Проучване показва, че през първите три тримесечия на 2023 г. редица нови групи за рансъмуер са предизвикали рязък ръст на атаките

Според ново проучване на WithSecure рязкото увеличаване на броя на новите групи, използващи рансъмуер, е допринесло за увеличаване на нарушенията на сигурността на данните през 2023 г.

Специалистът по киберсигурност е проследил дейността на 60 групи за откуп през първите девет месеца на 2023 г., като 29 от тях са идентифицирани като нови банди.

През първите три тримесечия на 2023 г. се наблюдава значително увеличение на броя на изтичанията на данни, което WithSecure отчасти приписва на новите групи за откуп.

Доказателствата за методите на новите групи обаче показват, че това може да са филиали или бивши членове на вече несъществуващи колективи като Conti Group, известна с извършването на многоточкови атаки за изнудване.

Многоточковото изнудване е вид рансъмуер, при който извършителите използват няколко различни стратегии за изнудване, за да принудят жертвите да платят по-висок откуп.

Примерите за този тип атаки включват широко разпространената тактика за двойно изнудване с цел получаване на откуп, като например атаката Maze, която беше първият известен случай на многоточково изнудване.

Общата схема на тези видове атаки включва ексфилтриране и криптиране на данните на жертвата и последващо използване на заплахата от публикуване на тези данни, което ще ги направи достъпни за потенциални конкуренти в бранша, за да се окаже натиск върху жертвата да плати.

Според доклада честотата на ransomware атаките е нараснала през първите три месеца на 2023 г. Констатациите разкриват, че е налице 50% увеличение на изтичането на данни от групи за рансъмуер в сравнение със същия период през 2022 г.

Трябва да се отбележи обаче, че 2022 г. е била сравнително спокойна година за атаките с рансъмуер, като е спаднала с 23% в сравнение с 2021 г. според изследването на AAG.

Тази уговорка означава, че увеличението през 2023 г. може да не е толкова рязко, колкото се смяташе първоначално, но значителното увеличение на новите групи, които влизат в рамката на операторите на ransomware, продължава да има тревожни последици.

На първо място това показва, че ransomware остава доходоносен метод за генериране на приходи за хакерските групи и докато това не се промени, вероятно ще продължим да наблюдаваме нарастване на атаките от този вид в бъдеще.

Кой извършва тези атаки?

Въпреки наличието на нови оператори, значителна част от атаките с откуп, извършени тази година, са дело на утвърдени групи.

В доклада се посочва, че LockBit, отговорна за неотдавнашните атаки срещу Boeing и Royal Mail, и холандската футболна асоциация са отговорни за 21 % от изтичането на данни през 2023 г.

Това обаче е съпроводено от нови участници в пространството на рансъмуер. Около 25 % от изтичанията на данни през 2023 г., включени в анализа на WithSecure, са от групи за рансъмуер, които са започнали работа през същата година.

Новостта на тези групи не е сигурна, но WithSecure установи припокривания и сходства с методите на предишни  заплахи, известни с извършването на атаки с откупрансъмуер.

Анализаторът по разузнаване на заплахи Зиги Дейвис обясни, че атаките, наблюдавани в анализа на WithSecure, имат много характерни черти на предишни групи.

„Кодът и други аспекти на една конкретна операция за киберпрестъпност в крайна сметка се използват другаде, защото групите и техните членове често рециклират едни и същи ресурси, когато сменят този, за когото работят или с когото работят.“

„Много от новите групи, които видяхме тази година, имат ясен произход от по-стари операции за откуп. Например Akira и няколко други групи имат много сходства с вече несъществуващата група Conti и вероятно са бивши нейни филиали.“

Дейвис добави, че рециклирането на стари ресурси от страна на групите представлява източник на надежда за специалистите по сигурността, които искат да избегнат изтичане на данни от злонамерени групи в бъдеще.

„Ransomware остава ефективен източник на приходи за киберпрестъпниците, така че те в повечето случаи ще се придържат към същия основен наръчник, а няма да измислят [нещо] наистина ново или неочаквано. Това ги прави доста предвидими, което е добре за защитниците, защото те знаят срещу какво се изправят“, казва Дейвис.

Защитниците могат да проучат векторите на атака, използвани за получаване на достъп до мрежата на жертвата и за кражба на данни, и след това да въведат мерки за защита срещу това.