Kui politseinikud tagasi häkivad: Hollandi politsei jagab DEADBOLTi kurjategijaid (seaduslikult!)

Kahjuks pidime katma DEADBOLT lunavara mitu korda enne alasti turvalisuse kohta.

See lunavara küberkuritegevuse nišimängija on juba peaaegu kaks aastat jahtinud peamiselt kodukasutajatele ja väikeettevõtetele erineval viisil kui enamik tänapäevaseid lunavararünnakuid:

Kui tegelesite küberjulgeolekuga kümmekond aastat tagasi, kui lunavarast hakkas küberallilma jaoks saama tohutu rahakorjaja, siis mäletate tolleaegseid lunavara "suurte nimedega kaubamärke" ilma armastuseta: CryptoLocker, Locky, TeslaCryptJa palju muud.

Tavaliselt tuginesid lunavara kuritegude varased osalejad sellele, et nõudsid nii paljudelt isikutelt peaaegu taskukohaseid, kui-jätsite-pubisse-mineku-kolm-kuuks-kolm väljapressimismakset. võiks.

Erinevalt tänapäeva kõrgliiga lunavarakelmidest, keda võiks kokku võtta kui "Eesmärk on välja pressida ettevõtteid miljoneid dollareid sadu kordi", läksid esimesed mängijad tarbijasõbralikumalt "Santažeerige miljoneid inimesi igaühe eest 300 dollarit" (või 600 dollarit või 1000 dollarit – summad varieerusid).

Idee oli lihtne: skrambleerides teie failid teie enda sülearvutis, ei pidanud kelmid muretsema Interneti-üleslaadimise ribalaiuse pärast ega püüdma varastada kõiki teie faile, et nad saaksid need teile hiljem tagasi müüa.

Nad võivad jätta kõik teie failid teie ette nähtavasti nähtavale, kuid siiski täiesti kasutuskõlbmatuks.

Kui prooviksite näiteks tekstitöötlusprogrammiga avada segatud dokumenti, näete kas kasutuid lehti, mis on täis digitaalset hakitud kapsast, või hüpikakna, milles palutakse vabandust, et rakendus ei tuvastanud failitüüpi ega saanud avada. seda üldse.

Arvuti töötab, andmed mitte

Tavaliselt teevad kelmid kõik endast oleneva, et jätta teie operatsioonisüsteem ja rakendused puutumata, keskendudes selle asemel teie andmetele.

Nad ei tahtnud, et teie arvuti täielikult töötaks mitmel olulisel põhjusel.

Esiteks tahtsid nad, et te näeksite ja tunneksite valu selle pärast, kui lähedal, kuid samas nii kaugel olid teie väärtuslikud failid: teie pulmafotod, beebivideod, maksudeklaratsioonid, ülikoolikursuste töö, saadaolevad arved, võlgnevused ja kõik muud teie digitaalsed andmed. Olin juba kuid tahtnud varundada, kuid polnud veel jõudnud.

Teiseks soovisid nad, et näeksite väljapressimist, mille nad olid jätnud SUURTE DRAMAATILISTE KUJUTISTEGA KIRJADEGA, installitud teie töölaua taustapildiks, et te ei saaks sellest ilma jääda, koos juhistega krüptomüntide hankimiseks, mida peate tagasi ostma. dekrüpteerimisvõti teie andmete lahtikodeerimiseks.

Kolmandaks tahtsid nad veenduda, et pääsete ikka oma brauseris võrku, et kõigepealt teha asjatu otsing "kuidas XYZ lunavarast ilma maksmata taastuda" ja seejärel meeleheite ja meeleheite tõttu sõber kätte saada. teadsite, et see võib teid aidata päästeoperatsiooni krüptoraha osas.

Kahjuks osutusid selle vaenuliku kuritegeliku vandenõu esimesed osalejad, eriti CryptoLockeri jõuk, üsna usaldusväärseks, et vastata kiiresti ja täpselt ohvritele, kes maksid, teenides omamoodi "varaste seas au".

See näis veenvat uusi ohvreid, et vaatamata sellele, et maksmine põletas nende lähituleviku rahandusse hiiglasliku augu ja et see sarnanes natuke kuradiga tehingu sõlmimisega, saab see tõenäoliselt nende andmed tagasi.

Kaasaegsete lunavararünnakute eesmärk on seevastu tavaliselt panna kõik arvutid tervetes ettevõtetes (või koolides või haiglates või omavalitsustes või heategevusorganisatsioonides) korraga kohapeale. Kuid kogu võrgus usaldusväärselt töötavate dekrüpteerimistööriistade loomine on üllatavalt keeruline tarkvaratehniline ülesanne. Tegelikult on oma andmete tagasi saamine kelmidele toetudes riskantne äri. Aastal 2021. aasta Sophose lunavara uuring1/2 maksnud ohvritest kaotas vähemalt 1/3 oma andmetest ja 4% neist ei saanud üldse midagi tagasi. in 2022, leidsime, et pool tee oli veelgi hullem: 1/2 maksjatest kaotas 40% või rohkem oma andmetest ja ainult 4% neist said kõik oma andmed tagasi. Kurikuulsas Koloniaalne torujuhe lunavararünnak, teatas ettevõte, et ei kavatse raha ära maksta, ja maksis seejärel kurikuulsalt üle 4,400,000 4.4 XNUMX dollari, kuid avastas, et kurjategijate pakutav dekrüpteerimistööriist oli liiga aeglane, et seda kasutada. Seega jäid nad maksma kõik taastamiskulud, mis neil oleks olnud, kui nad poleks kelmidele maksnud, pluss XNUMX miljoni dollari suurune väljaminek, mis oli samahästi kui kanalisatsioonist. (Hämmastavalt ja ilmselt kurjategijate halva operatiivküberturvalisuse tõttu, FBI sai lõpuks terveks umbes 85% Coloniali poolt välja makstud bitcoinidest. Ärge siiski lootke sellisele tulemusele: sellised suuremahulised tagasinõudmised on harv erand, mitte reegel.)

Tulus nišš

Näib, et DEADBOLTi kelmid on leidnud a tulus nišš nad ei pea teie võrku sisse murdma ja jõudma kõikidesse selles olevatesse arvutitesse ning nad ei pea isegi muretsema pahavara hiilimise pärast teie sülearvutisse või mõnesse teie tavaarvutisse. majapidamises, kontoris või mõlemas.

Selle asemel kasutavad nad paigatamata NAS-seadmete tuvastamiseks globaalset võrgu skannimist (võrguga ühendatud mälu).

Idee seisneb selles, et kui kasutate oma NAS-i nii nagu enamik inimesi kodus või väikeettevõttes teeb – varukoopiate tegemiseks ja suurte failide (nt muusika, videod ja pildid) peamise salvestusruumina, siis kaotate juurdepääsu kõigele oma NAS-is olevale. tõenäoliselt vähemalt sama katastroofiline kui kõigi sülearvutite ja lauaarvutite failide kaotamine või võib-olla veelgi hullem.

Kuna jätate oma NAS-seadme tõenäoliselt kogu aeg sisse lülitatuks, võivad kelmid sisse murda igal ajal, kui neile meeldib, sealhulgas siis, kui olete suure tõenäosusega magama jäänud; nad peavad ründama ainult ühte seadet; nad ei pea muretsema, kas kasutate Windowsi või Maci arvuteid…

…ja kasutades seadmes endas olevat parandamata viga, ei pea nad teid ega kedagi teist teie võrgus petma, et nad laadiksid alla kahtlase faili või klõpsaksid kahtlasele veebisaidile, et pääseda oma esialgsele tugipunktile.

Kelmid ei pea isegi muretsema selle pärast, et nad saavad teile e-kirja või teie töölaua taustapildi: nad kirjutavad teie NAS-i seadme veebiliidese sisselogimislehe kavalalt ümber, nii et niipea, kui proovite järgmisel korral sisse logida, võib-olla põhjuse väljaselgitamiseks. kõik teie failid on sassis, saate näo täis väljapressimist.

Veelgi salakavalam on see, et DEADBOLTi kelmid on välja mõelnud viisi, kuidas teiega hakkama saada, mis väldib igasugust meilikirjavahetust (võimalik, et jälgitav), ei nõua tumedaid veebiservereid (potentsiaalselt keeruline) ja jätab kõrvale igasugused läbirääkimised: see on nende tee või andmete kiirtee.

Lihtsamalt öeldes antakse igale ohvrile ühekordne Bitcoini aadress, kuhu neil palutakse saata BTC 0.03 (praegu [2022-10-21] veidi alla 600 $):

Tehing ise toimib nii sõnumina ("Otsustasin maksta") kui ka maksena ("ja siin on raha").

Seejärel saadavad kelmid teile vastutasuks 0 dollarit – tehingu, millel pole rahalist eesmärki, kuid mis sisaldab 32-kohalist kommentaari. (Bitcoini tehingud võivad sisaldada täiendavaid andmeid väljal, mida nimetatakse OP_RETURN mis ei kanna raha üle, kuid seda saab kasutada kommentaaride või märkuste lisamiseks.)

Need 32 märki on kuueteistkümnendarvud, mis tähistavad 16-baidist AES-i dekrüpteerimisvõtit, mis on teie skrambleeritud NAS-seadme jaoks ainulaadne.

Kleepite BTC tehingu kuueteistkümnendkoodi lunavara "sisselogimislehele" ja protsess käivitab kelmide poolt maha jäetud dekrüpteerimisprogrammi, mis šifreerib (loodate!) kõik teie andmed.

Helista politseisse!

Kuid siin on selle loo põnev pööre.

Hollandi politsei, tehes koostööd krüptovaluutateadmisi omava ettevõttega, jõudis a omaette salakaval trikk DEADBOLTi kurjategijate salakavaluse vastu võitlemiseks.

Nad märkasid, et kui ohver saatis dekrüpteerimisvõtme tagasiostmiseks Bitcoini makse, vastasid kelmid ilmselt dekrüpteerimisvõtmega niipea, kui BTC maksetehing jõudis Bitcoini võrku, otsides kedagi, kes seda "kaevandaks".

…selle asemel, et oodata, kuni keegi Bitcoini ökosüsteemist teatab, et on tehingu tegelikult kaevandanud ja seega esimest korda seda kinnitanud.

Teisisõnu, kui kasutada analoogiat, lasevad kelmid sul oma poest tootega välja jalutada, enne kui ootad, kuni krediitkaardimakse läbib.

Ja kuigi te ei saa BTC-tehingut selgesõnaliselt tühistada, saate korraga saata kaks vastuolulist makset (mida žargoonis nimetatakse "topeltkuluks"), kui olete rahul, et esimene, kes selle saab. üles korjatud, kaevandatud ja "kinnitatud" on see, mis plokiahel läbib ja lõpuks aktsepteeritakse.

Teine tehing jäetakse lõpuks kõrvale, kuna Bitcoin ei luba topeltkulutamist. (Kui see juhtus, ei saaks süsteem töötada.)

Kui Bitcoini kaevandajad näevad, et veel töötlemata tehing hõlmab raha, mille keegi teine ​​on juba "kaevandanud", lõpetavad nad lihtsalt lõpetamata tehingu kallal töötamise põhjendusega, et see on nüüd nende jaoks väärtusetu.

Siin ei ole tegemist altruismiga: lõppude lõpuks, kui suurem osa võrgustikust on juba otsustanud teise tehingu vastu võtta ja selle plokiahelasse omaks võtta kui „selle, mille kogukond kehtivaks tunnistab”, on vastuoluline tehing, mis ei ole läinud. läbi, kuid on kaevandamise jaoks hullem kui kasutu.

Kui proovite konfliktset tehingut edasi töödelda, siis isegi kui te selle lõpuks edukalt "mineerite", ei võta keegi teie sekundaarset kinnitust vastu, sest selles pole midagi, mida nad saaksid teha...

…nii et teate ette, et te ei saa oma üleliigse kaevandamistöö eest kunagi tehingutasusid ega Bitcoini boonust, ja seega teate juba ette, et sellele pole mõtet aega ega elektrit raisata.

Seni kuni ükski inimene (või kaevandusbassein või kaevanduskogumite kartell) ei kontrolli kunagi rohkem kui 50% Bitcoini võrgust, ei tohiks kellelgi olla piisavalt aega ja energiat, et juba aktsepteeritud võrgustikku "dekinnitada". tehing, luues uue kinnituste ahela, mis ületab kõik olemasolevad.

Paku rohkem raha…

Arvestades, et me just mainisime tehingutasud, ilmselt näete, kuhu see läheb.

Kui kaevandaja kinnitab edukalt tehingu, mis lõpuks plokiahelasse vastu võetakse (tegelikult tehingute kogum), saab ta preemia äsja vermitud bitcoinides (praegu on summa BTC6.25), millele lisanduvad kõik selle eest pakutavad tasud. iga paketi tehing.

Teisisõnu saate motiveerida kaevureid oma tehingut eelistama, pakkudes tehingutasusid pisut rohkem kui kõik teised...

…või kui te ei kiirusta, võite pakkuda madalat tehingutasu ja saada kaevanduskogukonnalt aeglasemat teenust.

Tegelikult, kui te tõesti ei hooli, kui kaua see aega võtab, võite pakkuda tehingutasuna null bitcoini maksmist.

Just seda tegid Hollandi politseinikud 155 ohvriga 13 erinevast riigist, kes olid palunud abi oma andmete tagasisaamisel.

Nad saatsid kelmidele välja 155 makset enda valitud BTC-aadressidest, mis kõik pakkusid tehingutasude tasumist nulliga.

Kelmid, kes ilmselt tuginesid skriptitud automaatsele protsessile, saatsid dekrüpteerimisvõtmed kohe tagasi.

Kui politseinikel oli iga dekrüpteerimisvõti käes, saatsid nad kohe välja topeltkulu tehingu…

…seekord ahvatleva tasuga, mida pakuti vastutasuks samade vahendite maksmise eest, mida nad algselt kelmidele endale tagasi pakkusid!

Arvake ära, millised tehingud pälvisid kaevurite tähelepanu esimesena? Arvake ära, millised said kinnitust? Arvake ära, millistest tehingutest ei tulnud midagi?

Bitcoini kogukond jättis kurjategijatele kavandatud maksed maha nagu kuumad kartulid, enne kelmid said palka, aga pärast nad paljastasid dekrüpteerimisvõtmed.

Ühekordne tulemus

Hea uudis…

…välja arvatud muidugi see, et see lõks (see pole trikk, kui see on seaduslikult tehtud!) enam ei tööta.

Kahjuks peavad kelmid tulevikus vaid ootama, kuni nad näevad, et nende maksed on kinnitatud, enne kui nad vastavad dekrüpteerimisvõtmetele, selle asemel, et käivitada kohe iga tehingutaotluse ilmumisel.

Sellest hoolimata politseid kavaldasid seekord kelmid üle, ja 155 inimest said oma andmed tasuta tagasi.

Või vähemalt peaaegu mitte millegi eest – väike asi on tehingutasudes, mis olid plaani toimimiseks vajalikud, kuigi vähemalt ükski sellest rahast ei läinud otse kelmidele. (Tasud lähevad iga tehingu kaevandajatele.)

See võib olla suhteliselt tagasihoidlik tulemus ja võib-olla ühekordne võit, kuid me kiidame seda sellegipoolest!

---

Kas napib aega või teadmisi küberjulgeolekuohtudele reageerimiseks? Kas olete mures, et küberturvalisus tõmbab teie tähelepanu kõrvale kõigilt muudelt asjadelt, mida peate tegema?

Lisateave Sophose hallatav tuvastamine ja reageerimine:
Ööpäevaringne ohtude otsimine, avastamine ja reageerimine  ▶

---