Группировка Data Exposure Logs выдаёт кражу данных за "аудит безопасности" и берёт плату за молчание

Следующей жертвой стала южнокорейская Joycity, разработчик и издатель игр. Её имя появилось 5 марта. В мае к списку добавилась турецкая торговая компания Mopas Online Supermarket, в июне - ещё несколько организаций. До середины лета активность оставалась умеренной. Затем темп резко вырос: август и сентябрь дали основную часть публикаций.

Всего на площадке сейчас 26 записей. Шестнадцать организаций названы полностью, три показаны с сокращёнными именами, ещё семь скрыты за пометками об оплате и достигнутом сотрудничестве. По данным анализа, из девятнадцати записей с датой обнаружения двенадцать приходятся на сентябрь. География широкая: Россия, Украина, Южная Корея, Япония, Аргентина, Индия, Италия. Россия даёт самую крупную группу - десять записей из двадцати четырёх, где страна определяется. Заметного отказа от работы с ближним зарубежьем при этом нет: украинские адресаты соседствуют с российскими.

Восьмое сентября стало самым плотным днём публикаций. Тогда подряд появились компании из России, Украины, Аргентины и Южной Кореи. Через несколько дней к ним добавились японская и индийская организации. Отрасли разные: больше всего технологических и софтверных компаний, следом идут образование, промышленность, розница и финансовый сектор. Часть карточек почти не содержит доказательств взлома, а в отдельных случаях прямо указано, что утечки не было. Заявление группировки и подтверждённый инцидент - не одно и то же.

Приписывать группировку конкретной стране оснований нет. Русскоязычных адресатов много, но это говорит лишь о выборе целей. Ни лидеров, ни структуры, ни связи с известными семействами программ-вымогателей публично не подтверждено.

Основной рычаг группировки - юридические риски, а не техническая сложность. Жертве отводят приватное окно на исправление и требуют плату за аудит и консультацию. Взамен обещают отчёт об уязвимостях и уничтожение похищенных сведений. Отказ ведёт к публикации: организация попадает в открытый список, а уведомления уходят клиентам, партнёрам и регуляторам. Письма адресованы руководству и юристам, а не техническим службам. На сайте группировки есть отдельные статусы для идущего окна, раскрытия доказательств и урегулирования. Итальянские компании получают на реакцию от семи до восьми дней.

Записи о достигнутом сотрудничестве группировка помечает как успешные: данные якобы удалены, меры защиты проверены. Подтвердить это со стороны невозможно, имена заплативших не раскрываются. Такие пометки работают как реклама схемы для следующих жертв.

Вход в инфраструктуру почти всегда связан с украденными учётными данными. Примерно у двух третей пострадавших с собственными доменами пароли раньше попадали в руки похитителей. Открытые сервисы удалённого доступа, включая виртуальные частные сети (VPN) и удалённый рабочий стол, служат главной точкой входа. Дальше злоумышленники действуют штатными средствами администрирования и создают новые учётные записи, чтобы закрепиться. Сложный вредоносный код им почти не нужен.

Собирают финансовые документы, заказы, кадровые записи, переписку, операционные данные и исходный код. Найденное упаковывают в архивы и только потом выводят за пределы сети. Для хранения украденного группировка держит отдельный анонимный сервис, не связанный с основной площадкой. Такой этап может длиться неделями, а системы работают привычно. Внешних признаков сбоя почти нет, и до письма с требованием организация может не знать о вторжении.

Шифрование группировка заявляет, но подтвердить его нечем. Публичного образца вредоносной программы нет, алгоритм, ключи и способ восстановления файлов неизвестны. Записка о выкупе продолжает легенду об аудите: конкретной суммы в ней нет, криптокошелёк не указан, инструкций по расшифровке тоже нет. Удаление теневых копий и отключение средств восстановления относят к тем же неподтверждённым этапам.

Главная мера защиты - работа с учётными данными. Многофакторная аутентификация для удалённого доступа и администрирования закрывает самый частый сценарий. Открытые наружу порты удалённого рабочего стола лучше закрыть. Проверки требуют новые локальные и доменные учётные записи, входы из неожиданных стран и одновременная работа одной учётной записи из разных точек. Массовое создание архивов и резкий рост исходящего трафика тоже служат поводом для разбирательства.

Резервные копии держат в автономном хранилище, недоступном для скомпрометированных учётных данных. Группировка рассчитывает на спешку и нежелание огласки: жертве дают считанные дни, а давление идёт через клиентов, партнёров и регуляторов. Юридическую службу и коммуникации подключают с первого дня, а не после публикации. Заметный ущерб от таких кампаний чаще приносят не шифрование, а раскрытие данных и последующие штрафы.