych przypadków hakerzy zażądali 50 milionów dolarów. Negocjacje stały się zaciekłe, a obie strony nie mogły dojść do porozumienia w sprawie ceny.
Przedstawiciele DarkSide byli sprytnymi handlowcami, powiedział Tantleff. Jeśli ofiara powiedziała, że nie stać jej na okup z powodu pandemii, DarkSide był gotowy z danymi pokazującymi, że przychody firmy wzrosły lub że wpływ Covid-19 został uwzględniony w cenie.
Pojmowanie geopolityki przez DarkSide było mniej zaawansowane niż podejście do oprogramowania ransomware. Mniej więcej w tym samym czasie, gdy przyjął model partnerski, ogłosił, że planuje chronić informacje skradzione ofiarom poprzez przechowywanie ich na serwerach w Iranie. DarkSide najwyraźniej nie zdawał sobie sprawy, że irańskie powiązania skomplikują pobieranie okupów od ofiar w USA, które mają sankcje gospodarcze ograniczające transakcje finansowe z Iranem. Chociaż DarkSide później wycofał to oświadczenie, mówiąc, że rozważał tylko Iran jako możliwą lokalizację, wielu ubezpieczycieli cybernetycznych miało obawy dotyczące pokrycia płatności na rzecz grupy. Coveware, firma z Connecticut, która negocjuje z atakującymi w imieniu ofiar, przestała zajmować się DarkSide.
Ballod powiedział, że skoro ubezpieczyciele nie chcą zwrócić okupu, żaden z jego klientów nie zapłacił DarkSide, pomimo obaw o ujawnienie ich danych. Powiedział, że nawet gdyby ugięli się przed DarkSide i otrzymali zapewnienia od hakerów w zamian, że dane zostaną zniszczone, informacje mogą nadal wyciekać.
Podczas przejścia DarkSide na model afiliacyjny , w jego oprogramowaniu ransomware została wprowadzona luka. Luka zwróciła uwagę członków zespołu łowców ransomware. Założony w 2016 roku zespół składający się tylko z zaproszonych osób składa się z kilkunastu wolontariuszy z USA, Hiszpanii, Włoch, Niemiec, Węgier i Wielkiej Brytanii. Pracują w cyberbezpieczeństwie lub dziedzinach pokrewnych. W wolnym czasie współpracują przy znajdowaniu i odszyfrowywaniu nowych szczepów ransomware.
Kilku członków, w tym Wosar, ma niewielkie wykształcenie formalne, ale umiejętności kodowania. Wosar, który porzucił szkołę średnią, dorastał w rodzinie robotniczej w pobliżu niemieckiego miasta portowego Rostock. W 1992 roku, w wieku ośmiu lat, po raz pierwszy zobaczył komputer i był oczarowany. W wieku 16 lat rozwijał własne oprogramowanie antywirusowe i zarabiał na nim pieniądze. Obecnie ma 37 lat i pracuje dla firmy antywirusowej Emsisoft od jej powstania prawie dwie dekady temu i jest jej dyrektorem ds. technologii. W 2018 roku przeprowadził się do Wielkiej Brytanii z Niemiec i mieszka w pobliżu Londynu.
Walczy z hakerami ransomware od 2012 roku, kiedy to złamał szczep o nazwie ACCDFISA, który oznaczał Departament ds. Zwalczania Cyberprzestępczości Federalnej Agencji Bezpieczeństwa Internetowego. Ta fikcyjna agencja informowała ludzi, że pornografia dziecięca zainfekowała ich komputery, więc blokowała dostęp do ich plików, chyba że zapłacili 100 dolarów za usunięcie wirusa.
Powiązana historia
Google twierdzi, że hakerom zbyt łatwo jest znaleźć nowe luki w zabezpieczeniach Atakujący nieustannie wykorzystują te same rodzaje luk w oprogramowaniu, ponieważ firmy często tęsknią za drzewami w lesie.Haker ACCDFISA w końcu zauważył, że szczep został odszyfrowany i wydał poprawioną wersję. Wiele późniejszych triumfów Wosara również było ulotnych. On i jego koledzy z drużyny starali się utrzymać przestępców w błogiej nieświadomości tak długo, jak to możliwe, że ich szczep jest podatny na ataki. Pozostawili zaszyfrowane wiadomości na forach, zapraszając ofiary do skontaktowania się z nimi w celu uzyskania pomocy lub wysyłali bezpośrednie wiadomości do osób, które napisały, że zostały zaatakowane.
W ramach ochrony przed włamaniami komputerowymi analitycy z firm antywirusowych czasami wykrywali luki w oprogramowaniu ransomware i budowali narzędzia deszyfrujące, choć nie na tym się skupiali. Czasami zderzali się z Wosarem.
W 2014 roku Wosar odkrył, że szczep ransomware o nazwie CryptoDefense skopiował i wkleił z Microsoft Windows część kodu, którego używał do blokowania i odblokowywania plików, nie zdając sobie sprawy, że ten sam kod został zachowany w folderze na komputerze ofiary. Brakowało sygnału lub flagi w ich programie, zwykle dołączanym przez twórców ransomware, aby poinstruować system Windows, aby nie zapisywał kopii klucza.
Wosar szybko opracował narzędzie deszyfrujące do odzyskania klucza. Stanęliśmy w obliczu interesującej zagadki, Sarah White, kolejna członkini Hunting Teamu, napisała na portalu Emsisoft Blog . Jak udostępnić nasze narzędzie jak największej liczbie ofiar bez powiadamiania twórcy złośliwego oprogramowania o jego błędzie?
Wosar dyskretnie wyszukiwał ofiary CryptoDefense za pośrednictwem forów wsparcia, sieci wolontariuszy i ogłoszeń, gdzie można się skontaktować w celu uzyskania pomocy. Unikał opisywania, jak działa narzędzie lub jakich błędów wykorzystywało. Kiedy ofiary zgłosiły się, dostarczył poprawkę, usuwając oprogramowanie ransomware z co najmniej 350 komputerów. CryptoDefense w końcu nas złapał… ale nadal nie miał dostępu do deszyfratora, którego używaliśmy, i nie miał pojęcia, w jaki sposób odblokowujemy pliki jego ofiar, napisał White.
„Staliśmy przed ciekawą zagadką… Jak udostępnić nasze narzędzie jak największej liczbie ofiar bez powiadamiania twórcy złośliwego oprogramowania o jego błędzie?
Sarah White, zespół łowców ransomware
Ale potem firma antywirusowa, Symantec, odkryła ten sam problem i chwaliła się odkryciem na blogu, który zawierał wystarczająco dużo informacji, aby pomóc deweloperowi CryptoDefense znaleźć i naprawić usterkę, napisał White. W ciągu 24 godzin napastnicy zaczęli rozpowszechniać poprawioną wersję. Zmienili nazwę na CryptoWall i zrobiony 325 milionów dolarów.
Firma Symantec wybrała szybką reklamę zamiast pomocy ofiarom CryptoDefense w odzyskaniu ich plików, napisał White. Czasami są rzeczy, których lepiej nie mówić.
Rzeczniczka firmy Broadcom, która w 2019 r. przejęła firmę Symantec zajmującą się bezpieczeństwem korporacyjnym, odmówiła komentarza, twierdząc, że członkowie zespołu, którzy pracowali nad narzędziem, nie są już z firmą.
Podobnie jak Wosar, 29-latek Gillespie pochodzi z biedy i nigdy nie poszedł na studia. Kiedy dorastał w centralnym Illinois, jego rodzina tak bardzo borykała się z problemami finansowymi, że czasami musieli wprowadzać się do przyjaciół lub krewnych. Po ukończeniu szkoły średniej przez 10 lat pracował w pełnym wymiarze godzin w sieci naprawy komputerów o nazwie Nerds on Call. W zeszłym roku został badaczem złośliwego oprogramowania i cyberbezpieczeństwa w Coveware.
W grudniu zeszłego roku przesłał wiadomość do Wosara o pomoc. Gillespie pracował z ofiarą DarkSide, która zapłaciła okup i otrzymała narzędzie do odzyskania danych. Ale deszyfrator DarkSide miał reputację powolnego, a ofiara miała nadzieję, że Gillespie może przyspieszyć ten proces.
Gillespie przeanalizował oprogramowanie, które zawierało klucz do uwolnienia plików. Chciał wydobyć klucz, ale ponieważ był przechowywany w niezwykle skomplikowany sposób, nie mógł. Zwrócił się do Wosara, który potrafił go odizolować.
Następnie koledzy z drużyny zaczęli testować klucz na innych plikach zainfekowanych przez DarkSide. Gillespie sprawdzał pliki przesłane przez ofiary na prowadzoną przez niego stronę internetową, ID Ransomware, podczas gdy Wosar korzystał z VirusTotal, internetowej bazy danych podejrzanych o złośliwe oprogramowanie.
Tej nocy podzielili się odkryciem.
Mam potwierdzenie, że DarkSide ponownie używa swoich kluczy RSA, napisał Gillespie do Hunting Team na swoim kanale Slack. Rodzaj kryptografii, RSA generuje dwa klucze: klucz publiczny do kodowania danych i klucz prywatny do ich odszyfrowania. RSA jest używany zgodnie z prawem do ochrony wielu aspektów handlu elektronicznego, takich jak ochrona numerów kredytowych. Ale został również dokooptowany przez hakerów ransomware.
Zauważyłem to samo, ponieważ udało mi się odszyfrować nowo zaszyfrowane pliki za pomocą ich deszyfratora, Wosar odpowiedział niecałą godzinę później, o 2:45 czasu londyńskiego.
Ich analiza wykazała, że przed przyjęciem modelu partnerskiego DarkSide używało innego klucza publicznego i prywatnego dla każdej ofiary. Wosar podejrzewał, że podczas tej zmiany DarkSide wprowadził błąd do swojego portalu partnerskiego używanego do generowania oprogramowania ransomware dla każdego celu. Wosar i Gillespie mogli teraz użyć klucza, który Wosar wyodrębnił, aby odzyskać pliki z komputerów Windows przejętych przez DarkSide. Błąd kryptograficzny nie wpłynął na systemy operacyjne Linux.
Powiązana historia
Jak urzędnicy chronią wybory przed hakerami ransomware Obawy przed atakiem na systemy wyborcze są realne. Ale włamanie nie zaszkodziłoby głosowaniu tak bardzo, jak wynikła z tego dezinformacja.Drapaliśmy się po głowach, powiedział Wosar. Czy naprawdę mogli to strasznie spieprzyć? DarkSide był jednym z bardziej profesjonalnych programów ransomware jako usługi. Popełnienie przez nich tak ogromnego błędu jest bardzo, bardzo rzadkie.
Drużyna Myśliwska świętowała spokojnie, nie szukając rozgłosu. White, który jest studentem informatyki w Royal Holloway, części Uniwersytetu Londyńskiego, zaczął szukać ofiar DarkSide. Skontaktowała się z firmami zajmującymi się informatyką cyfrową i reagowaniem na incydenty.
Powiedzieliśmy im: „Hej, posłuchaj, jeśli masz jakieś ofiary DarkSide, powiedz im, żeby się z nami skontaktowali; możemy im pomóc. Możemy odzyskać ich pliki i nie muszą płacić ogromnego okupu” – powiedział Wosar.
Hakerzy DarkSide w większości usunęli sezon świąteczny. Gillespie i Wosar spodziewali się, że gdy ataki zostaną wznowione w nowym roku, ich odkrycie pomoże dziesiątkom ofiar. Ale potem Bitdefender opublikował swój post pod nagłówkiem Narzędzie do deszyfrowania Darkside Ransomware.
Na kanale wiadomości ze społecznością odpowiedzi na oprogramowanie ransomware ktoś zapytał, dlaczego Bitdefender ma informować hakerów. Rozgłos, odpowiedział White. Wygląda dobrze. Mogę jednak zagwarantować, że teraz naprawią to znacznie szybciej.
Ona miała rację. Następnego dnia DarkSide potwierdził błąd, który Wosar i Gillespie znaleźli przed Bitdefender. Hakerzy napisali, że ze względu na problem z generowaniem kluczy niektóre firmy mają te same klucze, dodając, że dotyczy to nawet 40% kluczy.
DarkSide kpił z Bitdefendera za wypuszczenie deszyfratora w niewłaściwym czasie… ponieważ aktywność nas i naszych partnerów podczas świąt noworocznych jest najniższa.
Dodając do frustracji zespołu, Wosar odkrył, że narzędzie Bitdefender ma swoje wady. Korzystając z deszyfratora firmy, próbował odblokować próbki zainfekowane przez DarkSide i odkrył, że zostały one w tym czasie uszkodzone. Właściwie wdrożyli deszyfrowanie źle, powiedział Wosar. Oznacza to, że jeśli ofiary korzystały z narzędzia Bitdefender, istnieje duża szansa, że uszkodziły dane.
Zapytany o krytykę Wosara, Botezatu powiedział, że odzyskiwanie danych jest trudne i że Bitdefender podjął wszelkie środki ostrożności, aby upewnić się, że nie narażamy danych użytkownika, w tym wyczerpujące testy i kod, który ocenia, czy otrzymany odszyfrowany plik jest prawidłowy.
Wosar i Gillespie powiedzieli, że nawet bez Bitdefendera, DarkSide i tak wkrótce zdałoby sobie sprawę ze swojego błędu. Na przykład, przesiewając zhakowane sieci, hakerzy mogli natknąć się na e-maile, w których ofiary, którym pomagał zespół łowiecki, omawiały wadę.
Mogą to rozgryźć w ten sposób – to zawsze jest możliwe, powiedział Wosar. Ale jest to szczególnie bolesne, jeśli coś takiego głupiego jak to wypala lukę.
Incydent skłonił zespół łowiecki do ukucia terminu na przedwczesne ujawnienie słabości szczepu ransomware. Wewnętrznie często żartujemy: „Tak, prawdopodobnie wyciągną Bitdefendera” – powiedział Wosar.
Ta historia została opublikowana wspólnie z ProPublica, newsroomem non-profit, który bada nadużycia władzy. Renee Dudley i Daniel Golden skupili się na oprogramowaniu ransomware dla ProPublica i pracują nad książką o zespole łowców ransomware, która zostanie opublikowana w przyszłym roku przez Farrara, Strausa i Giroux.
Zarejestruj się, aby otrzymać Największe historie ProPublicy zaraz po ich opublikowaniu.