Sophos odhalil souvislosti mezi ransomwarovými skupinami Hive, Royal a Black Basta

15. 8. 2023. (redaktor: František Doupal, zdroj: Sophos)
Sophos zveřejnil nové informace o propojení nejvýznamnějších ransomwarových skupin působících během uplynulého roku, včetně skupiny Royal. V průběhu tří měsíců, počínaje lednem 2023, prověřil expertní tým Sophos X-Ops čtyři různé ransomwarové útoky – jeden provedený skupinou Hive, dva skupinou Royal a jeden skupinou Black Basta, a zaznamenal mezi nimi výrazné podobnosti.

Přestože je Royal notoricky uzavřenou skupinou, která se veřejně nesnaží získávat partnery z undergroundových fór, dílčí podobnosti ve forenzní analýze útoků naznačují, že všechny tři skupiny sdílejí buď partnery, nebo velmi specifické technické detaily svých aktivit. Sophos tyto útoky sleduje a monitoruje jako „shluky hrozeb“, které mohou obránci využít ke zrychlení detekce těchto útoků a reakce na ně.

„Vzhledem k tomu, že model poskytování ransomwaru formou služby vyžaduje k provádění útoků externí partnery, není neobvyklé, že se taktiky, techniky a postupy (TTP) mezi těmito ransomwarovými skupinami prolínají. V těchto případech ale mluvíme o podobnostech na velmi detailní úrovni. Toto vysoce specifické a jedinečné chování naznačuje, že ransomwarová skupina Royal je mnohem více závislá na partnerech, než se dříve předpokládalo. Nové poznatky, které jsme získali o práci skupiny Royal a jejích spolupracovnících, stejně jako o možných vazbách na další skupiny, vypovídají o hodnotě hloubkových forenzních šetření společnosti Sophos,“ řekl Andrew Brandt, hlavní výzkumník společnosti Sophos.

Mezi jedinečné podobnosti patří použití stejných specifických uživatelských jmen a hesel při převzetí systémů obětí útočníky, doručení dat finálního útoku v archivu typu .7z pojmenovaném podle organizace, která byla obětí útoku, a také spouštění příkazů na infikovaných systémech pomocí stejných dávkových skriptů a souborů.

Týmu Sophos X-Ops se podařilo tato spojení odhalit po tříměsíčním vyšetřování čtyř ransomwarových útoků. První útok provedla ransomwarová skupina Hive v lednu 2023. Následovaly útoky skupiny Royal v únoru a březnu 2023 a později v březnu útok skupiny Black Basta. Ke konci ledna letošního roku byla velká část skupiny Hive rozprášena v důsledku zásahu FBI. Tato operace mohla vést členy skupiny Hive k hledání nového zaměstnání – možná i ve skupinách Royal a Black Basta, což by vysvětlovalo podobnosti v následných ransomwarových útocích.

Vzhledem k podobnostem mezi těmito útoky začal tým Sophos X-Ops sledovat všechny čtyři ransomwarové incidenty jako shluk hrozeb.

„Zatímco shluky aktivit hrozeb mohou být odrazovým můstkem k identifikaci, pokud se výzkumníci příliš soustředí na to, kdo útok provedl, mohou propásnout kriticky důležité příležitosti k posílení obrany. Znalost vysoce specifického chování útočníků pomáhá týmům pro řízenou detekci a reakci rychleji reagovat na aktivní útoky. Současně pomáhá i poskytovatelům zabezpečení vytvářet silnější ochranu pro jejich zákazníky. Pokud je ochrana založena na chování, nezáleží na tom, kdo útočí – ať už Royal, Black Basta nebo někdo jiný – potenciální oběti budou mít k dispozici potřebná bezpečnostní opatření k zablokování následných útoků, které vykazují stejné charakteristické znaky,“ řekl Brandt. 

Další informace o těchto ransomwarových útocích najdete v článku „Podobné chování útočníků odhaluje skryté vzorce“.

Podobné články

Dlouhodobý trend zlepšování kvality DDoS útoků se potvrzuje

27. 2. 2024. (redaktor: František Doupal, zdroj: ComSource)
Počty DDoS útoků na české firmy i jejich celková intenzita stagnují již od loňského podzimu. Dříve obvykle používanou plošnou hrubou sílu však nahradily kvalitnější a intenzivnější útoky, které dokáží napáchat stejně vysoké, nebo dokonce i větší škody. Zdánlivě slabší útoky se totiž i hůře odhalují. Čtěte více

Google Workspace pod ochranou Sophos MDR a Sophos XDR

23. 2. 2024. (redaktor: František Doupal, zdroj: Sophos)
Organizace s distribuovanými pracovními silami se stále více spoléhají na cloudové platformy pro spolupráci, e-mailovou komunikaci, sdílení souborů a zvyšování produktivity, jako jsou Microsoft 365 a Google Workspace. Chránit se proti pokročilým útokům na tyto kriticky důležité nástroje nyní pomáhá nová integrace Google Workspace s bezpečnostními službami společnosti Sophos. Čtěte více

Velká část českých firem se do konce příštího roku stane obětí deepfake útoku

23. 2. 2024. (redaktor: František Doupal, zdroj: Analytics Data Factory)
Stále jednodušší přístup k nástrojům pro snadnou tvorbu deepfake obrázků, videí a zvuku přináší obrovské negativní dopady i na firmy. Podle odhadů české společnosti Analytics Data Factory, která se zaměřuje na prevenci vzniku podvodů v reálném čase, se do konce příštího roku stane velká část českých firem obětí útoku založeného na deepfake. Čtěte více

Jen šestina českých firem vidí v AI klíčový prvek rozvoje IT bezpečnosti

23. 2. 2024. (redaktor: František Doupal, zdroj: Zebra systems)
Jen 17,5 % českých a slovenských zákazníků společnosti GFI Software aktuálně vnímá umělou inteligenci jako hlavní motor rozvoje jejich IT bezpečnosti v roce 2024. Praktické využití AI nejvíc dotázaných spatřuje hlavně při skenování zranitelností, obraně proti ransomwarovým útokům a ochraně e-mailů. Čtěte více