В отчете “Программы-вымогатели 2021-2022”, подготовленном Group-IB, названы самые агрессивные операторы шифровальщиков, совершившие наибольшее число кибератак в мире. В 2021 году ими стали группы LockBit, Conti и Pysa. Запрашиваемые злоумышленниками суммы выкупа достигли астрономических величин – средний размер увеличился до 247 тыс. долл. Россия перестала быть тихой гаванью – количество реагирований лаборатории цифровой криминалистики Group-IB на атаки программ-вымогателей в первом квартале 2022 года выросло в четыре раза по сравнению с аналогичным периодом 2021 года.
Цели вымогателей на карте мира
Третий год подряд атаки программ-вымогателей – одна из самых серьезных и разрушительных киберугроз. Исследовав более 700 атак в 2021 году, эксперты Group-IB, выяснили, что основные цели вымогателей по-прежнему расположены в Северной Америке, Европе, Латинской Америки, Азиатско-Тихоокеанском регионе. Среди самых нашумевших инцидентов минувшего года с участием шифровальщиков оказались нападения на концерн Toshiba, американскую трубопроводную систему Colonial Pipeline, крупнейшего производителя мяса JBS Foods, и IT-гиганта Kaseya. Рекорд по жадности поставили вымогатели из Hive — потребовали от немецкого холдинга MediaMarkt выкуп в 240 млн долл. Среднее время простоя атакованной компании в 2021 году увеличилось с 18 дней до 22 дней.
Атаки на российские компании
В прошлом году количество атак программ-вымогателей на российские компании увеличилось более чем на 200%. Наиболее активными в России оказались операторы шифровальщиков Dharma, Crylock, Thanos. В то же время русскоязычная группа OldGremlin в 2021 году заметно снизила свою активность — хакеры провели всего одну массовую рассылку (в 2020 году их было десять). Однако атака оказалась настолько успешной, что кормила “гремлинов” весь год. Например, у одной из жертв вымогатели потребовали за расшифровку данных рекордную для России сумму — 250 млн рублей.
В первом квартале 2022 года количество реагирований экспертов Лаборатории цифровой криминалистики Group-IB на атаки программ-вымогателей в России выросло в четыре раза по сравнению с аналогичным периодом 2021 года. В последнее время шифровальщики нацелены в России исключительно на крупный бизнес — компании от 5 тыс. сотрудников — в сфере строительства, страхования и агропромышленного комплекса.
Рычаг для шантажа
Новой тенденцией, согласно исследованию, стал отход на второй план шифрования как инструмента давления на жертву. Теперь главный рычаг для шантажа с целью выкупа — угроза выложить конфиденциальные данные компаний-жертв в публичный доступ на DLS (Dedicated Leak Site). В 2021 году этим методом пользовалось подавляющее большинство шифровальщиков — 63%.
Использование вымогателями DLS для давления на жертву, чтобы заставить ее заплатить выкуп под угрозой обнародования похищенных данных в публичном доступе, достигло пика в 2021 году. Число новых DLS выросло более, чем вдвое — с 13 до 28, при этом количество выложенных данных компаний за год увеличилось на 935% — с 229 жертв до 2 371. При этом атакующие стали гораздо быстрее добиваться своих целей: если раньше среднее время нахождения шифровальщиков в сети жертвы составляло 13 дней, то в прошлом году оно сократилось до 9.
Ребрендинг и вымогательство как услуга
Еще одна тенденция 2021 года — «ребрендинг». Этим «маркетинговым» инструментом операторы шифровальщиков стали пользоваться в ответ на повышенное внимание к ним со стороны исследователей и правоохранительных органов. После того как DarkSide и REvil исчезли из публичного пространства, на сцене появился новой игрок — BlackMatter, затем его сменил BlackCat. Весной группа DoppelPaymer переименовала свои новые программы-вымогатели в Grief (Pay OR Grief).
Развитие модели Ransomware-as-a-Service («Вымогательство как услуга») привело не только к масштабированию преступного бизнеса, но и его унификации. Тактики, техники и инструменты злоумышленников во многом стали пересекаться. Многие партнеры переходили от одной программы к другой или даже работали сразу с несколькими. Например, некоторые партнеры группы Conti выложили в открытый доступ внутренние руководства и инструменты для совместного использования.
Векторы атаки, тактики и инструменты
Самым частым способом получения первоначального доступа в сети компаний стала компрометация публичных RDP-серверов. На этот вектор атаки приходится почти половина (47%) всех исследованных инцидентов — многие из сотрудников по-прежнему работали на удаленке. На втором месте — фишинг (26%), на третьем — эксплуатация общедоступных приложений (21%).
В 2021 году некоторые операторы шифровальщиков стали использовать доступ к уязвимостям “нулевого дня”. Так, партнеры REvil атаковали тысячи клиентов Kaseya, эксплуатируя уязвимости 0-day в серверах VSA. Группировка FIN11, стоящая за шифровальщиком Clop, эксплуатировала ряд уязвимостей нулевого дня в устаревшем средстве для передачи файлов Accellion File Transfer Appliance (FTA).
Если в 2020 году отдельные вредоносные боты (Emotet, Qakbot, IcedID) были закреплены за определенными участниками партнерских программ шифровальщиков, то в прошлом году атрибуция стала не столь очевидной. Например, IcedID использовали для получения первоначального доступа в сети компаний несколько участников партнерских программ шифровальщиков — Egregor, REvil, Conti, XingLocker, RansomExx.
Партнеры вымогателя Ruyk для первоначального доступа в сети жертвы использовали бот BazarLoader в весьма экзотической схеме. Он распространялся не только через фишинг — рассылку спам-писем о платных подписках, но и через вишинг. Во время телефонного разговора злоумышленники обманом заставляли жертву посетить подложный сайт и давали инструкции о том, как скачать и открыть вредоносный документ, который скачивал и запустил BazarLoader.
Наиболее популярным инструментом у вымогателей для пост-эксплуатации ожидаемо оказался Cobalt Strike — был замечен в 60% исследованных атак шифровальщиков. Тем не менее, некоторые злоумышленники начали экспериментировать с менее распространенными фреймворками, чтобы снизить вероятность обнаружения. Например, группировка TA551 взялась за доставку вредоносного ПО на основе кроссплатформенного фреймворка Sliver.
Точка зрения эксперта
“В 2021 году киберугроза №1 впервые получила серьезный отпор — начались аресты участников преступных групп, часть вымогателей вынуждены были залечь “на дно” или замести следы, проводя ребрендинг, — отмечает Олег Скулкин, руководитель Лаборатории цифровой криминалистики Group-IB. — Однако, несмотря на некоторую обеспокоенность киберпреступного сообщества, атаки представителей других партнерских программ продолжаются — так что говорить о закате шифровальщиков пока еще рано. Почти 70% инцидентов, над расследованием которых работает наша лаборатория, приходятся на атаки с использованием программ-вымогателей, и мы полагаем эта тенденция сохранится и в текущем году”.
