DarkSide szykuje cyberataki na firmy. Żąda nawet 2 mln USD okupu

Przeczytaj także: Fortinet: urządzenia sieciowe w zagrożeniu

O swojej cyberprzestępczej aktywności grupa DarkSide poinformowała sama. Na początku sierpnia do mediów trafiło jej oświadczenia, w którym podkreślono, że w skład nowego ugrupowania wchodzą osoby odpowiadające za przeprowadzenie z sukcesem wielu cyberataków ransomware.

Cyberataki DarkSide wycelowane są w przedsiębiorców. Z doniesień serwisu BleepingComputer, który zasięgnął języka wśród pierwszych ofiar, żądany okup wynosi od 200 tys. do 2 mln USD. Jednocześnie sami hakerzy deklarują, że ich szkodliwa działalność nie będzie wymierzona w placówki medyczne, rządowe, szkolne oraz organizacje non-profit.

Operatorzy DarkSide włamują się do sieci i rozprzestrzeniają się w niej do czasu, aż uzyskają dostęp do konta administratora i kontrolera domeny Windowsa. Napastnicy zbierają niezaszyfrowane dane z serwerów ofiary i przesyłają je na własne urządzenia, a następnie umieszczają na kontrolowanej przez siebie stronie wycieku danych. Na witrynie cyberprzestępcy wymieniają nazwę firmy, datę naruszenia, ilość danych, zrzuty ekranu i typy skradzionych danych. Jeśli ofiara nie zapłaci okupu, dane będą publikowane przez co najmniej pół roku. Ta strategia ma na celu wymuszenie haraczu, nawet w sytuacji, kiedy zaatakowanej firmie uda się odzyskać pliki z kopii zapasowych.

Podczas szyfrowania komputera DarkSide nie zatrzymuje wszystkich procesów na atakowanych urządzeniach. Na przykład cały czas aktywny pozostaje TeamViewer, co w przypadku tego typu incydentów jest rzadkim zjawiskiem.

Niewykluczone, że przestępcy używają tej aplikacji, aby uzyskać zdalny dostęp do komputerów. Oprogramowanie ransomware wykorzystuje do szyfrowania plików klucz SALSA20, a następnie jest on szyfrowany publicznym kluczem RSA-1024 zawartym w pliku wykonywalnym.

- Wszystko wskazuje na to, że mamy do czynienia z kolejną niebezpieczną grupą cyberprzestępczą. Co gorsza, istnieje duże prawdopodobieństwo, że jej członkowie mają powiązania z REvil - jak do tej pory największym i najgroźniejszym operatorem ransomware. Świadczy o tym duże podobieństwo kodów, które używają obie grupy, oraz unikanie cyberataków na kraje należące do Wspólnoty Niepodległych Państw - mówi Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender w Polsce.