Якщо ви коли-небудь замислювалися над тим, скільки заробляють ці хлопці-хакери, ви можете дізнатися це зараз. 27 лютого 2022 року обліковий запис в Twitter під назвою @ContiLeaks та багато інших подібних акаунтів почали публікувати досить соковиті подробиці про гроші та “працівників” злочинного світу.
«Я знаю тебе, ти знаєш мене, ми знаємо нас»
Злив даних в основному стосується Gold Blackburn і Gold Ulrick. В понад 160 000 повідомлень розкриваються переписки, якими обмінювалися майже 500 хакерів в період з січня 2020 року по березень 2022 року. Крім того, був витік вихідного коду та репозитарію інструментів; факти досить вагомі, які навіть привідкривають вуаль над раніше невідомими хакерськими угрупуваннями .
for now stern/deamon – try to hide himeself, changing nicknames, wants to make some voice calls 🙂 reshaev/cyberganster – in total panic. tramp – doing somethings unknown! We know everything about you Conti, go to panic, you can even trust your gf , we against you!
— conti leaks (@ContiLeaks) March 19, 2022
Серед інших витоків даних були також десятки досьє на багатьох кіберзлочинців з інформацією про громадянство, паспорт, номери банківських рахунків, номери телефонів, адреси, імена, фотографії. Фахівці з кібербезпеки поки не можуть визначити мотиви зливачів даних, але вони припускають, що деякі хакери не погоджуються з проросійськими заявами, які Gold Ulrick опублікував на своєму сайті злитих даних. Особа виконавця також не відома.
Що таке Gold Ulrick і Gold Blackburn?
Більшість витоків даних стосується двох різних, але з високим рівнем співпраці хакерських угрупувань. Свої ідентифікаційні назви вони отримали від дослідників Secureworks® Counter Threat Unit™ (CTU), які спостерігали за активністю, згаданою у витоку даних, і що пов’язана з хакерськими угрупуваннями Gold Blackburn і Gold Ulrick.
Gold Ulrick, фінансово вмотивована кіберзлочинна група, діє з середини 2018 року. Група використовувала програми-вимагачі Ryuk з серпня 2018 року до початку 2021 року та Conti з початку 2020 року. Вони націлені лише на організації.
Gold Blackburn, також фінансово мотивована кіберзлочинна група, діє з червня 2014 року. Зловмисне програмне забезпечення Trickbot, Buer Loader, Zloader, Anchor, BazarLoader належать цій групі.
Як зазначалося, це дуже різні хакерські угрупування, але вони демонструють не менший рівень співпраці. Дослідники CTU спостерігали, як оператори програм-вимагачів Conti і Ryuk використовували BazarLoader, TrickBot або інше шкідливе програмне забезпечення, випущене хакерським угрупуванням Gold Blackburn. Сервери командування та керування Cobalt Strike Beacon і PowerShell Empire (C2), які використовувалися в атаках, що проводили хакерські угрупування, спільно використовували TrickBot, і це може бути ознакою того, що одна організація підтримує інфраструктуру для обох хакерських угрупувань. Що чітко показує одну із численних ознак “близької дружби” серед них.
Але інші хакери також використовували це зловмисне програмне забезпечення, серед них LockBit, Maze та RansomExx (також відоме як 777).
Що було злито?
Як ми вже сказали, повідомлення, що було злито пролили світло на економіку злочинного світу, а також виявило деякі раніше невідомі факти.
Ознайомившись із матеріалом, який було злито, спеціалісти з кібербезпеки зробили кілька припущень щодо того, що саме було злито і що спеціалісти з відповідної галузі можуть взяти з цієї інформації.
У розкритих повідомленнях найбільше згадується персона під нікнеймом “Stern”. Цей обліковий запис, схоже, взаємодіє з широким колом співробітників злочинного світу, що робить його імовірним лідером. Згідно зі злитими повідомленнями, цей обліковий запис приймає ключові організаційні рішення, керує кризовими ситуаціями, спілкується з іншими хакерськими угрупуваннями і видає заробітну плату.
Персона “Stern” також контролює розповсюдження програм-вимагачів і роботу BazarLoader, TrickBot. З таким широким переліком обов’язків це показує, що цей обліковий запис є можливим лідером як в Gold Ulrick, так і в Gold Blackburn.
У повідомленнях також згадувалися представники інших хакерських груп, які активно спілкувалися з персоною “Stern”, а також іншими імовірними членами Gold Ulrick і Gold Blackburn. Серед них: Gold Swarthmore (IcedID),Gold Mystic (LockBit), Gold Crestwood (Emotet). Але дослідники попереджають, що незважаючи на зв’язок “Stern” із багатьма згаданими групами, вони не можуть висловлювати припущення, що ця особа керує всіма угруповуваннями.
Один із висновків, які дослідники могли зробити з витоків, полягає у тому, що вони, безумовно, показали зрілу добре організовану злочинну екосистему, в якій задіяно багато груп загроз. Вони не просто працюють поодинці, а допомагають один одному; можна навіть сказати, що це якась Корпорація Зла, що виросла в підземному світі.
My comments are coming from the bottom of my heart which is breaking over my dear Ukraine and my people. Looking of what is happening to it breaks my heart and sometimes my heart wants to scream.
— conti leaks (@ContiLeaks) March 1, 2022
Одне з повідомлень, яке винятково зацікавило дослідників, чисто з практичної точки зору, – це зарплата кіберзлочинців. Так, звичайно, Корпорація Зла пропонує вам оплачувану відпустку, лікарняний та багато бонусів. З одного злитого повідомлення ми дізнаємося, що в середньому люди там заробляють приблизно 1800 доларів США на місяць.
Така заробітна плата перевищує середню російську зарплату, яка становить приблизно 540 доларів США на місяць. Станом на 1 липня 2021 року на вказану біткойн-адресу внизу повідомлення надійшло 2,31 біткойна (що на той момент становило приблизно 80 000 доларів США).
Статистика програм-вимагачів
Якщо вас здивував той факт, що насправді існує навіть ціла така собі Корпорація Зла, то прочитайте наступну статистику щодо програм-вимагачів, підготовлену дослідниками з Purplesec, щоб зрозуміти фактичний масштаб цього конкретного виду кіберзлочинів:
- Фахівці з кібербезпеки підрахували, що кожні 14 секунд хтось з бізнесу стає жертвою програм-вимагачів;
- У 2019 році внаслідок збільшення кількості атак програм-вимагачів на 41% 205 000 компаній втратили доступ до своїх файлів;
- У 2019 році фахівці з кібербезпеки виявили 68 000 нових троянських програм-вимагачів для мобільних пристроїв;
- У 2019 році кількість нових варіантів програм-вимагачів зросла на 46%;
- Соціальні кібер атаки, такі як фішинг, становлять 21% випадків зараження програмами-вимагачами;
- У 2019 році кількість фішингових електронних листів із програмним забезпеченням-вимагачем зросла на 109% порівняно з 2017 роком;
- Останніми роками, 350% у 2018 році, програми-вимагачі стали найпопулярнішою формою кібер атаки;
- У 2021 році оператори програм-вимагачів висунули найбільшу відому вимогу про викуп у розмірі 100 мільйонів доларів;
- У першому півріччі 2021 року (на 64% більше, ніж у минулому році) було зареєстровано 121 інцидент із програмним забезпеченням-вимагачем;
- У 2021 році (зріс на 82% у порівнянні з минулим роком) середній викуп склав майже 570 000 доларів.
Читаючи всю цю статистику, можна уявити, що існує більше ніж одна Корпорація Зла та суми, які просто злітають до неба.
