がらくたビジネス: GandCrabがランサムウェアモデルをどのように変換したか

ガンドクラブ (または単にカニ) ランサムウェアは間違いなくランサムウェアゲームのルールを変更しました.

悪名高い暗号ウイルスの背後にあるオペレーターは、他の人がすぐに採用した非常に有益なビジネスモデルを作成しました. 例えば, いわゆるソディノキビランサムウェアを見てみましょう.

それはよく調整された行動と流通キャンペーンを示しました, そして、そのオペレーターがGandCrabからかなりの数のトリックを借りたことは非常に明白でした. これは、 ソディノキビ 攻撃とバリアントの点でGandCrabと同じくらい大きくなる可能性があります, 多くのアフィリエイトの採用につながる.

そう, GandCrabから出現したハッカー?

A 新しいレポート アドバンストインテリジェンスによる「GandCrabパラダイム」に光を当てる.

を作った最初の顕著な違い ガンドクラブ 目立つのは露出です, 上昇するビジネスモデルの真の兆候. 「「GandCrabの前, 従来のランサムウェアチーム, ロシア語を話すハッカーによって運営されていたのは個人的に行動していた, 静かに, 地下フォーラムを避けました,」と報告書は述べています. これは匿名性の目的で行われました, ロシアの地下コミュニティはデジタル恐喝モデルに従わなかったので, ランサムウェア開発の中心です.
GandCrabのオペレーターは、「パラダイムシフト現象」:

彼らはランサムウェアビジネスを本格的なメディア事業に変えました. ブランディング, マーケティング, アウトリーチ, そして広報さえ (PR) 顧客との継続的なコミュニケーションに現れます, アフィリエイト, 犠牲者, およびセキュリティ研究者 – 新しいタイプのランサムウェア企業を設立するために、すべてが細心の注意を払って設定されました.

しかし、GandCrabは正確に何を変えましたか?

初心者向け, ランサムウェア開発者(s) 独自のチャリティーキャンペーンとフォーラム間でのマイクロローンパートナーシップを作成しました.

サイバー犯罪シンジケートの影響は非常に大きかったため、公式のダークウェブアカウントによって投稿された1つのレビューでさえ、販売されている特定のマルウェア製品を昇格または消去するのに十分でした。. 新しいローダーまたはスティーラーがリリースされたとき, アンダーグラウンドの著名なメンバーが最初に尋ねた質問は: 「これらは「カニ」と互換性がありますか?」, 多数の排他的なマルウェアサンプル, ボットネット, ドメインアクセス, ネットワーククレデンシャル, その他のオークションラウンドは、「GandCrabに販売されました」というメッセージで終了しました。

すぐに言った, カニ "古い方法を放棄した」は、経験豊富なアフィリエイトとのみ連携します, 作戦に参加する意欲のある新参者を歓迎しました. 多くの人にとって, これは彼らの最初のランサムウェア体験でした, しかし、これは問題ではありませんでした, Crabのサービスとしてのランサムウェア以降 (RaaS) プログラムとアフィリエイトパートナーシップは、経験の浅い人々にサービスを提供するために構築されました. 最終的, 「学生これらのプログラムの」は、独自の小規模なベンチャーを開始しました, 財団に新しいアイデアをもたらしました.

カニランサムウェアのビジネスモデルに参加したのは誰か?

最も成功しているアフィリエイトには、次のニックネームで知られる脅威アクターが含まれます–フォード, FloodService, veneno, スノーフレーク. JSwormやNemtyランサムウェアの背後にいるjswormやその関連会社PenLatなどのランサムウェア集団全体がGandCrabから始まったことは注目に値します。. 最も献身的なGandCrabサポーターの一部, Lalartuを含めて、Revilの台頭に直接貢献した可能性があります (ソディノキビ) RaaSグループ.

今年の3月, クラウドストライクの研究者は、悪名高いGandCrabランサムウェアの背後にある犯罪グループはPinchySpiderというニックネームで呼ばれていると述べました.

プログラムが提供したことに注意するのは不思議です 60-40 利益の分割, と 60 顧客に提供されたパーセント. でも, ギャングは最大で交渉することをいとわなかった 70-30 より多くの「洗練された」, 研究者は言う.

グランドクラブ 5.2, 2月発売, 2019 以前のバージョンの復号化ツールが被害者に登場した直後に来ました. クラウドストライクの研究者によると, 「ランサムウェア自体の開発が推進されています, ある程度, PINCHYSPIDERとサイバーセキュリティ研究コミュニティとの相互作用. GandCrabには、ソーシャルメディアで公に活動しており、ランサムウェアについて報告している研究コミュニティのメンバーへの複数の参照が含まれています」.

その時, ピンシースパイダーの犯罪者は、GandCrabを リモートデスクトッププロトコル (RDP) およびVNC (仮想ネットワークコンピューティング) スキル, および企業ネットワーキングの経験を持つスパムオペレーター.

研究者たちはまた、そのような広告の例を提供し、次のように述べました: 「「スパマー, ランディングページや企業ネットワーキングスペシャリストとの連携—より良い生活へのチケットをお見逃しなく. 私達はあなたを待っている.」

トルニガー集団の出現

GandCrabの深みから出現した最も成功したハッカー集団の1つが、trunigerとしても知られるTeamSnatchであることに注目するのは不思議です。:

彼らのサイバー犯罪のキャリアの初めに, トルニガー (その後、単数形で自分自身を参照しました) カーディングとeスキミングに魅了されました. 彼らによると, 彼らは合法的な仕事から得たお金の合計から始めました, 金融詐欺のデジタルインフラストラクチャに投資された. この犯罪の道, でも, すぐにトルニガーの資金を使い果たし、彼らを経済的困難に導く. これらの悲惨な状況をかわそうとして, ハッカーはリモートデスクトッププロトコルの調査を開始しました (RDP) 脆弱性, 具体的には, 総当たり攻撃RDPにさまざまなデータベースへのアクセスを強制する.

このベクトルはより効率的で、すぐ後に, trunigerは、取得したアクセスを収益化するためのさまざまな方法の調査を開始しました. 驚くことではないが, サービスとしてのランサムウェアモデルは論理的な次のステップでした. コレクションはすでにランサムウェアに関する経験と知識を獲得していました, アンチウイルスの脆弱性, 正当なソフトウェアのバックドア. 彼らはとのパートナーシップで彼らのスキルをテストしさえしました 迅速なランサムウェア.

8月までに 2018, trunigerハッカーはより多くを暗号化しました 1,800 デバイス, そしてついにGandCrabに気づかれました. 短編小説, trunigerの集団は、1人の攻撃者がいかに早くうまく機能するサイバー犯罪グループに成長できるかを示しました.

マイナーなカーディング操作から開始, trunigerは、GandCrab RaaSの助けを借りて進化し、独自のバージョンのランサムウェアプログラムを作成しました。, 研究者たちは結論を下した.