Wzrasta liczba ataków ransomware

Po niedawnym spadku liczba ataków ransomware znów rośnie. Według dane wydane przez Grupa NCC, odrodzenie jest prowadzone przez stare grupy ransomware-as-a-service (RaaS).

Dzięki danym zebranym przez „aktywne monitorowanie witryn wycieków wykorzystywanych przez każdą grupę oprogramowania ransomware i zbieranie danych ofiar w miarę ich udostępniania” badacze ustalili, że Lockbit był zdecydowanie najbardziej płodnym gangiem ransomware w lipcu, za 62 atakami. To o dziesięć więcej niż miesiąc wcześniej i ponad dwa razy więcej niż druga i trzecia najbardziej płodna grupa razem wzięta. „Lockbit 3.0 utrzymuje swoją pozycję jako najbardziej zagrażająca grupa oprogramowania ransomware” – napisali autorzy – „i z którą wszystkie organizacje powinny być świadome”.

Te drugie i trzecie najbardziej płodne grupy to Hiveleaks – 27 ataków – i BlackBasta – 24 ataki. Liczby te reprezentują szybki wzrost w każdej grupie – od czerwca wzrost o 440 procent w przypadku Hiveleaks i 50 procent w przypadku BlackBasta.

Równie dobrze może się zdarzyć, że odrodzenie się ataków ransomware i powstanie tych dwóch konkretnych grup są ze sobą ściśle powiązane.

Dlaczego oprogramowanie ransomware odbiło się

Badacze z NCC Group naliczyli w lipcu 198 udanych kampanii ransomware – o 47 procent więcej niż w czerwcu. Choć może to być ostre nachylenie, wciąż jest trochę mniej niż wyznaczony na wiosnę poziom przypływu, z prawie 300 takimi kampaniami zarówno w marcu, jak i kwietniu.

Dlaczego strumień?

Cóż, w maju rząd Stanów Zjednoczonych zintensyfikował wysiłki przeciwko rosyjskiej cyberprzestępczości poprzez: oferuje do 15 milionów dolarów za cenne informacje o Conti, największym na świecie gangu zajmującym się oprogramowaniem ransomware. „Prawdopodobnie cyberprzestępcy, którzy przechodzili zmiany strukturalne” – spekulowali autorzy raportu – „zaczęli przyzwyczajać się do nowych sposobów działania, co skutkuje wzrostem ich całkowitych kompromisów”.

Hiveleaks i BlackBasta są wynikiem tej restrukturyzacji. Obie grupy są „związane z Conti”, zauważyli autorzy, Hiveleaks jako szczep stowarzyszony i BlackBasta jako szczep zastępczy. „W związku z tym wydaje się, że obecność Conti nie zajęło dużo czasu, aby przefiltrować się z powrotem do krajobrazu zagrożeń, aczkolwiek pod nową tożsamością”.

Teraz, gdy Conti właściwie podzielił się na dwie części, autorzy spekulowali, „nie byłoby zaskakujące, gdyby te liczby wzrosły w miarę zbliżania się do sierpnia”.