Quem lucra com o ransomware?
O ransomware é o tipo de ataque cibernético com maior probabilidade de virar notícia, pois traz consequências dramáticas e devastadoras. Sofrer um ataque cibernético como o ransomware também é suficiente para infligir um golpe fatal à maioria das empresas – 60% das empresas atingidas por um ataque cibernético fecham as portas em até 6 meses. Proteger as empresas contra o ransomware é vital para mantê-las em atividade. Um incidente de ransomware pode devastar o orçamento de uma empresa, mas é uma fonte de renda para os criminosos. Todo ataque de ransomware envolve muitos participantes para que a ação seja concretizada, e todos eles estão envolvidos pelo mesmo motivo: dinheiro. Independentemente de uma empresa pagar ou não o resgate após ser vítima de um ataque de ransomware, a economia do crime cibernético na dark web sai fortalecida.
Como funcionam as operações de ransomware?
Quando uma empresa paga um resgate, esse dinheiro circula por toda a dark web. Os resgates não vão apenas para uma única pessoa ou organização — até mesmo um participante secundário em um ataque de ransomware lucra com isso. O setor de ransomware é um ecossistema próprio e um dos principais contribuintes para a economia da dark web. Ela também faz parte do setor de “crime cibernético como serviço”. Essa é uma das principais razões pelas quais cibercriminosos de todos os tipos não hesitam em se envolver em uma operação de ransomware. Esses criminosos têm grandes chances de sair com uma quantia substancial em dinheiro, e todos recebem sua parte.
As grandes e poderosas quadrilhas de ransomware raramente conduzem campanhas por conta própria. Em vez disso, elas operam plataformas de “crime cibernético como serviço” que os cibercriminosos podem usar para realizar operações, atrair talentos, estabelecer contatos com freelancers e receber pagamentos. A gangue principal ganha dinheiro com sua parte nos lucros quando ocorre um ataque de ransomware bem-sucedido sob seus auspícios. Esses ataques são conduzidos por contratados independentes aliados, conhecidos como afiliados. São os afiliados que realizam o trabalho diário de montar um ataque de ransomware bem-sucedido.
O afiliado é responsável por conduzir todas as etapas de um ataque de ransomware contra o alvo escolhido, desde o planejamento até a execução e o recebimento do pagamento. O afiliado pode ser uma gangue menor ou apenas um grupo de freelancers que se reúne para um único trabalho. É comum que os afiliados contratem especialistas e freelancers para as operações, como criadores especializados em spear phishing ou hackers experientes. Às vezes, a gangue principal fornece o malware; outras vezes, o afiliado pode preferir usar o seu próprio. Independentemente de como o afiliado realize o trabalho, se o ataque for bem-sucedido, ele é obrigado a repassar uma parte dos lucros para o chefe — a gangue que administra a plataforma —, geralmentede 10% a 20%do total arrecadado, além de pagar quaisquer subcontratados que tenha contratado. O restante do dinheiro fica para ele.
Vagas em aberto: uma organização especializada em ransomware
Todo mundo está em busca de bons profissionais, pois os funcionários certos são um componente essencial para o sucesso de uma empresa — até mesmo as quadrilhas de crimes cibernéticos. Depois que dois fóruns russos de grande notoriedade baniram os operadores de ransomware, duas grandes quadrilhas do tipo, identificadas como Himalaya e LockBit, passarama usar seus próprios sitespara promover suas ferramentas de criptografia e recrutar novos afiliados. A LockBit havia acabado de lançar uma nova versão de seu ransomware característico e tentou aproveitar o desempenho aprimorado do software como forma de atrair talentos. O Himalaya foi direto ao ponto,divulgandoem seu siteos generosos pagamentosque oferece aos associados, assim como qualquer outra empresa que esteja procurando por profissionais.
Mas nem todas as gangues estão contratando pessoas na rua. Vários dos maiores operadores de ransomware nem sequer fazem recrutamento público. Em vez disso, é preciso conhecer alguém na organização para conseguir entrar, assim como em uma operação criminosa tradicional. Você não vai ver anúncios de contratação de uma organização como a REvil. Especialistas observam que a gangue REvil prefere operar discretamente e contar com sua rede de afiliados e contatos para recrutar novos membros quando necessário. Outros atores do cibercrime também preferem manter o silêncio e trabalhar nas sombras, e grupos que realizam operações como o comprometimento de e-mails corporativos (BEC) como parte de suas atividades de ransomware têm um interesse especial em permanecer invisíveis. Na esteira da caçada internacional aos hackers envolvidos no ataque do DarkSide à Colonial Pipeline, muitos grupos, hackers e corretores de dados passaram a agir de forma ainda mais clandestina. Grupos ligados a Estados-nação também nunca contratam, preferindo contar com uma rede confiável de atores de ameaças aliados para realizar seu trabalho.
O dinheiro circula na Dark Web
A demanda por todos os tipos de serviços especializados em crimes cibernéticos é alta — especialistas estimam que 90% das postagens em fóruns populares da dark web sejam de compradores que buscam contratar alguém para serviços de hacking. Estima-se que 69% dessas postagens de contratação em fóruns da dark web buscavam cibercriminosos para hackear sites, enquanto outros 21% procuravam criminosos capazes de obter bancos de dados de usuários ou clientes especificamente visados. Nem todos os “hackers” são, de fato, hackers. Alguns possuem conhecimento especializado em áreas altamente específicas, como engenharia social ou operações de spear phishing. Os supostos cibercriminosos também podem lucrar com a venda de suas próprias tecnologias. Pouco mais de 2% das postagens nos fóruns analisadas pelos pesquisadores foram feitas por desenvolvedores cibercriminosos que vendiam ferramentas do ramo, como quebra-senhas, skimmers de pagamento, malware, ransomware e outros programas de hacking. Os hackers também usam esses fóruns como forma de conhecer pessoas interessadas em planejar ou participar de ataques cibernéticos — cerca de 1% das postagens analisadas nos fóruns da dark web foram feitas por hackers em busca de outros hackers para formar uma equipe.
As organizações de crime cibernético também estão dispostas a pagar muito dinheiro por esse acesso. Os fóruns populares da dark web são a versão do LinkedIn para os cibercriminosos. Aproximadamente 40% dos anúncios analisados por pesquisadores em um estudo de 2020 foram criados por participantes do setor de Ransomware como Serviço (RaaS). As quadrilhas ofereciam até US$ 100.000 por serviços de acesso inicial, com a maioria dos participantes fixando seu preço máximo em pouco mais da metade desse valor, US$ 56.250. Em outros anúncios publicados em um fórum popular, os agentes de ameaças buscavam alvos especificamente nos EUA, Canadá, Austrália e Grã-Bretanha com receita de US$ 100 milhões ou mais. Por esse acesso, eles estavam dispostos a pagar de US$ 3.000 a US$ 100.000 – e isso é o suficiente para seduzir funcionários, especialmente em circunstâncias econômicas difíceis.
Por dentro do ataque de ransomware à Colonial Pipeline
A maioria dos ataques de ransomware consiste em operações complexas e obscuras, e os detalhes exatos raramente vêm à tona. Mas o incidente envolvendo o ransomware na Colonial Pipeline foi amplamente investigado, pesquisado e divulgado, proporcionando a todos uma rara visão privilegiada de como exatamente ocorre um ataque de ransomware que causa danos à infraestrutura. Esse incidente colocou o ransomware ainda mais no centro das atenções, além de estimular a adoção de medidas por governos em todo o mundo — incluindo o governo dos EUA — para proteger a infraestrutura contra o ransomware e punir os cibercriminosos. O governo dos EUA inaugurou recentemente um “Ransomware One-Stop” para ajudar as empresas americanas a combater o problema.
O grupo de ransomwareDarkSideganhou notoriedade por realizar um ataque bem-sucedido contra a Colonial Pipeline, obtendo um ganho estimado em pouco mais de US$ 4 milhões. Mas essa operação não foi conduzida diretamente pelos desenvolvedores e operadores do DarkSide. Em vez disso, o ataque à Colonial Pipeline foi realizado por uma afiliada da operação mais ampla, utilizando o malware proprietário do DarkSide. Essa afiliada contratou seus próprios subcontratados por meio de fóruns da dark web e reuniu recursos de mercados de dados e dumps da dark web para realizar o ataque.
Então, o grupo de hackers “Satellite” acionou sua armadilha, atacando a Colonial Pipeline em um ataque devastador que paralisou o maior oleoduto de combustível dos EUA. O ponto de entrada do grupo foi uma única senha de funcionário comprometida, que lhes deu as chaves do reino, provavelmente obtida por meio de spear phishing. O afiliado do DarkSide conseguiu então se infiltrar facilmente na segurança reconhecidamente negligente da Colonial Pipeline e entregar sua carga venenosa: o ransomware exclusivo do DarkSide, para criptografar os sistemas e dados da Colonial Pipeline. Depois disso, veio a parte fácil – o afiliado configurou um temporizador para a ativação do malware, fez sua exigência de resgate e ficou à espera do dinheiro.
Pouco mais de uma semana após a invasão inicial, a infecção por ransomware teve início, dando início à fase final da operação do afiliado. Um funcionário que iniciava seu dia de trabalho na sala de controle central da Colonial Pipeline viu uma nota de resgate exigindo criptomoeda aparecer em seu computador e chamou seu supervisor. Então começou a corrida para a Colonial Pipeline, que tentava se antecipar à infecção para preservar seus sistemas e dados. Depois de desligar o oleoduto para tentar minimizar os danos e impedir que os hackers avançassem ainda mais, a Colonial não teve outra escolha a não ser recorrer a especialistas para ajudar — a situação estava muito além de sua capacidade de lidar com ela internamente.
Os invasores paralisaram a Colonial Pipeline, causando efeitos devastadores. Eles também roubaram quase 100 gigabytes de dados. No fim das contas, o ataque do afiliado do DarkSide foi um sucesso estrondoso. A Colonial Pipeline pagou aos invasores um resgate de US$ 4,4 milhões em pouco tempo. De acordo com pesquisadores daFireEye, os afiliados do DarkSide são obrigados a repassar ao grupo principal até 25% dos pagamentos de resgate inferiores a US$ 500 mil e 10% de qualquer resgate recebido com sucesso acima de US$ 5 milhões.
O ransomware é muito lucrativo, especialmente a variante de criptografia dupla preferida pelo DarkSide. Antes de o grupo desaparecer após o incidente com a Colonial Pipeline, o DarkSide havia recebido US$ 90 milhões em pagamentos de resgate em bitcoin ao longo de sua curta existência, de acordo com analistas de blockchain daElliptic. Eles estimaram ainda que o pagamento médio de resgate em uma operação do DarkSide era de cerca de US$ 1,9 milhão. Do total arrecadado pelas operações do DarkSide, esses especialistas estimam que US$ 15,5 milhões foram para o desenvolvedor do DarkSide, enquanto US$ 74,7 milhões foram para seus afiliados.
Acabe com o ransomware combatendo o phishing
Uma das melhores maneiras de proteger uma empresa contra ransomware é protegê-la contra phishing. Estima-se que 94% dos ataques de ransomware cheguem às empresas por e-mail. Essas mensagens costumam utilizar técnicas sofisticadas de engenharia social para induzir os funcionários a baixar um anexo, acessar um site malicioso ou fornecer suas credenciais a cibercriminosos. Para impedir o ransomware, é preciso, antes de tudo, impedir que as mensagens de phishing cheguem às caixas de entrada dos funcionários.
Sua empresa precisa de uma solução de segurança de e-mail robusta e automatizada, capaz de oferecer proteção avançada contra mensagens maliciosas que contenham ameaças como ransomware, sem um custo elevado. OGraphus atende a essa necessidade.
- Uma sofisticada automação de segurança de e-mail oferece três camadas de proteção entre sua empresa e as mensagens de phishing
- Soluções automatizadas de e-mail, como oGraphus , detectam 40% mais mensagens maliciosas do que as soluções convencionais ou um SEG
- A IA inteligente nunca precisa de relatórios de ameaças; em vez disso, ela utiliza mais de 50 pontos de comparação para detectar ataques direcionados de spear phishing, ransomware, ataques de dia zero e outras ameaças complexas.
Não espere até ter que arcar com os custos de um ataque de ransomware para melhorar a segurança do seu e-mail – 60% das empresas atingidas por um ataque cibernético acabam fechando as portas. Acabe com o phishing imediatamente com oGraphus – a defesa contra phishing mais simples, automatizada e acessível disponível atualmente. Entre em contato com um de nossos especialistas em soluções hoje mesmo e coloque em prática para a sua empresa uma proteção que nunca tira um dia de folga.
