ПОБЕДА В ВОЙНЕ С ПРОГРАММАМИ-ВЫМОГАТЕЛЯМИ

В этом году федеральные правоохранительные органы решили попробовать что-то новенькое. В апреле Министерство юстиции создало Целевую группу по программам-вымогателям и цифровому вымогательству, чтобы сделать приоритетными «срыв, расследование и судебное преследование программ-вымогателей и цифрового вымогательства». Целевая группа должна помогать обмениваться информацией между департаментами Министерства юстиции, а также работать с внешними и иностранными агентствами. За прошедшие с тех пор месяцы было совершено несколько впечатляющих судебных преследований, но они - лишь малая часть общей картины, а общая картина остается до безумия неясной.

Одна из первых публичных побед группы пришла в июне, когда Министерство юстиции заявило, что группа занимается делом лица, предположительно несущего частичную ответственность за набор вредоносных программ, известный как Trickbot , который может помочь открыть систему для вымогателей. атака. Через несколько дней после этого объявления была получена еще большая победа: Министерство юстиции объявило об изъятии 2,3 миллиона долларов из выкупа в размере 4,4 миллиона долларов, уплаченного нефтяной компанией Colonial Pipeline, и что целевая группа координировала усилия. Затем, в октябре, это была его самая большая победа - аресты нескольких предполагаемых членов хакерской группы REvil европейскими полицейскими силами и конфискация средств на сумму более 6 миллионов долларов, которые, по словам департамента, были связаны с выплатами программ-вымогателей.

Тем не менее, огромное количество атак означает, что несколько судебных преследований вряд ли что-то изменит. Чтобы отпугнуть преступников от программ-вымогателей, прокуратурам нужна угроза применения правоохранительных органов - и некоторые эксперты говорят, что эта схема по-прежнему слишком прибыльна, чтобы преступники отказывались от нее.

По словам Дмитрия Бестужева, исследователя из компании Kaspersky, занимающейся кибербезопасностью, хакеры «предпочитают рисковать, а не оставлять эту прибыльную вредоносную деятельность позади». «Поэтому они пытаются учиться на ошибках других и улучшать свои операции, но нет никаких доказательств того, что они боятся и хотят бросить». Бестужев говорит, что они будут продолжать реформировать группы, даже если правительство работает над их закрытием - «даже после успешного ареста, свидетелями которого мы недавно стали, многие группы вымогателей остаются здесь, чтобы остаться».

Но не все согласны с Бестужевым. Джон Фоккер, руководитель отдела кибер-расследований McAfee Enterprise Advanced Threat Research, более оптимистично настроен в отношении того, что целевая группа начинает менять взгляды на преступников. В течение многих лет программы-вымогатели «оставались относительно нетронутыми» и не привлекали к себе особого внимания со стороны правительств, сказал Фоккер The Verge . Теперь, когда целевая группа приступила к разгрому, он говорит: «То, что раньше было безопасным пространством, больше не является безопасным. Начинает царить атмосфера недоверия».

Внимание целевой группы также повлияло на способность групп программ-вымогателей рекламировать потенциальных клиентов, которые часто используют свое вредоносное ПО для заражения целей. В своем блоге Фоккер рассказал, как форумы, посвященные киберпреступности, стали неохотно принимать операторов программ-вымогателей, запрещая им размещать рекламу после атак Colonial Pipeline. Администраторы форума, когда они предложили объяснение своего решения, заявили, что программы-вымогатели привлекают много нежелательного внимания - по словам одного из администраторов, согласно The Record слово «выкуп» теперь ассоциировалось с «неприятными явлениями - геополитикой, вымогательством, правительственными взломами». На другом форуме было более дерзкое объяснение того, почему он запрещал сообщения о программах-вымогателях: «Если оно где-то запущено, то вам, вероятно, стоит пойти и поймать его?»

Возможность размещать рекламу на форумах ограничивала легкий доступ групп к клиентам, затрудняла для создателей программ-вымогателей возможность связаться с филиалами, приносящими им миллиарды долларов, и делала контакты, которые действительно происходят, более рискованными с обеих сторон. Перевод денег или демонстрация демонстраций становится сложнее, когда нет (в некоторой степени) надежной сторонней платформы, которая могла бы помочь в посредничестве. Это, наряду с вознаграждением в размере до 10 миллионов долларов, начало создавать «небольшие трещины в модели», - говорит Фоккер. Он даже упомянул случай, когда аффилированное лицо, рассерженное тем, что они считали скудной выплатой, опубликовало всю инструкцию для группы программ-вымогателей . «Такая среда вредит бизнесу», - говорит он.

Целевая группа также помогает людям, находящимся по другую сторону программы-вымогателя: компаниям и организациям, на которые она направлена. Правительственные учреждения работают вместе, чтобы информировать отрасли о том, какие действия они предприняли против операторов программ-вымогателей, и выпустить инструкции, которые помогут обеспечить безопасность компаний. «Министерство торговли, министерство финансов, государства, национальной безопасности и обороны - все они предприняли очень четкие и конкретные действия по борьбе с вымогателями, и у каждого из них есть свой собственный пресс-релиз и свое собственное руководство», - говорится в сообщении. Вишаал Харипрасад, генеральный директор страховой компании Resilience, специализирующейся на киберпространстве.

Когда его попросили оценить действия правительства, он сказал: «Я бы поставил правительству пятерку за то, что они сделали за последние 90 дней. Я думаю, было невероятно видеть, что мы действительно принимаем меры, мы сражаемся с плохими парнями с нарушениями, арестами, ордерами, санкциями, наградой в 10 миллионов долларов за любую информацию».

Харипрасад говорит, что, хотя правительство проводило аналогичные действия в предыдущие годы, огласка была благом для жертв. «Я думаю, что целевая группа помогла скоординировать это, но координация в бэк-энде, где никто не может видеть, не имеет значения. Это не имеет мотивирующего психологического воздействия, если вы не можете говорить об этом ... правительство всегда что-то делало, оно просто никогда не могло публично говорить об этом ясно, кратко и согласованно».

Третьи оптимистично настроены в отношении того, что целевая группа может оказать влияние, если продолжит свои юридические действия. «Пока будут предприниматься постоянные усилия против этих несколько децентрализованных и постоянно меняющихся преступных группировок; это не просто «удар крота», - говорит Курт Баумгартнер, главный исследователь безопасности в Kaspersky, вторя оптимизму Фоккера. «В то время как мы наблюдаем возрождение определенных частей цепочки вымогателей как услуги, - считает Баумгартнер, - скоординированные усилия по борьбе с программами-вымогателями - это только начало. Приятно видеть доказательства того, что некоторые выплаты выкупа были возвращены, ключи дешифрования получены, сообщения проникли, успешные международные правоохранительные усилия ».

В частности, Харипрасад считает, что массовые подрывные атаки станут менее частыми. «Я думаю, что у вас все еще будет одна или две крупные скоординированные кампании, которые будут очень сложными», - говорит он. «Но по мере того, как они привлекают к себе много внимания и люди начинают уделять им внимание, вы увидите, что этого будет меньше, и более молодые или менее опытные операторы будут продолжать возвращаться к более низкому уровню выкупа и просто как бы пойдут на количество важнее качества ». Считается, что лучше собрать несколько выкупов в размере 50 000 долларов, не делая заголовков в заголовках, чем получить 40 миллионов долларов и заставить правоохранительные органы выбить вам дверь.

Трудно сказать, какая из тактик оперативной группы в конечном итоге даст наибольший эффект, и всегда есть вероятность, что ситуация ухудшится до того, как станет лучше. Если операторы программ-вымогателей придут в отчаяние, они могут в конечном итоге преследовать крупную цель по голливудскому сценарию «последнее дело». Программы-вымогатели также могут стать более управляемым раздражителем, поскольку хакеры ищут следующую большую дойную корову, на которую мировые правительства не обращают столько внимания. Или злоумышленники могут проявить изобретательность и начать разработку совершенно новых способов создания проблем.

Кибербезопасность - это всегда игра в кошки-мышки, и стимулы для взлома крупных компаний никуда не денутся, но, как сказал мне Харипрасад, «большая часть сдерживания заключается в том, чтобы убедиться, что они понимают, что их действия и что правительство что-то активно делает ». По крайней мере, в этом отношении правительства, похоже, добиваются прогресса.