Cyberprzestępcy także padają ofiarą ataków

Talos (oddział Cisco) podał zaskakującą informację. Okazuje się, że ofiarami hakerów stają się ostatnio również cyberprzestępcy specjalizujący się w atakach ransomawre, których strony zawierające wykradzione dane same stają się celem ataków typu DDoS.

Grafika: Jack Moreh/freerangestock

Atakowane hakerskie strony są zwykle stawiane na anonimowych serwisach w ramach sieci Tor, gdzie przy pomocy metody znanej jako „podwójne wymuszenie” podmioty związane z RaaS (ransomware-as-a-service) umieszczają dane ofiar, jeśli te nie spełnią ich żądań.

Chociaż źródła tych aktywności pozostają nieznane, wydaje się, że jest to skoncentrowany atak skierowany przeciwko witrynom RaaS, mający na celu zakłócenie ich starań w zakresie ogłaszania i publikowania nowych danych ofiar ataków. Reakcje cyberprzestępców na takie ataki są różne. Grupy LockBit i ALPHV wdrożyły nowe środki w celu przeciwdziałania atakom DDoS na swoje strony, podczas gdy inne grupy, takie jak Quantum, po prostu przekierowały ruch na stronie internetowej w inne miejsce.

Zobacz również:

  • Wirusy na Androida - popularne i niebezpieczne zagrożenia
  • Hakerzy z grupy Gamaredon APT atakują ukraińskie agencje rządowe

20 sierpnia przedstawiciel LockBit – „LockBitSupp” – ujawnił, że prawie 1000 serwerów obrało za cel strony LockBit-u, wysyłając prawie 400 zapytań na sekundę. Po ujawnieniu faktu, że ich strony z danymi stały się niedostępne z powodu ataku DDoS, przedstawił zrzuty ekranu, które mają potwierdzać, że atak wystartował, kiedy rozpoczęto publikację danych firmy Entrust. To przedsiębiorstwo zajmujące się szeroko pojętym bezpieczeństwem cyfrowym, które grupa LockBit obrała za cel w lipcu. LockBitSupp stwierdził, że był to najpotężniejszy atak DDoS od trzech lat.

Powody i źródła tych ataków pozostają nieznane. Biorąc jednak pod uwagę zbieżne, ograniczone ramy czasowe i liczbę dotkniętych operatorów RaaS, można przypuszczać, że jest to skoncentrowana akcja skierowana przeciwko witrynom z kradzionymi danymi typu RaaS. Jej celem może być zakłócenie prac związanych z publikacją danych kolejnych ofiar. Warto jednak zaznaczyć, że działanie miało wpływ na strony, na których umieszczono dane, ale nie na zdolność do dalszego prowadzenia ataków ransomware.

22 sierpnia grupa LockBit stwierdziła, że wzmacnia istniejące zabezpieczenia. Dzień później z kolei zapowiedziała, że do sposobu działania – jako trzecią metodę wymuszania okupu – sama dodaje właśnie ataki DDoS. Tuż po LockBicie, ALPHV zaczęła wdrażać na swojej witrynie techniki anti-scrape na szerszą skalę.

26 sierpnia eksperci Cisco Talos odnotowali, że co najmniej siedem kolejnych witryn typu RaaS leak (LV, Hive, Everest, BianLian, Yanluowang, Snatch i Lorenz) stało się niedostępnych, działało z przerwami lub doświadczyło powolnego ruchu.

W kolejnych dniach znaczna część spośród wyżej wymienionych grup nadal borykała się z problemami z łącznością i doświadczała różnych przestojów na swoich stronach służących do prezentowania danych pochodzących z kradzieży. Może to wskazywać na fakt, że przeprowadzone działania stanowiły część szerszej akcji mającej na celu udaremnienie aktualizacji wspomnianych stron.

Biorąc pod uwagę, że działania DDoS w dalszym ciągu utrudniają publikowanie danych nowych ofiar, prawdopodobnie nadal będziemy mogli obserwować nowe reakcje poszczególnych grup cyberprzestępców, wdrażane w zależności od dostępnych zasobów.

Źródło: dfusion.pl

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200