Правоохранительные органы 13 стран мира приняли участие в операции по ликвидации инфраструктуры RaaS-шифровальщика Hive. Министерство юстиции США, ФБР и Европол сообщают, что сумели проникнуть в инфраструктуру хак-группы еще в июле прошлого года и в итоге предотвратив выплату выкупов на общую сумму около 130 млн долларов.
Напомню, что несколько месяцев назад ФБР сообщало, что с июня 2021 года группировка Hive взломала более 1300 компаний и с помощью вымогательства получила от пострадавших около 100 млн долларов.
Проведенная теперь операция не только позволила властям перехватить контроль над всеми Tor-сайтами группировки, но также помогла им заранее узнавать об атаках хакеров, заранее предупреждать жертв об этих нападениях, а также получить и раздать пострадавшим ключи для дешифрования данных.
«В конце июля 2022 года ФБР проникло в компьютерные сети Hive, перехватило ключи дешифрования и предоставило их жертвам по всему миру, избавив их от необходимости платить выкупы в размере 130 000 000 долларов, — сообщает Минюст. — С момента проникновения в сеть Hive в июле 2022 года ФБР предоставило более 300 ключей дешифрования жертвам Hive, подвергшимся атакам. Кроме того, ФБР раздало более 1000 дополнительных ключей дешифрования предыдущим жертвам группировки».
Согласно опубликованным документам, специалисты ФБР (на основании судебного ордера) получили доступ к двум выделенным серверам и одному VPS, размещавшимся у неназванного хостинг-провайдера в Калифорнии. Эти серверы были арендованы с использованием email-адресов, принадлежащих участникам Hive. Примерно в это же время голландская полиция получила доступ к двум резервным выделенным серверам группировки, размещенным в Нидерландах.
Используя полученный доступ, правоохранители убедились в том, что серверы действительно принадлежат Hive и обслуживают основной сайт для «слива» данных, сайт для проведения переговоров и веб-панели, используемые операторами шифровальщика и их партнерами.
«В дополнение к ключам дешифрования, исследуя базу данных, найденную на Целевом Сервер 2, ФБР обнаружило записи о коммуникациях Hive, хэши вредоносных файлов, информацию о 250 аффилированных лицах, а также информацию о жертвах, согласующуюся с данными, которые были получена ранее, посредством операции с ключами дешифрования», — гласит опубликованный аффидавит.
В настоящее время все Tor-сайты группы демонстрируют уведомление о конфискации, где перечислены многочисленные страны, участвовавшие в этой операции (включая Германию, Канаду, Францию, Литву, Нидерланды, Норвегию, Португалию, Румынию, Испанию, Швецию и Великобританию). Интересно, что на этот раз «заглушка» правоохранителей представляет собой анимированный файл GIF, на котором чередуются одинаковые сообщения на английском и русском языках.
«Незаметно для Hive, в ходе киберзасады наша следственная группа на законных основаниях проникла в сеть Hive и скрывалась там несколько месяцев, неоднократно похищая ключи дешифрования и передавая их жертвам, чтобы освободить их от вымогателей, — заявила заместитель генерального прокурора Лиза Монако во время пресс-конференции. — В течение нескольких месяцев мы помогали жертвам победить злоумышленников и лишали Hive прибылей от вымогательства. Проще говоря, мы хакнули хакеров, используя законные средства. Мы побили Hive их же оружием и разрушили их бизнес-модель».
Вскоре после этих официальных сообщений об уничтожении инфраструктуры Hive Государственный департамент США заявил, что готов заплатить до 10 млн долларов за информацию, которая поможет связать хак-группу Hive (или других злоумышленников) с иностранными правительствами.
«Если у вас есть информация, которая позволит связать Hive или любых других киберпреступников, нацеленных на критическую инфраструктуру США, с иностранным правительством, свяжитесь с нами через горячую линию Tor. Вы cможете претендовать на вознаграждение», — пишут представители ведомства.
Стоит отметить, что пока официальные лица не объявляли о каких-либо арестах, но заявили, что расследование продолжается, и правоохранители уже выявляют администраторов Hive, которые отвечают за саму малварь, а также аффилированных лиц, которые заражают цели и ведут переговоры с жертвами.
