19 мая 2022

Аттракцион невиданной жадности: средний запрашиваемый выкуп вымогателей достиг $247 000

Group-IB, один из лидеров в сфере кибербезопасности, второй год подряд выпускает отчет, посвященный самой опасной угрозе для бизнеса и госсектора во всем мире. В новом отчете «Программы-вымогатели 2021-2022» названы самые агрессивные операторы шифровальщиков, совершившие наибольшее число кибератак в мире — в 2021 году ими стали группы LockBit, Conti и Pysa. Запрашиваемые злоумышленниками суммы выкупа в прошлом году достигли астрономических величин — средний размер требуемого выкупа вырос до $247 000. Россия уже перестала быть тихой гаванью — количество реагирований Лаборатории цифровой криминалистики Group-IB на атаки программ-вымогателей в первом квартале 2022 года выросло в 4 раза по сравнению с Q1 2021 года.

Шифровальщики на карте мира

Третий год подряд атаки программ-вымогателей являются одной из самых серьезных и разрушительных киберугроз. Исследовав более 700 атак в 2021 году, эксперты Group-IB, выяснили, что основные цели вымогателей по-прежнему расположены в Северной Америке, Европе, Латинской Америки, Азиатско-Тихоокеанском регионе. Среди самых нашумевших инцидентов 2021 года с участием шифровальщиков оказались нападения на концерн Toshiba, американскую трубопроводную систему Colonial Pipeline, крупнейшего производителя мяса JBS Foods, и IT-гиганта Kaseya. Рекорд по жадности поставили вымогатели из Hive — они потребовали от немецкого холдинга MediaMarkt выкуп в $240 млн. Среднее время простоя атакованной компании в 2021 году увеличилось с 18 дней до 22 дней.

В 2021 году количество атак программ-вымогателей на российские компании увеличилось более чем на 200%. Наиболее активными в России оказались операторы шифровальщиков Dharma, Crylock, Thanos. А вот русскоязычная группа OldGremlin хотя в 2021 году заметно снизила свою активность — хакеры провели всего одну массовую рассылку (для сравнения: в 2020 году их было 10!), однако атака оказалась настолько успешной, что кормила «гремлинов» весь год. Например, у одной из жертв вымогатели потребовали за расшифровку данных рекордную для России сумму — 250 млн рублей.

В первом квартале 2022 года количество реагирований экспертов Лаборатории цифровой криминалистики Group-IB на атаки программ-вымогателей в России выросло в 4 раза по сравнению с аналогичным периодом 2021 года. В последнее время шифровальщики нацелены в России исключительно на крупный бизнес — от 5000 сотрудников — из отраслей строительства, страхования, агропромышленного комплекса.

Охота за данными

Новой тенденцией, согласно исследованию «Программы вымогатели 2021-2022», стал отход на второй план шифрования, как инструмента давления на жертву. Теперь главный «рычаг» для шантажа с целью выкупа — угроза выложить конфиденциальные данные компаний-жертв в публичный доступ на так называемые DLS (Dedicated Leak Site). В 2021 году этим методом пользовалось подавляющее большинство шифровальщиков — 63%.

Как отмечала Group-IB в отчете Hi-Tech Crime Trends H2 2020 / H1 2021, использование вымогателями DLS для давления на жертву, чтобы заставить ее заплатить выкуп под угрозой обнародования похищенных данных в публичном доступе, достигло пика именно в 2021 году. Число новых DLS выросло более, чем вдвое — с 13 до 28, при этом количество выложенных данных компаний за год увеличилось на беспрецедентные 935% — с 229 жертв до 2 371. При этом атакующие стали гораздо быстрее добиваться своих целей: если раньше среднее время нахождения шифровальщиков в сети жертвы составляло 13 дней, то в прошлом году оно сократилось до 9.

Еще одной тенденций 2021 года стал «ребрендинг» Этим «маркетинговым» инструментом операторы шифровальщиков стали пользоваться в ответ на повышенное внимание к ним со стороны исследователей и правоохранительных органов. После того как DarkSide и REvil исчезли из публичного пространства, на сцене появился новой игрок — BlackMatter, затем его сменил BlackCat. Чуть ранее, весной группа DoppelPaymer переименовала свои новые программы-вымогатели в Grief (Pay OR Grief).

Развитие модели Ransomware-as-a-Service («Вымогательство как услуга») привело не только к масштабированию преступного бизнеса, но и его унификации. Тактики, техники и инструменты злоумышленников во многом стали пересекаться. Многие партнеры переходили от одной программы к другой или даже работали сразу с несколькими. Например, некоторые партнеры группы Conti выложили в открытый доступ внутренние руководства и инструменты для совместного использования.

Точка входа: векторы атаки, тактики и инструменты

Как и в позапрошлом году, самым частым способом получения первоначального доступа в сети компаний стала компрометация публичных RDP-серверов. На этот вектор атаки приходится почти половина (47%) всех исследованных инцидентов — многие из сотрудников по-прежнему работали на удаленке. На втором месте — фишинг (26%), на третьем — эксплуатация общедоступных приложений (21%).

В 2021 году некоторые операторы шифровальщиков стали использовать доступ к уязвимостям «нулевого дня». Так, партнеры REvil атаковали тысячи клиентов Kaseya, эксплуатируя уязвимости 0-day в серверах VSA. Другой пример — группировка FIN11, стоящая за шифровальщиком Clop эксплуатировала ряд уязвимостей нулевого дня в устаревшем средстве для передачи файлов Accellion File Transfer Appliance (FTA).

Если в 2020 году отдельные вредоносные боты (Emotet, Qakbot, IcedID) были закреплены за определенными участниками партнерских программ шифровальщиков, то в прошлом году атрибуция стала не столь очевидной. Например, IcedID использовали для получения первоначального доступа в сети компаний несколько участников партнерских программ шифровальщиков — Egregor, REvil, Conti, XingLocker, RansomExx.

А вот партнеры вымогателя Ruyk для первоначального доступа в сети жертвы использовали бот BazarLoader и в весьма экзотической схеме. Он распространялся не только через фишинг — рассылку спам-писем о платных подписках, но и через вишинг. Во время телефонного разговора злоумышленники обманом заставляли жертву посетить подложный сайт и давали инструкции о том, как скачать и открыть вредоносный документ, который скачивал и запустил BazarLoader.

Наиболее популярным инструментом у вымогателей для пост-эксплуатации ожидаемо оказался Cobalt Strike — он был замечен в 60% исследованных атак шифровальщиков. Тем не менее, некоторые злоумышленники начали экспериментировать с менее распространенными фреймворками, чтобы снизить вероятность обнаружения. К примеру, группировка TA551 экспериментировала с доставкой вредоносного программного обеспечения на основе кроссплатформенного фреймворка Sliver.

В 2021 году киберугроза №1 впервые получила серьезный отпор — начались аресты участников преступных групп, часть вымогателей вынуждены были залечь «на дно» или замести следы, проводя ребрендинг. Однако, несмотря на некоторую обеспокоенность киберпреступного сообщества, атаки представителей других партнерских программ продолжаются — так что говорить о закате шифровальщиков пока еще рано. Почти 70% инцидентов, над расследованием которых работает наша Лаборатория, приходятся на атаки с использованием программ-вымогателей и мы полагаем эта тенденция сохранится и в текущем году.

Олег Скулкин

Олег Скулкин

Руководитель Лаборатории цифровой криминалистики Group-IB

Полученные в ходе исследования «Программы-вымогатели 2021-2022» результаты были сопоставлены и описаны в соответствии с матрицей MITRE ATT&CK®, публичной базой знаний, в которой собраны тактики и техники целевых атак.

Group-IB — один из ведущих разработчиков решений для детектирования и предотвращения кибератак, выявления мошенничества, расследования высокотехнологичных преступлений и защиты интеллектуальной собственности в сети со штаб-квартирой в Сингапуре. Центры исследования киберугроз компании находятся на Ближнем Востоке (Дубай), в Азиатско-Тихоокеанском регионе (Сингапур), в Европе (Амстердам) и в России (Москва).

Система сбора данных о киберугрозах Group-IB Threat Intelligence & Attribution признана одной из лучших в мире по версии Gartner, Forrester, и IDC. Решение Group-IB Threat Hunting Framework (ранее — TDS) для проактивного поиска и защиты от сложных и неизвестных киберугроз получило признание ведущего европейского аналитического агентства KuppingerCole Analysts AG, а компания Group-IB вошла в число лидеров рынка в категориях «Product Leader» и «Innovation Leader». Технологии Group-IB по защите от онлайн-мошенничества в интернет-банкинге и сервисах электронной коммерции Fraud Hunting Platform получили признание Gartner, агентство присвоило Group-IB статус надежного поставщика в категории «Решения по выявлению онлайн-мошенничества». Решение Digital Risk Protection для выявления и устранения цифровых рисков, а также противодействия атакам с неправомерным использованием бренда получило престижную премию Innovation Excellence от глобального консалтингового агентства Frost & Sullivan.

В основе технологического лидерства компании и ее возможностей в сфере научных исследований и разработки — 18-летний практический опыт расследования киберпреступлений по всему миру и более 65 000 часов реагирования на инциденты информационной безопасности, аккумулированные в одной из крупнейших лабораторий компьютерной криминалистики, департаменте расследований и круглосуточном центре оперативного реагирования CERT-GIB.

Компания является резидентом «Сколково» и Иннополиса. Group-IB — партнер Europol.

Опыт Group-IB в поиске угроз и киберразведке был интегрирован в спектр решений, объединивший чрезвычайно сложное программное и системное обеспечение, с целью мониторинга, обнаружения и предотвращения кибератак.

Миссия Group-IB — защищать наших клиентов в киберпространстве, создавая и используя инновационные продукты и решения.

Сообщить об инциденте

Центр круглосуточного реагирования на инциденты информационной безопасности +7 495 984-33-64

Отправляя форму, даю согласие на обработку своих персональных данных в соответствии с Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ
Спасибо, мы свяжемся с Вами в самое ближайшее время
Сообщить об инциденте