Эксперты Group-IB выпустили отчет, посвященный программам-вымогателям, самой опасной угрозе для бизнеса и госсектора во всем мире. В 2021 году самыми агрессивными операторами шифровальщиков, совершившими наибольшее число кибератак в мире, были признаны группы LockBit, Conti и Pysa.
Запрашиваемые злоумышленниками суммы выкупа в прошлом году достигли астрономических величин — средний размер требуемого выкупа вырос до 247 000 долларов США.
Итоги и тренды
Изучив более 700 атак в 2021 году, эксперты выяснили, что основные цели вымогателей по-прежнему расположены в Северной Америке, Европе, Латинской Америки, Азиатско-Тихоокеанском регионе.
Среди самых нашумевших инцидентов 2021 года с участием шифровальщиков оказались нападения на концерн Toshiba, американскую трубопроводную систему Colonial Pipeline, крупнейшего производителя мяса JBS Foods, и IT-гиганта Kaseya.
Рекорд по жадности поставили вымогатели из Hive — они потребовали от немецкого холдинга MediaMarkt выкуп в 240 млн долларов США. Среднее время простоя атакованной компании в 2021 году увеличилось с 18 дней до 22 дней.
Также отмечается, что Россия уже перестала быть тихой гаванью — количество реагирований Лаборатории цифровой криминалистики Group-IB на атаки программ-вымогателей в первом квартале 2022 года выросло в четыре раза по сравнению с первым кварталом 2021 года.
Таким образом, в 2021 году количество атак программ-вымогателей на российские компании увеличилось более чем на 200%. Наиболее активными в России оказались операторы шифровальщиков Dharma, Crylock, Thanos. А вот русскоязычная группа OldGremlin хотя в 2021 году заметно снизила свою активность — хакеры провели всего одну массовую рассылку (для сравнения: в 2020 году их было 10), однако атака оказалась настолько успешной, что кормила «гремлинов» весь год. Например, у одной из жертв вымогатели потребовали за расшифровку данных рекордную для России сумму — 250 млн рублей.
В последнее время шифровальщики в России нацелены исключительно на крупный бизнес — от 5000 сотрудников — из отраслей строительства, страхования, агропромышленного комплекса.
Новой тенденцией и стал отход на второй план шифрования, как инструмента давления на жертву. Теперь главный «рычаг» для шантажа с целью выкупа — угроза выложить конфиденциальные данные компаний-жертв в публичный доступ на так называемые DLS (Dedicated Leak Site, предназначенные для утечек сайты). В 2021 году этим методом пользовалось подавляющее большинство шифровальщиков — 63%.
Использование вымогателями DLS для давления на жертву, чтобы заставить ее заплатить выкуп под угрозой обнародования похищенных данных в публичном доступе, достигло пика именно в 2021 году. Число новых DLS выросло более чем вдвое — с 13 до 28, при этом количество выложенных данных компаний за год увеличилось на беспрецедентные 935% — с 229 жертв до 2 371. При этом атакующие стали гораздо быстрее добиваться своих целей: если раньше среднее время нахождения шифровальщиков в сети жертвы составляло 13 дней, то в прошлом году оно сократилось до 9 дней.
Еще одной тенденций 2021 года стал «ребрендинг» Этим «маркетинговым» инструментом операторы шифровальщиков стали пользоваться в ответ на повышенное внимание к ним со стороны исследователей и правоохранительных органов. После того как DarkSide и REvil исчезли из публичного пространства, на сцене появился новой игрок — BlackMatter, затем его сменил BlackCat. Чуть ранее, весной группа DoppelPaymer переименовала свои новые программы-вымогатели в Grief (Pay OR Grief).
Развитие модели Ransomware-as-a-Service («Вымогательство как услуга») привело не только к масштабированию преступного бизнеса, но и его унификации. Тактики, техники и инструменты злоумышленников во многом стали пересекаться. Многие партнеры переходили от одной программы к другой или даже работали сразу с несколькими. Например, некоторые партнеры группы Conti выложили в открытый доступ внутренние руководства и инструменты для совместного использования.
Векторы и тактики
Как и в позапрошлом году, самым частым способом получения первоначального доступа в сети компаний стала компрометация публичных RDP-серверов. На этот вектор атаки приходится почти половина (47%) всех исследованных инцидентов — многие из сотрудников по-прежнему работали на удаленке. На втором месте — фишинг (26%), на третьем — эксплуатация общедоступных приложений (21%).
В 2021 году некоторые операторы шифровальщиков стали использовать доступ к уязвимостям «нулевого дня». Так, партнеры REvil атаковали тысячи клиентов Kaseya, эксплуатируя уязвимости 0-day в серверах VSA. Другой пример — группировка FIN11, стоящая за шифровальщиком Clop эксплуатировала ряд уязвимостей нулевого дня в устаревшем средстве для передачи файлов Accellion File Transfer Appliance (FTA).
Если в 2020 году отдельные вредоносные боты (Emotet, Qakbot, IcedID) были закреплены за определенными участниками партнерских программ шифровальщиков, то в прошлом году атрибуция стала не столь очевидной. Например, IcedID использовали для получения первоначального доступа в сети компаний несколько участников партнерских программ шифровальщиков — Egregor, REvil, Conti, XingLocker, RansomExx.
А вот партнеры вымогателя Ruyk для первоначального доступа в сети жертвы использовали бота BazarLoader и в весьма экзотической схеме. Он распространялся не только через фишинг — рассылку спам-писем о платных подписках, но и через вишинг. Во время телефонного разговора злоумышленники обманом заставляли жертву посетить подложный сайт и давали инструкции о том, как скачать и открыть вредоносный документ, который скачивал и запустил BazarLoader.
Наиболее популярным инструментом у вымогателей для пост-эксплуатации ожидаемо оказался Cobalt Strike — он был замечен в 60% исследованных атак шифровальщиков. Тем не менее, некоторые злоумышленники начали экспериментировать с менее распространенными фреймворками, чтобы снизить вероятность обнаружения. К примеру, группировка TA551 экспериментировала с доставкой вредоносного программного обеспечения на основе кроссплатформенного фреймворка Sliver.
«В 2021 году киберугроза №1 впервые получила серьезный отпор — начались аресты участников преступных групп, часть вымогателей вынуждены были залечь «на дно» или замести следы, проводя ребрендинг. Однако, несмотря на некоторую обеспокоенность киберпреступного сообщества, атаки представителей других партнерских программ продолжаются — так что говорить о закате шифровальщиков пока еще рано. Почти 70% инцидентов, над расследованием которых работает наша Лаборатория, приходятся на атаки с использованием программ-вымогателей и мы полагаем, эта тенденция сохранится и в текущем году», — резюмирует Олег Скулкин, руководитель Лаборатории цифровой криминалистики Group-IB.
