211service.com
Gli hacker del ransomware della pipeline coloniale avevano un'arma segreta: le aziende di sicurezza informatica che si autopromossero
Cinque mesi prima che DarkSide attaccasse l'oleodotto coloniale, due ricercatori hanno scoperto un modo per salvare le sue vittime di ransomware. Quindi l'annuncio di una società di antivirus ha allertato gli hacker.
Drew Angerer/Getty Images
24 maggio 2021L'11 gennaio, la società di antivirus Bitdefender si è detta felice di annunciare una svolta sorprendente. Aveva trovato un difetto nel ransomware che una banda nota come DarkSide stava usando per congelare le reti di computer di dozzine di aziende negli Stati Uniti e in Europa. Le aziende che devono far fronte alle richieste di DarkSide potrebbero scaricare uno strumento gratuito da Bitdefender ed evitare di pagare milioni di dollari in riscatto agli hacker.
Ma Bitdefender non è stato il primo a identificare questo difetto. Altri due ricercatori, Fabian Wosar e Michael Gillespie , l'aveva notato il mese prima e aveva iniziato a cercare con discrezione le vittime da aiutare. Pubblicizzando il suo strumento, Bitdefender ha avvisato DarkSide dell'errore, che ha comportato il riutilizzo delle stesse chiavi digitali per bloccare e sbloccare più vittime. Il giorno successivo, DarkSide ha dichiarato di aver risolto il problema e che le nuove società non hanno nulla in cui sperare.
Un ringraziamento speciale a BitDefender per averci aiutato a risolvere i nostri problemi, ha detto DarkSide. Questo ci renderà ancora migliori.
DarkSide ha presto dimostrato che non stava bluffando, scatenando una serie di attacchi. Questo mese ha paralizzato la Colonial Pipeline Co., spingendo a spegnimento del gasdotto di 5.500 miglia che trasporta il 45% del carburante utilizzato sulla costa orientale, seguito rapidamente da un aumento dei prezzi della benzina, acquisti presi dal panico di gas in tutto il sud-est e chiusure di migliaia di stazioni di servizio. In assenza dell'annuncio di Bitdefender, è possibile che la crisi sia stata contenuta e che Colonial abbia tranquillamente ripristinato il suo sistema con lo strumento di decrittazione di Wosar e Gillespie.
Invece, Colonial ha pagato a DarkSide $ 4,4 milioni in Bitcoin per una chiave per sbloccare i suoi file. Devo ammettere che non mi sentivo a mio agio nel vedere i soldi uscire dalla porta di persone come questa, ha detto il CEO Joseph Blount al Wall Street Journal.
L'opportunità persa faceva parte di un modello più ampio di risposte fallite o incerte alla crescente minaccia del ransomware, che durante la pandemia ha disabilitato aziende, scuole, ospedali e agenzie governative in tutto il paese. L'incidente mostra anche come le aziende antivirus desiderose di farsi un nome a volte violano una delle regole cardine del gioco del gatto e del topo della guerra informatica: non far sapere ai tuoi avversari cosa hai scoperto. Durante la seconda guerra mondiale, quando i servizi segreti britannici appresero dalle comunicazioni decrittografate che la Gestapo stava progettando di rapire e uccidere un prezioso doppiogiochista, Johnny Jebsen, al suo conduttore non fu permesso di avvertirlo per paura di insinuare nel nemico che la sua cifra era stato rotto. Oggi, cacciatori di ransomware come Wosar e Gillespie cercano di prolungare l'ignoranza degli aggressori, anche a costo di contattare meno vittime. Prima o poi, quando i pagamenti diminuiscono, i criminali informatici si rendono conto che qualcosa è andato storto.
Se pubblicizzare uno strumento di decrittazione è una decisione calcolata, ha affermato Rob McLeod, direttore senior dell'unità di risposta alle minacce per l'azienda di sicurezza informatica eSentire. Dal punto di vista del marketing, stai cantando quella canzone dai tetti su come hai escogitato una soluzione di sicurezza che decrittograferà i dati di una vittima. E poi l'angolo del ricercatore di sicurezza dice: 'Non rivelare alcuna informazione qui'. Mantieni segreti i bug del ransomware che abbiamo rilevato che ci consentono di decodificare i dati, in modo da non avvisare gli attori delle minacce.'
In un post sul dark web, DarkSide ha ringraziato Bitdefender per aver identificato un difetto nel ransomware della banda. (Evidenziazione aggiunta da ProPublica.)
Wosar ha affermato che il rilascio pubblico di strumenti, come ha fatto Bitdefender, è diventato più rischioso poiché i riscatti sono aumentati vertiginosamente e le bande sono diventate più ricche e tecnicamente più abili. Agli albori del ransomware, quando gli hacker congelavano i computer di casa per poche centinaia di dollari, spesso non riuscivano a determinare come fosse stato violato il loro codice a meno che il difetto non fosse stato loro specificamente segnalato.
Oggi, i creatori di ransomware hanno accesso a reverse engineer e penetration tester che sono molto molto capaci, ha affermato. È così che ottengono l'accesso a queste reti spesso altamente protette in primo luogo. Scaricano il decryptor, lo smontano, lo decodificano e capiscono esattamente perché siamo stati in grado di decrittografare i loro file. E 24 ore dopo, tutto è risolto. Bitdefender avrebbe dovuto saperlo meglio.
Storia correlata
La crisi del ransomware potrebbe forzare l'azione contro la Russia? Secondo gli esperti, l'occhio cieco di Mosca nei confronti dei criminali informatici ha reso inevitabili attacchi crescenti. Ma cambiare l'approccio è più facile a dirsi che a farsi.
Non era la prima volta che Bitdefender strombazzava una soluzione su cui Wosar o Gillespie l'avevano battuto. Gillespie aveva violato il codice di un ceppo di ransomware chiamato GoGoogle e stava aiutando le vittime senza alcun clamore, quando Bitdefender ha rilasciato una decrittazione attrezzo nel maggio 2020. Anche altre società hanno annunciato scoperte pubbliche, hanno affermato Wosar e Gillespie.
Le persone sono alla disperata ricerca di notizie e le grandi società di sicurezza non si preoccupano delle vittime, ha detto Wosar.
Bogdan Botezatu, direttore della ricerca sulle minacce presso Bitdefender, con sede a Bucarest, in Romania, ha affermato che la società non era a conoscenza del precedente successo nello sblocco dei file infettati da DarkSide.
Indipendentemente da ciò, ha affermato, Bitdefender ha deciso di pubblicare il suo strumento perché la maggior parte delle vittime che si innamorano del ransomware non hanno la giusta connessione con i gruppi di supporto del ransomware e non sanno dove chiedere aiuto a meno che non possano conoscere l'esistenza di strumenti dai resoconti dei media o con una semplice ricerca.
Bitdefender ha fornito supporto tecnico gratuito a più di una dozzina di vittime di DarkSide e crediamo che molti altri abbiano utilizzato con successo lo strumento senza il nostro intervento, ha affermato Botezatu. Nel corso degli anni, Bitdefender ha aiutato individui e aziende a evitare di pagare più di 100 milioni di dollari in riscatto, ha affermato.
Bitdefender ha riconosciuto che DarkSide potrebbe correggere il difetto, Botezatu ha detto: Siamo ben consapevoli che gli aggressori sono agili e si adattano ai nostri decryptor. Ma DarkSide potrebbe comunque aver individuato il problema. Non crediamo nei decryptor di ransomware resi silenziosamente disponibili. Gli aggressori scopriranno la loro esistenza impersonando utenti domestici o aziende bisognose, mentre la stragrande maggioranza delle vittime non avrà idea di poter recuperare i propri dati gratuitamente.
L'attacco all'oleodotto coloniale , e il conseguente caos alle pompe di benzina in tutto il sud-est, sembra aver spronato il governo federale a essere più vigile. Il presidente Joe Biden ha emesso un ordine esecutivo per migliorare la sicurezza informatica e creare un progetto per una risposta federale agli attacchi informatici. DarkSide ha affermato che sarebbe stato chiuso sotto la pressione degli Stati Uniti, anche se le squadre di ransomware si sono spesso sciolte per evitare il controllo e poi si sono riformate con nuovi nomi, oppure i loro membri hanno lanciato o si sono uniti ad altri gruppi.
Per quanto sofisticati siano, questi ragazzi riappariranno e saranno molto più intelligenti, ha affermato Aaron Tantleff, un avvocato di sicurezza informatica di Chicago che ha consultato 10 aziende attaccate da DarkSide. Torneranno con una vendetta.
'Le persone sono alla disperata ricerca di notizie e le grandi società di sicurezza non si preoccupano delle vittime'.
Fabian Wosar, squadra di caccia al ransomware
Almeno fino ad ora, i ricercatori privati e le aziende sono stati spesso più efficaci del governo nella lotta al ransomware. Lo scorso ottobre, Microsoft ha interrotto l'infrastruttura di Trickbot, una rete di oltre 1 milione di computer infetti che diffondeva il famigerato ceppo di ransomware Ryuk, disabilitando i suoi server e le sue comunicazioni. Quel mese, ProtonMail, il servizio di posta elettronica con sede in Svizzera, ha chiuso 20.000 account relativi a Ryuk.
Wosar e Gillespie, che appartengono a un gruppo di volontari mondiale chiamato Ransomware Hunting Team, hanno violato più di 300 principali ceppi e varianti di ransomware, salvando circa 4 milioni di vittime dal pagare miliardi di dollari.
Al contrario, l'FBI raramente decifra i ransomware o arresta gli aggressori, che di solito risiedono in paesi come la Russia o l'Iran che non hanno accordi di estradizione con gli Stati Uniti. Si ritiene che DarkSide, ad esempio, operi fuori dalla Russia. Molte più vittime cercano aiuto dalla squadra di caccia, attraverso i siti web gestiti dai suoi membri, che dall'FBI.
I servizi segreti statunitensi indagano anche sul ransomware, che rientra nella sua competenza nella lotta ai crimini finanziari. Ma, soprattutto negli anni delle elezioni, a volte distoglie gli agenti dagli incarichi informatici per svolgere la sua missione più nota di proteggere presidenti, vicepresidenti, candidati di partiti principali e le loro famiglie. Le forze dell'ordine europee, in particolare la polizia nazionale olandese, hanno avuto più successo degli Stati Uniti nell'arresto degli aggressori e nel sequestro di server.
Storia correlata
Un'ondata di ransomware colpisce gli ospedali statunitensi mentre il coronavirus sale a picco Un attacco opportunistico senza precedenti solleva una domanda inquietante: costerà una vita?Allo stesso modo, il governo degli Stati Uniti ha compiuto solo modesti progressi spingendo l'industria privata, comprese le società di oleodotti, a rafforzare le difese della sicurezza informatica. La supervisione della sicurezza informatica è divisa in una zuppa alfabetica di agenzie, che ostacola il coordinamento. Il Department of Homeland Security conduce valutazioni di vulnerabilità per le infrastrutture critiche, che includono gasdotti.
Ha esaminato Colonial Pipeline intorno al 2013 come parte di uno studio sui luoghi in cui un attacco informatico potrebbe causare una catastrofe. Il gasdotto è stato ritenuto resiliente, il che significa che potrebbe riprendersi rapidamente, secondo un ex funzionario del DHS. Il dipartimento non ha risposto alle domande su eventuali revisioni successive.
Cinque anni dopo, il DHS ha creato una pipeline di sicurezza informatica iniziativa identificare i punti deboli nei sistemi informatici della pipeline e raccomandare strategie per affrontarli. La partecipazione è volontaria e una persona che ha familiarità con l'iniziativa ha affermato che è più utile per le aziende più piccole con competenze IT interne limitate rispetto a quelle grandi come Colonial. Il Centro nazionale di gestione dei rischi, che sovrintende all'iniziativa, è alle prese anche con altri spinosi problemi come la sicurezza elettorale.
Il ransomware è salito alle stelle dal 2012 , quando l'avvento di Bitcoin ha reso difficile tracciare o bloccare i pagamenti. Le tattiche dei criminali si sono evolute da campagne indiscriminate di spray e preghiere alla ricerca di poche centinaia di dollari ciascuna per prendere di mira aziende specifiche, agenzie governative e gruppi senza scopo di lucro con richieste multimilionarie.
Gli attacchi alle imprese energetiche in particolare sono aumentati durante la pandemia, non solo negli Stati Uniti ma in Canada, America Latina ed Europa. Poiché le aziende hanno consentito ai dipendenti di lavorare da casa, hanno allentato alcuni controlli di sicurezza, ha affermato McLeod.
DarkSide ha adottato quello che è noto come un modello di ransomware-as-a-service. Sotto questo modello, ha collaborato con gli affiliati che hanno lanciato gli attacchi. Gli affiliati hanno ricevuto dal 75% al 90% del riscatto, con DarkSide che ha mantenuto il resto.
Dal 2019, numerose bande hanno aumentato la pressione con una tecnica nota come doppia estorsione. Entrando in un sistema, rubano dati sensibili prima di lanciare ransomware che codifica i file e impedisce a ospedali, università e città di svolgere il proprio lavoro quotidiano. Se la perdita di accesso al computer non è sufficientemente intimidatoria, minacciano di rivelare informazioni riservate, pubblicando spesso campioni come leva. Ad esempio, quando il dipartimento di polizia di Washington, DC, non ha pagato il riscatto di 4 milioni di dollari richiesto da una banda chiamata Babuk il mese scorso, Babuk ha pubblicato informazioni sull'intelligence, nomi di sospetti e testimoni criminali e fascicoli del personale, dalle informazioni mediche al test del poligrafo risultati, di funzionari e candidati al lavoro.
DarkSide, emerso lo scorso agosto, incarnava questa nuova razza. Ha scelto obiettivi sulla base di un'attenta analisi finanziaria o di informazioni raccolte dalle e-mail aziendali. Ad esempio, ha attaccato uno dei clienti di Tantleff durante una settimana in cui gli hacker sapevano che l'azienda sarebbe stata vulnerabile perché stava trasferendo i suoi file al cloud e non disponeva di backup puliti.
Per infiltrarsi nelle reti di destinazione, la banda ha utilizzato metodi avanzati come exploit zero-day che sfruttano immediatamente le vulnerabilità del software prima che possano essere riparate. Una volta dentro, si è mosso rapidamente, cercando non solo i dati sensibili ma anche la polizza assicurativa informatica della vittima, in modo da poter ancorare le sue richieste all'importo della copertura. Dopo due o tre giorni di ricerche, DarkSide ha crittografato i file.
Hanno una finestra di attacco più rapida, ha affermato Christopher Ballod, amministratore delegato associato per il rischio informatico di Kroll, la società di investigazioni aziendali, che ha consigliato una mezza dozzina di vittime di DarkSide. Più a lungo rimani nel sistema, più è probabile che tu venga catturato.
In genere, le richieste di DarkSide erano nella fascia alta della scala, $ 5 milioni e oltre, ha detto Ballod. Una tattica spaventosa: se le società quotate in borsa non avessero pagato il riscatto, DarkSide ha minacciato di condividere le informazioni rubate da loro con venditori allo scoperto che avrebbero tratto profitto se il prezzo delle azioni fosse diminuito al momento della pubblicazione.
Il sito di DarkSide sul dark web ha identificato dozzine di vittime e ha descritto i dati riservati che affermava di aver rubato loro. Uno era lo studio legale di New Orleans Stone Pigman Walther Wittmann. Un grande fastidio è quello che era, ha detto l'avvocato Phil Wittmann, riferendosi all'attacco di DarkSide a febbraio. Non li abbiamo pagati nulla, ha affermato Michael Walshe Jr., presidente del comitato di gestione dell'azienda, rifiutandosi di commentare ulteriormente.
Lo scorso novembre, Darkside adottato quello che è noto come modello di ransomware-as-a-service. Sotto questo modello, ha collaborato con gli affiliati che hanno lanciato gli attacchi. Gli affiliati ricevuto Dal 75% al 90% del riscatto, con DarkSide che mantiene il resto. Come suggerisce questa partnership, l'ecosistema ransomware è uno specchio distorto della cultura aziendale, con qualsiasi cosa, dai colloqui di lavoro alle procedure per la gestione delle controversie. Dopo la chiusura di DarkSide, diverse persone che si sono identificate come sue affiliate si sono lamentate in un forum di risoluzione delle controversie di averle irrigidite. L'obiettivo ha pagato, ma non ho ricevuto la mia quota, ha scritto uno.
Insieme, DarkSide e le sue affiliate avrebbero incassato almeno 90 milioni di dollari. Sette dei clienti di Tantleff, comprese due società del settore energetico, hanno pagato riscatti che vanno da $ 1,25 milioni a $ 6 milioni, riflettendo sconti negoziati dalle richieste iniziali di $ 7,5 milioni a $ 30 milioni. Gli altri suoi tre clienti colpiti da DarkSide non hanno pagato. In uno di questi casi, gli hacker hanno chiesto 50 milioni di dollari. I negoziati sono diventati aspri e le due parti non sono riuscite a concordare un prezzo.
I rappresentanti di DarkSide erano scaltri negoziatori, ha detto Tantleff. Se una vittima ha detto che non poteva permettersi il riscatto a causa della pandemia, DarkSide era pronto con i dati che mostravano che le entrate dell'azienda erano aumentate o che l'impatto del covid-19 era stato preso in considerazione nel prezzo.
La conoscenza della geopolitica da parte di DarkSide era meno avanzata del suo approccio al ransomware. Più o meno nello stesso periodo in cui ha adottato il modello di affiliazione, ha pubblicato che intendeva salvaguardare le informazioni rubate alle vittime archiviandole nei server in Iran. Apparentemente DarkSide non si rendeva conto che una connessione iraniana avrebbe complicato la sua raccolta di riscatti dalle vittime negli Stati Uniti, che hanno sanzioni economiche che limitano le transazioni finanziarie con l'Iran. Sebbene DarkSide in seguito abbia ritirato questa dichiarazione, affermando di aver considerato l'Iran solo come un possibile luogo, numerosi assicuratori informatici avevano dubbi sulla copertura dei pagamenti al gruppo. Coveware, un'azienda del Connecticut che negozia con gli aggressori per conto delle vittime, ha smesso di trattare con DarkSide.
Ballod ha detto che con i loro assicuratori non disposti a rimborsare il riscatto, nessuno dei suoi clienti ha pagato DarkSide, nonostante le preoccupazioni sull'esposizione dei propri dati. Anche se avessero ceduto a DarkSide e avessero ricevuto assicurazioni dagli hacker in cambio che i dati sarebbero stati distrutti, le informazioni potrebbero comunque trapelare, ha detto.
Durante il passaggio di DarkSide al modello di affiliazione , è stato introdotto un difetto nel suo ransomware. La vulnerabilità ha attirato l'attenzione dei membri del Ransomware Hunting Team. Istituito nel 2016, il team solo su invito è composto da una dozzina di volontari negli Stati Uniti, Spagna, Italia, Germania, Ungheria e Regno Unito. Lavorano nella sicurezza informatica o in campi correlati. Nel tempo libero, collaborano alla ricerca e alla decifrazione di nuovi ceppi di ransomware.
Diversi membri, tra cui Wosar, hanno poca istruzione formale ma un'attitudine per la programmazione. Dopo aver abbandonato la scuola superiore, Wosar è cresciuto in una famiglia operaia vicino alla città portuale tedesca di Rostock. Nel 1992, all'età di otto anni, vide per la prima volta un computer e ne rimase estasiato. A 16 anni, stava sviluppando il suo software antivirus e ci guadagnava. Ora 37enne, ha lavorato per l'azienda antivirus Emsisoft sin dal suo inizio quasi due decenni fa ed è il suo chief technology officer. Si è trasferito nel Regno Unito dalla Germania nel 2018 e vive vicino a Londra.
Combatte gli hacker ransomware dal 2012, quando ha violato un ceppo chiamato ACCDFISA, che stava per Anti Cyber Crime Department of Federal Internet Security Agency. Questa agenzia immaginaria informava le persone che la pornografia infantile aveva infettato i loro computer e quindi bloccava l'accesso ai loro file a meno che non pagassero $ 100 per rimuovere il virus.
Storia correlata
Google afferma che è troppo facile per gli hacker trovare nuove falle di sicurezza Gli aggressori sfruttano più e più volte gli stessi tipi di vulnerabilità del software, perché alle aziende spesso manca la foresta per gli alberi.L'hacker dell'ACCDFISA alla fine ha notato che il ceppo era stato decrittografato e ha rilasciato una versione rivista. Anche molti dei successivi trionfi di Wosar furono fugaci. Lui e i suoi compagni di squadra hanno cercato di tenere i criminali beatamente inconsapevoli il più a lungo possibile che la loro tensione era vulnerabile. Hanno lasciato messaggi criptici sui forum invitando le vittime a contattarle per ricevere assistenza o hanno inviato messaggi diretti alle persone che hanno postato di essere state attaccate.
Nel corso della protezione contro le intrusioni informatiche, gli analisti delle società di antivirus a volte rilevavano difetti di ransomware e creavano strumenti di decrittazione, sebbene non fosse il loro obiettivo principale. A volte si scontravano con Wosar.
Nel 2014, Wosar ha scoperto che un ceppo di ransomware chiamato CryptoDefense ha copiato e incollato da Microsoft Windows parte del codice utilizzato per bloccare e sbloccare i file, senza rendersi conto che lo stesso codice era conservato in una cartella sul computer della vittima. Mancava il segnale, o flag, nel loro programma, solitamente incluso dai creatori di ransomware per istruire Windows a non salvare una copia della chiave.
Wosar ha sviluppato rapidamente uno strumento di decrittazione per recuperare la chiave. Abbiamo affrontato un enigma interessante, ha scritto Sarah White, un altro membro di Hunting Team, su Emsisoft Blog . Come portare il nostro strumento al maggior numero possibile di vittime senza avvisare lo sviluppatore di malware del suo errore?
Wosar ha cercato discretamente le vittime di CryptoDefense attraverso forum di supporto, reti di volontari e annunci su dove contattare per chiedere aiuto. Ha evitato di descrivere come funzionava lo strumento o l'errore che ha sfruttato. Quando le vittime si sono fatte avanti, ha fornito la soluzione, cancellando il ransomware da almeno 350 computer. Alla fine CryptoDefense ci ha catturato ... ma non aveva ancora accesso al decrypter che abbiamo usato e non aveva idea di come stessimo sbloccando i file delle sue vittime, ha scritto White.
'Ci siamo trovati di fronte a un enigma interessante... Come portare il nostro strumento al maggior numero possibile di vittime senza avvisare lo sviluppatore di malware del suo errore?
Sarah White, squadra di caccia al ransomware
Ma poi una società di antivirus, Symantec, ha scoperto lo stesso problema e si è vantata della scoperta in un post sul blog che conteneva informazioni sufficienti per aiutare lo sviluppatore di CryptoDefense a trovare e correggere il difetto, ha scritto White. Entro 24 ore gli aggressori hanno iniziato a diffondere una versione rivista. Hanno cambiato il suo nome in CryptoWall e fatto 325 milioni di dollari.
Symantec ha scelto una pubblicità rapida per aiutare le vittime di CryptoDefense a recuperare i loro file, ha scritto White. A volte ci sono cose che è meglio non dette.
Una portavoce di Broadcom, che ha acquisito l'attività di sicurezza aziendale di Symantec nel 2019, ha rifiutato di commentare, affermando che i membri del team che hanno lavorato allo strumento non fanno più parte dell'azienda.
Come Wosar, il 29enne Gillespie viene dalla povertà e non è mai andato al college. Quando stava crescendo nell'Illinois centrale, la sua famiglia ha lottato così tanto finanziariamente che a volte ha dovuto trasferirsi con amici o parenti. Dopo il liceo, ha lavorato a tempo pieno per 10 anni in una catena di riparazione di computer chiamata Nerds on Call. L'anno scorso è diventato un ricercatore di malware e sicurezza informatica presso Coveware.
Lo scorso dicembre, ha inviato un messaggio a Wosar per chiedere aiuto. Gillespie aveva lavorato con una vittima di DarkSide che aveva pagato un riscatto e ricevuto uno strumento per recuperare i dati. Ma il decryptor di DarkSide aveva la reputazione di essere lento e la vittima sperava che Gillespie potesse accelerare il processo.
Gillespie ha analizzato il software, che conteneva una chiave per rilasciare i file. Voleva estrarre la chiave, ma poiché era stata conservata in un modo insolitamente complesso, non poteva. Si rivolse a Wosar, che riuscì a isolarlo.
I compagni di squadra hanno quindi iniziato a testare la chiave su altri file infettati da DarkSide. Gillespie ha controllato i file caricati dalle vittime sul sito Web che gestisce, ID Ransomware, mentre Wosar ha utilizzato VirusTotal, un database online di sospetti malware.
Quella notte, hanno condiviso una scoperta.
Ho la conferma che DarkSide sta riutilizzando le loro chiavi RSA, ha scritto Gillespie a Hunting Team sul suo canale Slack. Un tipo di crittografia, RSA genera due chiavi: una chiave pubblica per codificare i dati e una chiave privata per decifrarli. RSA è utilizzato legittimamente per salvaguardare molti aspetti dell'e-commerce, come la protezione dei numeri di credito. Ma è stato anche cooptato da hacker ransomware.
Ho notato lo stesso in quanto sono stato in grado di decrittografare i file appena crittografati utilizzando il loro decrittatore, Wosar ha risposto meno di un'ora dopo, alle 2:45 ora di Londra.
La loro analisi ha mostrato che prima di adottare il modello di affiliazione, DarkSide aveva utilizzato una chiave pubblica e privata diversa per ogni vittima. Wosar sospettava che durante questa transizione, DarkSide avesse introdotto un errore nel suo portale di affiliazione utilizzato per generare il ransomware per ogni bersaglio. Wosar e Gillespie ora potevano usare la chiave che Wosar aveva estratto per recuperare i file dalle macchine Windows sequestrate da DarkSide. L'errore crittografico non ha influenzato i sistemi operativi Linux.
Storia correlata
Come i funzionari stanno proteggendo le elezioni dagli hacker ransomware Le preoccupazioni per un attacco ai sistemi elettorali sono reali. Ma un hack non danneggerebbe tanto il voto quanto la disinformazione che ne deriverebbe.Ci stavamo grattando la testa, disse Wosar. Potrebbero davvero aver fatto una cazzata così grave? DarkSide era uno degli schemi ransomware-as-a-service più professionali in circolazione. Per loro fare un errore così grande è molto, molto raro.
La Squadra di Caccia ha festeggiato in silenzio, senza cercare pubblicità. White, che è uno studente di informatica alla Royal Holloway, parte dell'Università di Londra, ha iniziato a cercare le vittime di DarkSide. Ha contattato le aziende che si occupano di analisi forense digitale e risposta agli incidenti.
Abbiamo detto loro: 'Ehi, ascolta, se hai qualche vittima di DarkSide, di' loro di contattarci; possiamo aiutarli. Possiamo recuperare i loro file e non devono pagare un enorme riscatto', ha detto Wosar.
Gli hacker di DarkSide si sono per lo più tolti il periodo natalizio. Gillespie e Wosar si aspettavano che quando gli attacchi sarebbero ripresi nel nuovo anno, la loro scoperta avrebbe aiutato decine di vittime. Ma poi Bitdefender ha pubblicato il suo post, sotto il titolo Darkside Ransomware Decryption Tool.
In un canale di messaggistica con la community di risposta ai ransomware, qualcuno ha chiesto perché Bitdefender avrebbe informato gli hacker. Pubblicità, White ha risposto. Sembra buono. Posso garantire che lo risolveranno molto più velocemente ora.
Lei aveva ragione. Il giorno successivo, DarkSide ha riconosciuto l'errore che Wosar e Gillespie avevano trovato prima di Bitdefender. A causa del problema con la generazione delle chiavi, alcune aziende hanno le stesse chiavi, hanno scritto gli hacker, aggiungendo che fino al 40% delle chiavi è stato interessato.
DarkSide ha deriso Bitdefender per aver rilasciato il decryptor nel momento sbagliato ... poiché l'attività di noi e dei nostri partner durante le vacanze di Capodanno è la più bassa.
Aggiungendo alle frustrazioni del team, Wosar ha scoperto che lo strumento Bitdefender aveva i suoi svantaggi. Utilizzando il decryptor dell'azienda, ha cercato di sbloccare i campioni infettati da DarkSide e ha scoperto che erano stati danneggiati nel processo. In realtà hanno implementato la decrittazione in modo errato, ha detto Wosar. Ciò significa che se le vittime hanno utilizzato lo strumento Bitdefender, ci sono buone probabilità che abbiano danneggiato i dati.
Alla domanda sulle critiche di Wosar, Botezatu ha affermato che il recupero dei dati è difficile e che Bitdefender ha preso tutte le precauzioni per assicurarsi di non compromettere i dati degli utenti, inclusi test esaurienti e codice che valuta se il file decrittografato risultante è valido.
Anche senza Bitdefender, DarkSide avrebbe potuto presto rendersi conto del suo errore, hanno detto Wosar e Gillespie. Ad esempio, mentre passavano al setaccio le reti compromesse, gli hacker potrebbero essersi imbattuti in e-mail in cui le vittime aiutate dalla squadra di caccia discutevano del difetto.
Potrebbero capirlo in questo modo: questa è sempre una possibilità, ha detto Wosar. Ma è particolarmente doloroso se una vulnerabilità viene bruciata a causa di qualcosa di stupido come questo.
L'incidente ha portato la squadra di caccia a coniare un termine per l'esposizione prematura di una debolezza in un ceppo di ransomware. Internamente, scherziamo spesso: 'Sì, probabilmente tireranno un Bitdefender', ha detto Wosar.
Questa storia è stata pubblicata in collaborazione con ProPublica, una redazione senza scopo di lucro che indaga sugli abusi di potere. Renee Dudley e Daniel Golden si sono concentrati sul ransomware per ProPublica e stanno lavorando a un libro sul Ransomware Hunting Team, che sarà pubblicato il prossimo anno da Farrar, Straus e Giroux.
Iscriviti per ricevere Le più grandi storie di ProPublica non appena vengono pubblicati.