ИБ-спеицалисты обратили внимание на массовую спам-кампанию, стартовавшую еще 19 сентября 2017 года. Первым происходящее заметил исследователь Деррик Фармер (Derrick Farmer), процитировавший у себя в твиттере сообщение группировки Phantom Squad.
PSA: Apparently these Phantom Skids are going to DDoS everyone on "Sept 30st". Better watch out! @x0rz @malwrhunterteam pic.twitter.com/BRYCtPMMIV
— Derrick (@Ring0x0) September 19, 2017
В письмах хак-группа, представляющаяся как Phantom Squad, пообещала устроить DDoS-атаки на тысячи компаний 30 сентября 2017 года, если те не заплатят выкуп. Злоумышленники требуют 0,2 биткона (порядка 720 долларов по текущему курсу) и обещают, что после 30 сентября сумма увеличится до 20 биткоинов, а затем будет возрастать на 10 биткоинов каждый день.
Данный случай интересен своей масштабностью. Как правило, вымогатели атакуют очень ограниченное число жертв, но Phantom Squad разослали свои угрозы всем, до кого только смогли дотянуться. Из-за этого о кампании вскоре заговорили в социальных сетях (1, 2, 3, 4) и на тематических ресурсах, где собираются системные администраторы.
Специалисты Cloudflare сообщают, что пока трудно подсчитать точное количество спамерских писем, отправленных злоумышленниками, но отмечают, что «эти гении прислали свои вымогательские угрозы даже на адреса крупнейших компаний, предлагающих защиту от DDoS-атак».
Получили вымогательские послания и в компании Radware, после чего специалисты фирмы опубликовали предупреждение о происходящем. Эксперты выразили сомнение, что группировка, стоящая за данной кампанией, это действительно настоящая Phantom Squad. Напомню, что эта группа известна в первую очередь тем, что любит подпортить веселье игрокам Xbox Live, PSN и Steam. Хакеры неоднократно атаковали игровые сервисы в праздники.
Эксперты Radware отмечают, что вымогательские сообщения почти идентичны письмам, которые в июле 2017 года рассылала группа, выдающая себя за известную Armada Collective. Тогда угрозы оказались совершенно пустыми, но некоторые компании все же предпочли заплатить.
Специалисты пишут, что поведение DDoS-вымогателей определенно меняется. Если раньше группировки атаковали тщательно отобранные цели, требовали у компаний огромный выкуп, а в случае неуплаты действительно начинали мощную атаку, теперь RDoS-атаки охватывают как можно больше целей, а сумма выкупа выставляется чисто символическая. Такая схема увеличивает шансы злоумышленников «заработать» хоть сколько-то. К тому же вымогатели еще в 2016 году поняли, что выгоднее выдавать себя за представителей других, известных группировок, чьи имена уже растиражировали СМИ. Так, подражатели появились у New World Hackers, Lizard Squad, LulzSec, Fancy Bear и Anonymous.
ИБ-эксперты уверены, что 30 сентября не произойдет ничего страшного, потому что как у Phantom Squad попросту не хватит ресурсов, чтобы осуществить DDoS-атаки на такое число целей. Так, японский CERT назвал вымогательскую кампанию фальшивкой, посоветовал сохранять спокойствие и обращаться в правоохранительные органы после получения подобных писем.
