Ransom Mafia – Analisi del primo cartello ransomware al mondo
15 Aprile 2021
0
0
Analyst1 ha passato del tempo a scavare nei mercati criminali in cui le bande del cartello sono presenti per ricercare e analizzare le entità criminali all’interno del presunto cartello. Abbiamo esplorato il malware e gli strumenti utilizzati dai gruppi, monitorato le loro transazioni bitcoin e studiato i rapporti pertinenti di altri ricercatori sul campo insieme a media selezionati. La nostra ricerca ha identificato diversi risultati chiave che sono ulteriormente dettagliati nel nostro white paper ” Ransom Mafia: Analysis of the World’s First Ransom Cartel ” come:
1. Analist1 ha osservato che bande affiliate al Cartello distribuiscono / pubblicano dati sulle vittime attraverso siti Web di leak appartenenti ad altre bande all’interno del Cartello. In altre parole, una banda ha violato e rubato dati a una vittima e li ha passati a un’altra banda per pubblicarli e negoziare con la vittima.
2. Analist1 ha osservato più bande all’interno del Cartello che si coordinavano tramite i siti Web di perdite del cartello, inclusa la condivisione di tattiche, l’infrastruttura di comando e controllo e la condivisione / pubblicazione di dati sulle vittime.
3. Gli aggressori si stanno muovendo verso l’automazione dei loro attacchi. Diverse bande hanno aggiunto funzionalità automatizzate ai loro carichi di riscatto, consentendo loro di diffondere e infettare le loro vittime senza interazione umana.
4. Le richieste di riscatto continuano ad aumentare. Collettivamente, le bande del cartello hanno generato centinaia di milioni di dollari da operazioni di ransomware ed estorsione di dati.
5. Diverse gang del cartello offrono Ransomware as a Service (RaaS), assumendo hacker per eseguire attacchi fornendo loro malware, infrastruttura e servizi di negoziazione del riscatto.
6. Gli aggressori stanno diventando più audaci: ora stanno conducendo interviste di pubbliche relazioni con i giornalisti, rilasciando comunicati stampa e sfruttando annunci sui social media e call center per molestare e spingere le vittime a pagare.
7. Gli aggressori stanno reinvestendo i profitti ottenuti dalle operazioni di riscatto per promuovere tattiche e malware per aumentare il loro successo e le loro entrate. Il malware viene aggiornato regolarmente, aggiungendo nuove funzionalità sofisticate.
8. Una banda, Wizard Spider, ha sviluppato un malware unico orientato allo spionaggio. Analyst1 non è riuscito a convalidare il modo in cui Wizard Spider lo utilizza negli attacchi. La sua sola esistenza è preoccupante. Non abbiamo trovato nessun altro gruppo nel cartello che utilizza o sviluppa malware di spionaggio.
Panoramica del cartello
Attualmente esistono quattro gang di ransomware all’interno del Cartel: Twisted Spider 2 , Viking Spider 3 , Wizard Spider 3 e Lockbit 4 Gang, come mostrato nella Figura 1 di seguito.
Figura 1: ripartizione del cartello
Nota: la banda di SunCrypt non è più attiva, ma in precedenza ha rivendicato la fedeltà al cartello e da allora si è ritirata.
Le bande che compongono il cartello provengono dall’Europa orientale e parlano principalmente russo, sulla base di messaggi pubblicati in forum criminali clandestini. È interessante notare che tutte le bande creano controlli ed equilibri nel loro ransomware per garantire che il carico utile non venga eseguito sulle vittime russe. Qui, il malware controlla se la lingua del sistema corrisponde a un dialetto parlato nella Comunità degli Stati Indipendenti (CSI), che in precedenza costituiva l’Unione Sovietica. Gli aggressori avanzati spesso inseriscono intenzionalmente anche false flag nelle loro operazioni per sviare gli investigatori. Tuttavia, le bande del cartello fanno poco per nascondere il fatto di parlare russo e fanno di tutto per non prendere di mira le vittime all’interno dei territori russi affiliati.
Twisted Spider chi sono:
Durante la nostra ricerca sulle operazioni di Twisted Spider, Analyst1 ha identificato i seguenti risultati chiave associati alla banda di Twisted Spider:
- Twisted Spider ha condotto operazioni separate utilizzando il ransomware Maze da maggio 2019 a novembre 2020 e ha iniziato la transizione al ransomware Egregor da settembre 2020 a oggi. Ogni campagna utilizzava il proprio malware e la propria infrastruttura, principalmente separati l’uno dall’altro.
- Twisted Spider ha creato personaggi online per ogni campagna, uno utilizzando Maze e l’altro ransomware Egregor. Gli operatori che compongono la banda usano questi personaggi per parlare sia con i media che con i ricercatori sulla sicurezza. Durante le interviste ai media, discutono delle loro operazioni e relazioni con altre gang di ransomware. 5, 6
- Fin dal suo inizio, il gruppo ha utilizzato Egregor e Maze ransomware per estorcere almeno 75 milioni di dollari da aziende del settore privato, governi locali e ospedali. Riteniamo che questa cifra sia molto più significativa, ma possiamo solo valutare i pagamenti di riscatto pubblicamente riconosciuti. Molte vittime non denunciano mai pubblicamente quando pagano un riscatto.
- Twisted Spider utilizza una chiave (stringa / password) richiesta per l’esecuzione del payload Egregor; questo rende difficile l’analisi.
- La banda utilizza lo strumento open source RClone in combinazione con l’infrastruttura pubblica (server FTP, Dropbox, ecc.) Per copiare ed esfiltrare i dati delle vittime. 7
- La banda afferma di aver creato un cartello con altre famose bande di ransomware. Tuttavia, in seguito avrebbero tentato di annullare questa rivendicazione ritirando le loro operazioni di Maze e iniziando gli attacchi utilizzando il carico utile di Egregor. Tuttavia, le prove che discutiamo nella sezione Valutazione del cartello di questo rapporto supportano la teoria secondo cui Twisted Spider e altre bande lavorano insieme. Sia il loro ritiro che il ritorno sull’affiliazione al cartello dopo mesi di promozione è stato probabilmente un tentativo di allontanare i ricercatori e le forze dell’ordine.
Viking Spider chi sono:
Viking Spider ha avviato per la prima volta le operazioni di riscatto nel dicembre 2019. La banda utilizza un ransomware noto come Ragnar Locker per compromettere ed estorcere le organizzazioni. Di seguito sono riportati i risultati chiave identificati durante la ricerca sull’attività del ragno vichingo.
- Viking Spider è il primo aggressore ransomware a installare la propria macchina virtuale (VM) negli ambienti delle vittime per eludere il rilevamento; lo usano anche come punto di lancio per eseguire l’attacco. 8
- La banda è la prima a utilizzare gli annunci di Facebook per fare pressione sulle vittime affinché paghino il riscatto. 9
- Viking Spider affida in outsourcing i call center in India per contattare le vittime chiedendo loro di pagare il riscatto o di rischiare l’esposizione dei dati. 9
- Viking Spider utilizza il software MSP per fornire malware e hacktools, oltre a fornire l’accesso remoto agli ambienti delle vittime. 10
- Viking Spider è una delle poche bande che conducono attacchi DDoS oltre agli attacchi di riscatto per fare pressione sulle vittime affinché paghino. Una banda diversa del cartello ha usato per la prima volta questa tattica, ma Viking Spider l’ha adottata rapidamente.
- Viking Spider utilizza i social media come Twitter per “svergognare” pubblicamente le vittime non paganti.
Wizard Spider chi sono:
Wizard Spider è l’attaccante più esperto all’interno del Cartello. La banda ha iniziato le operazioni di riscatto nell’agosto 2018 e sono collegate ad altre operazioni criminali risalenti al 2016. L’analista1 ha identificato questi risultati chiave durante la nostra ricerca su Wizard Spider:
- Wizard Spider ha condotto operazioni di riscatto in precedenza utilizzando varianti di ransomware Gogalocker e MegaCortex (entrambi ora ritirati) e attualmente eseguono attacchi con Ryuk e Conti Ransomware.
- La banda lavora in più squadre, conducendo operazioni simultanee con diversi carichi di riscatto. Inoltre, hanno più malware e hacktools di qualsiasi altra banda associata al cartello.
- Wizard Spider ha sviluppato un malware unico orientato allo spionaggio noto come malware Sidoh. Analyst1 non ha potuto convalidare il modo in cui Wizard Spider utilizza Sidoh negli attacchi; tuttavia, la sua sola esistenza è preoccupante. Non abbiamo trovato nessun’altra banda nel cartello che utilizza o sviluppa malware di spionaggio. 11
- Conti Ransomware utilizza 32 thread della CPU contemporaneamente per sconfiggere le difese e crittografare i dati, molto più velocemente di qualsiasi altra variante.
- A partire da febbraio 2021, Ryuk Ransomware include una nuova funzionalità Wake-on-LAN, che gli consente di rilevare e diffondersi automaticamente ai sistemi delle vittime nell’ambiente di destinazione. 12
La banda Lockbit chi sono:
La Lockbit Gang è entrata per la prima volta sulla scena dei ransomware aziendali nel settembre 2020. Proprio come le altre gang discusse finora, Lockbit porta le sue tattiche uniche nel gioco del ransomware. Analyst1 ha trovato i seguenti risultati durante la ricerca sulla Lockbit Gang:
- La Lockbit Gang è stata la prima ad automatizzare gli attacchi e rimane l’attaccante più efficiente associato al cartello.
- Lockbit ransomware utilizza una tecnica di auto-propagazione. Al momento dell’esecuzione, emette una richiesta ARP per identificare i dispositivi all’interno dell’ambiente e si connette utilizzando il protocollo SMB per diffondersi. 13 Una volta connesso a un host live, esegue un comando PowerShell che si connette all’infrastruttura C&C dell’attaccante e scarica il payload del riscatto (spesso camuffato da file immagine). 14
- Almeno una volta, l’aggressore ha sovrascritto il Master Boot Record (MBR) che richiede una password per l’avvio. La Lockbit Gang ha ottenuto questo risultato attraverso l’uso dello strumento open source BCDedit. BCDedit è uno strumento da riga di comando che può modificare la configurazione di avvio nei sistemi operativi MS Windows. 15
- La Lockbit Gang conduce interviste sui loro attacchi con i media.
La SunCrypt Gang chi sono:
La banda di SunCrypt ha iniziato a condurre attacchi ransomware nell’ottobre 2019. Analyst1 ha studiato gli attacchi e la progressione delle operazioni di SunCrypt fino ai giorni nostri e ha trovato i seguenti risultati chiave:
- SunCrypt è il primo gruppo a introdurre attacchi denial of service come tattica di estorsione utilizzata in combinazione con attacchi ransomware aziendali.
- La SunCrypt Gang ha affermato di essere affiliata sia a Twisted Spider che al Cartel. Twisted Spider ha contestato entrambe le affermazioni in un’intervista con Bleeping Computer. 16
- SunCrypt ransomware utilizza il cifrario del flusso Cha Cha 20 trovato nei payload di Twisted Spider’s Maze ed Egregor ransomware.
- Il ransomware della SunCrypt Gang comunicava con due indirizzi IP C&C che Twisted Spider utilizzava in precedenza nelle loro operazioni di ransomware Maze. Questi risultati sono significativi, dal momento che Twisted Spider contesta l’affiliazione al cartello della SunCrypt Gang.
- Le operazioni sono cessate nell’ottobre 2020, ma i trasferimenti dai portafogli bitcoin finanziati dalle vittime continuano fino a novembre 2020.
Valutazione del cartello Ramsonware
Nel novembre 2020, Twisted Spider – la banda che ha dato inizio al cartello – ha annunciato che stavano interrompendo le loro operazioni. In un’ulteriore svolta, hanno anche affermato che il cartello non è mai esistito! Nel loro ultimo comunicato stampa, Twisted Spider ha affermato che il cartello era reale solo nelle menti dei giornalisti 17 . Sulla base degli eventi descritti nel nostro white paper e dei legami specifici tra le bande all’interno del Cartello (delineati di seguito), le affermazioni di Twisted Spider non sono vere.
L’affermazione iniziale che la banda si stava ritirando era fuorviante. Le tattiche utilizzate negli attacchi si sovrappongono all’infrastruttura e le somiglianze tecniche tra Egregor e Maze ransomware hanno una forte attribuzione. Chiaramente, Twisted Spider era dietro a entrambe le operazioni. La seconda affermazione secondo cui il cartello non è mai esistito non era così chiara.
Twisted Spider, Viking Spider, Wizard Spider, la banda Lockbit e la banda SunCrypt hanno affermato di essere un cartello ransomware. Perché tutte queste bande criminali avrebbero parlato pubblicamente, affermando che si erano unite? Per valutare ulteriormente, Analyst1 ha esaminato le prove per fare la nostra valutazione.
Il primo legame che abbiamo trovato ha fornito la prova che i gruppi stanno lavorando insieme e condividendo risorse per estorcere le vittime. Diverse bande hanno compromesso e rubato i dati delle vittime, che hanno trasmesso a Twisted Spider. Twisted Spider ha quindi pubblicato i dati della vittima e ha tentato di negoziare un riscatto sul loro sito di fuga di dati. Questo tipo di collaborazione e condivisione non si verificherebbe a meno che tutti e tre gli elementi criminali non avessero una relazione di fiducia l’uno con l’altro. La Figura 2 di seguito è una visualizzazione che descrive in dettaglio diversi legami, di cui parleremo in seguito.
Figura 2: legami di cartello A e B
Legame A: dati condivisi sulle vittime e siti di fuga di notizie
Nel maggio 2020, Viking Spider ha compromesso MJ Brunner di brunnerworks.com. Dopo il compromesso, Viking Spider ha pubblicato i dati di Brunner sul loro sito di fuga, ragnerleaks [.] Top. Poche settimane dopo, nel giugno 2020, Twisted Spider ha pubblicato i dati di Brunner per conto di Viking Spider insieme a messaggi minacciosi al loro sito di fuga di dati, mazenews [.] Top. Non molto tempo dopo, si verificò una situazione simile. Questa volta, la Lockbit Gang ha violato e ha tentato di estorcere un obiettivo: lo Smith Group. Al momento, tuttavia, la Lockbit Gang non aveva un sito di fuga di dati. Nel tentativo continuo di condividere le risorse del Cartello, Twisted Spider ha pubblicato i dati rubati sul proprio sito, mazenews [.] Top, per conto della banda Lockbit. Inoltre, Twisted Spider ha fatto riferimento sia al Cartello che a ciascun membro della banda che originariamente aveva rubato i dati in entrambe le occasioni. La figura 3 mostra i post seguenti:
Figura 3: sito di fuga di dati di Twisted Spiders, Mazenews [.] In alto che mostra i dati rubati dal ragno vichingo (Ragnar) e dalla banda Lockbit. 2, 3
Legame B: infrastruttura condivisa del cartello Ramsonware
Abbiamo accennato in precedenza che la SunCrypt Gang ha detto a Bleeping Computer nell’agosto 2020 di essersi unita al cartello, cosa che Twisted Spider ha contestato. Tuttavia, a partire dall’ottobre 2020 nelle prime operazioni, Twisted Spider ha utilizzato due indirizzi IP, 91.218.114 [.] 30, 31 per l’infrastruttura di comando e controllo. 29, 30Dieci mesi dopo, la SunCrypt Gang ha utilizzato gli stessi indirizzi IP per il comando e controllo per fornire ransomware nei loro attacchi. Certo, il legame sarebbe più forte se l’IP utilizzato nelle operazioni di riscatto avesse avuto luogo nello stesso lasso di tempo. Tuttavia, Twisted Spider ha utilizzato la gamma 91.218.114.3X per attacchi per almeno sei mesi. L’uso esteso e l’intervallo di indirizzi indicano che si trattava di un’infrastruttura persistente che Twisted Spider utilizzava e controllava frequentemente. È improbabile che la SunCrypt Gang avrebbe accesso all’infrastruttura se non avesse avuto un rapporto di fiducia con Twisted Spider. La tabella 1 di seguito descrive in dettaglio le prove a sostegno del legame B.
Altri legami:
Esistono anche molti altri legami circostanziali e tecnici. Questi sono legami più deboli e non dovresti usarli per l’attribuzione da soli. Collettivamente, tuttavia, vale la pena discuterne:
- Maze ed Egregor ransomware (Twisted Spider) e SunCrypt ransomware (SunCrypt Gang) utilizzano la crittografia del flusso Cha Cha per crittografare i dati.
- Tutte le bande creano controlli ed equilibri nel loro ransomware per garantire che il carico utile non venga eseguito sulle vittime russe.
- Le gang del cartello condividono e si adattano le tattiche dell’altro:
- Doppia tecnica di estorsione (furto di dati e crittografia dei dati)
- DDoS in combinazione con furto di dati e crittografia dei dati
- Utilizzo della VM all’interno degli ambienti delle vittime per eseguire attacchi ed evitare il rilevamento
- Uso di siti Web di fuga di dati per nominare e vergognare
- Inoltre, ogni banda discussa ha rivendicato l’affiliazione al cartello. Alcune delle bande hanno pubblicamente fatto queste affermazioni ai giornalisti, mentre altre hanno pubblicato su siti di fuga di notizie e social media.
Analyst1 valuta che il cartello non sia un’entità autentica, ma piuttosto un collettivo di bande criminali che, a volte, lavorano insieme in operazioni di riscatto. Tuttavia, ci deve essere qualcosa di più della cooperazione, delle risorse e della condivisione tattica tra le bande affinché la loro partnership si qualifichi come un vero cartello. La condivisione dei profitti è l’elemento principale mancante nella coalizione di aggressori ransomware discussi. I cartelli sono pericolosi a causa delle grandi risorse finanziarie fornite dalla partecipazione agli utili.
Analyst1 ha ricercato tutti i portafogli bitcoin conosciuti e le transazioni associate associate alle bande discusse. Abbiamo seguito la scia del denaro e osservato esempi di vittime che pagano una banda e bande che pagano i loro affiliati, ma non abbiamo trovato alcuna prova che le bande condividano i profitti con altre bande del Cartello.
Crediamo che le bande abbiano creato la facciata del cartello per apparire più grande, più forte più potente per intimidire ulteriormente le vittime e farle pagare richieste di riscatto. L’illusione e le affermazioni pubbliche fatte sul cartello hanno ottenuto l’effetto desiderato; tuttavia, ha anche attirato l’attenzione globale delle forze dell’ordine e degli enti governativi. Riteniamo che questo abbia spinto Twisted Spider a mentire sul ritiro, e questo spiega perché hanno tentato di ritirare la loro affiliazione al cartello. Per gli stessi motivi, Twisted Spider ha smesso di comunicare pubblicamente e non usa più i social media o i comunicati stampa per esprimere le proprie richieste.
Andando avanti, Analyst1 ritiene che queste bande di ransomware continueranno a lavorare l’una con l’altra. Il rapporto di lavoro, tuttavia, continuerà probabilmente a svolgersi dietro le quinte e non a livello pubblico. I gruppi continueranno a condividere tattiche e risorse, rendendoli molto più pericolosi che se operassero in modo indipendente. Sia il ransomware che il malware utilizzati per ottenere la compromissione iniziale aumenteranno i loro livelli di sofisticazione e capacità. Nello specifico, Analyst1 ritiene che le gang di ransomware concentreranno gli sforzi di sviluppo per automatizzare gli attacchi. Le nuove capacità che le gang stanno introducendo nel loro ransomware dimostrano che l’automazione è essenziale. Analyst1 ritiene che questa tendenza continuerà a rendere le operazioni di ransomware più efficienti e pericolose. Con l’aumentare delle capacità di automazione, l’uso di hacker affiliati diminuirà. Ciò significa che le gang di ransomware non devono condividere i profitti con gli affiliati, aumentando così le entrate derivanti da ogni attacco. Con la diminuzione del lasso di tempo necessario per eseguire ogni attacco, Analyst1 ritiene che il volume complessivo degli attacchi aumenterà, aumentando il numero di vittime estorte.
Note finali:
1. Infosecurity Magazine. “La polizia arresta i membri di Egregor Ransomware” Accesso 16 febbraio 2021 https://www.infosecurity-magazine.com/news/police-arrest-egregor-ransomware/
2. CrowdStrike. “Ransomware + Data Leak Extortion: Origins and Adversaries, pt. 1 “, 24 settembre 2020. https://www.crowdstrike.com/blog/double-trouble-ransomware-data-leak-extortion-part-1/ .
3. CrowdStrike. “Double Trouble: Ransomware with Data Leak Extortion, Part 2” Accesso 3 marzo 2021. https://www.crowdstrike.com/blog/double-trouble-ransomware-data-leak-extortion-part-2/
4. BleepingComputer. “Le bande di ransomware si uniscono per formare un cartello di estorsioni”. https://www.bleepingcomputer.com/news/security/ransomware-gangs-team-up-to-form-extortion-cartel/
5. BleepingComputer. “Canon conferma pubblicamente August Ransomware Attack, Data Theft.” Accesso 24 marzo 2021. https://www.bleepingcomputer.com/news/security/canon-publicly-confirms-august-ransomware-attack-data-theft/ .
6. BleepingComputer. “SunCrypt Ransomware fa luce sul cartello Maze Ransomware”. Accesso 24 marzo 2021. https://www.bleepingcomputer.com/news/security/suncrypt-ransomware-sheds-light-on-the-maze-ransomware-cartel/ .
7. SentinelLabs. “Egregor RaaS Continua il caos con Cobalt Strike e Rclone”, 25 novembre 2020. https://labs.sentinelone.com/egregor-raas-continues-the-chaos-with-cobalt-strike-and-rclone/ .
8. “Ragnar Locker Ransomware distribuisce la macchina virtuale per Dodge Security”. Sophos News (blog), 21 maggio 2020. https://news.sophos.com/en-us/2020/05/21/ragnar-locker-ransomware-deploys-virtual-machine-to-dodge-security/ .
9. “Il gruppo ransomware si rivolge agli annunci di Facebook – Krebs on Security”. Accesso 24 marzo 2021. https://krebsonsecurity.com/2020/11/ransomware-group-turns-to-facebook-ads/ .
10. BleepingComputer. “Ragnar Locker Ransomware prende di mira gli strumenti di supporto di MSP Enterprise”. Accesso 24 marzo 2021. https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-targets-msp-enterprise-support-tools/ .
11. “Rapporto sulla minaccia globale 2020”. Rapporto sulla sicurezza informatica. Crowdstrike, 2020. https://go.crowdstrike.com/rs/281-OBQ-266/images/Report2020CrowdStrikeGlobalThreatReport.pdf.
12. BleepingComputer. “Il ransomware Ryuk ora si diffonde automaticamente ad altri dispositivi LAN Windows”. https://www.bleepingcomputer.com/news/security/ryuk-ransomware-now-self-spreads-to-other-windows-lan-devices/
13. “LockBit Ransomware Analysis: Rapid Detonation Using a Single Compromised Credential.” Accesso effettuato il 26 marzo 2021. https://www.darktrace.com/en/blog/lock-bit-ransomware-analysis-rapid-detonation-using-a-single-compromised-credential.
14. Gallagher, Sean. “LockBit utilizza strumenti di attacco automatizzati per identificare obiettivi gustosi”. Sophos News (blog), 21 ottobre 2020. https://news.sophos.com/en-us/2020/10/21/lockbit-attackers-uses-automated-attack-tools-to-identify-tasty-targets / .
15. Il rapporto DFIR. “Lockbit Ransomware, Why You No Spread?”, 10 giugno 2020. https://thedfirreport.com/2020/06/10/lockbit-ransomware-why-you-no-spread/ .
16. BleepingComputer. “SunCrypt Ransomware fa luce sul cartello Maze Ransomware”. Accesso 26 marzo 2021. https://www.bleepingcomputer.com/news/security/suncrypt-ransomware-sheds-light-on-the-maze-ransomware-cartel/ .
17. BleepingComputer. “Il ransomware Maze interrompe le operazioni e nega la creazione di un cartello”. Accesso 19 marzo 2021. https://www.bleepingcomputer.com/news/security/maze-ransomware-shuts-down-operations-denies-creating-cartel/
