Atakowane hakerskie strony są zwykle stawiane na anonimowych serwisach w ramach sieci Tor, gdzie przy pomocy metody znanej jako „podwójne wymuszenie” podmioty związane z RaaS (ransomware-as-a-service) umieszczają dane ofiar, jeśli te nie spełnią ich żądań.

Chociaż źródła tych aktywności pozostają nieznane, wydaje się, że jest to skoncentrowany atak skierowany przeciwko witrynom RaaS, mający na celu zakłócenie ich starań w zakresie ogłaszania i publikowania nowych danych ofiar ataków. Reakcje cyberprzestępców na takie ataki są różne. Grupy LockBit i ALPHV wdrożyły nowe środki w celu przeciwdziałania atakom DDoS na swoje strony, podczas gdy inne grupy, takie jak Quantum, po prostu przekierowały ruch na stronie internetowej w inne miejsce.

Zobacz również:

• Cyberobrona? Mamy w planach
• Cisco i Microsoft transmitują dane z prędkością 800 Gb/s

20 sierpnia przedstawiciel LockBit – „LockBitSupp” – ujawnił, że prawie 1000 serwerów obrało za cel strony LockBit-u, wysyłając prawie 400 zapytań na sekundę. Po ujawnieniu faktu, że ich strony z danymi stały się niedostępne z powodu ataku DDoS, przedstawił zrzuty ekranu, które mają potwierdzać, że atak wystartował, kiedy rozpoczęto publikację danych firmy Entrust. To przedsiębiorstwo zajmujące się szeroko pojętym bezpieczeństwem cyfrowym, które grupa LockBit obrała za cel w lipcu. LockBitSupp stwierdził, że był to najpotężniejszy atak DDoS od trzech lat.

Powody i źródła tych ataków pozostają nieznane. Biorąc jednak pod uwagę zbieżne, ograniczone ramy czasowe i liczbę dotkniętych operatorów RaaS, można przypuszczać, że jest to skoncentrowana akcja skierowana przeciwko witrynom z kradzionymi danymi typu RaaS. Jej celem może być zakłócenie prac związanych z publikacją danych kolejnych ofiar. Warto jednak zaznaczyć, że działanie miało wpływ na strony, na których umieszczono dane, ale nie na zdolność do dalszego prowadzenia ataków ransomware.

22 sierpnia grupa LockBit stwierdziła, że wzmacnia istniejące zabezpieczenia. Dzień później z kolei zapowiedziała, że do sposobu działania – jako trzecią metodę wymuszania okupu – sama dodaje właśnie ataki DDoS. Tuż po LockBicie, ALPHV zaczęła wdrażać na swojej witrynie techniki anti-scrape na szerszą skalę.

26 sierpnia eksperci Cisco Talos odnotowali, że co najmniej siedem kolejnych witryn typu RaaS leak (LV, Hive, Everest, BianLian, Yanluowang, Snatch i Lorenz) stało się niedostępnych, działało z przerwami lub doświadczyło powolnego ruchu.

W kolejnych dniach znaczna część spośród wyżej wymienionych grup nadal borykała się z problemami z łącznością i doświadczała różnych przestojów na swoich stronach służących do prezentowania danych pochodzących z kradzieży. Może to wskazywać na fakt, że przeprowadzone działania stanowiły część szerszej akcji mającej na celu udaremnienie aktualizacji wspomnianych stron.

Biorąc pod uwagę, że działania DDoS w dalszym ciągu utrudniają publikowanie danych nowych ofiar, prawdopodobnie nadal będziemy mogli obserwować nowe reakcje poszczególnych grup cyberprzestępców, wdrażane w zależności od dostępnych zasobów.

Źródło: dfusion.pl