A világ egyik legsikeresebb hekkercsoportja a saját belső adatainak kiszivárgásától szenved, miután a kiberbűnözői banda az orosz kormánnyal szövetkezett.
A Conti – amely a kutatók szerint oroszországi székhelyű – az elmúlt években dollármilliókat zsarolt ki amerikai és európai vállalatoktól. A szervezet a világ minden táján működő tagszervezeteit rosszindulatú szoftverekkel látja el, amelyeket az áldozatok ellen vetnek be, cserébe a váltságdíjfizetések egy részéért.
Az adatszivárgás – amely a támadási infrastruktúra, a Bitcoin-címek, valamint a belső konfliktusok és vádak eddig nem látott részleteit tárja fel – talán soha nem történt volna meg, ha a kiberbűnözői csoport úgy döntött volna, hogy apolitikus marad – mondta Alex Holden, a Hold Security LLC kiberbiztonsági cég vezető informatikai biztonsági tisztje a Bloombergnek.
“A lényeg az, hogy maga a banda számos ukránt tartalmazott, nem tett különbséget a tagjai között” – mondta Holden. Ez a múlt héten megváltozott, miután az orosz erők megtámadták Ukrajnát, katonai légibázisokat lőttek, ellenőrzőpontokat támadtak meg és ukrán katonák százait ölték meg.
Miközben az orosz szárazföldi invázió világszerte a tévéképernyőkön játszódott, kiberkonfliktus is zajlott.
A konfliktus mindkét oldalán hekkerek nyers erővel végrehajtott, elosztott szolgáltatásmegtagadási támadásokat indítottak, hogy a kormányzati weboldalakat offline állapotba hozzák.
A múlt hét végén a Conti sokakat meglepett azzal, hogy határozottan Vlagyimir Putyin orosz elnök táborába állt, és kijelentette, hogy “minden lehetséges eszközt be fog vetni az ellenség kritikus infrastruktúráinak visszavágására“. A bejelentés a Bloombergnek nyilatkozó kiberbiztonsági elemzők szerint szakadást okozott a csoporton belül, amely orosz és kelet-európai tagokat is számon tart a tagjai és csatlakozói között.
“A legtöbb orosz nyelvű underground fórumon nem engedélyezik a politikai témákkal kapcsolatos vitákat” – mondta Oleg Bondarenko, a Mandiant kutatócsoportjának vezető igazgatója. “Minden ilyen témát gyorsan törölnek az adminisztrátorok“, és egyes fórumok letiltják azokat a fiókokat, amelyek az orosz nyelvű országok elleni támadásokról beszélnek – tette hozzá.
A Conti nem sokkal az első üzenete után egy visszafogottabb közleményt adott ki, amelyben azt írta, hogy bár a csoport nem szövetkezik egyetlen konkrét kormánnyal sem, erőforrásait a “nyugati háborús uszítók” ellen irányítja, és megbosszul minden olyan kísérletet, amely Oroszország vagy a világ bármely orosz nyelvű régiójának kritikus infrastruktúráját célozza.
“A zsarolóvírus globális művelet. Lehet, hogy a Conti székhelye Oroszországban van, de figyelembe kell vennie az összes olyan társvállalatot, amelyek jelenleg a világ minden táján szétszóródtak, és valószínűleg nem rajonganak Oroszországért. Tehát nem lehet úgy állást foglalni, hogy ne számítsunk visszavágásra” – mondta Allan Liska, a massachusettsi székhelyű Recorded Future kiberbiztonsági cég hírszerzési elemzője.
Elmondása szerint a visszavágás a 13 hónapos múltra visszatekintő csevegési naplók és belső vádaskodások formájában jelent meg, amelyek az adatszivárgással a nyilvánosság elé kerültek.
“Több mint 150 Bitcoin-tárcát találtam, ezzel még rengeteg elemzést kell végezni” – mondta. A Conti rendszergazdái vagy a társvállalatok által a zsarolóvírus-támadások során használt háttér-infrastruktúra most elérhető lett “a kormányok vagy a kiberbiztonsági cégek számára, hogy elkezdjék vizsgálni a gyenge pontok megtalálása érdekében“. Bár a belső struktúrákat meg lehetett változtatni, “most már tudjuk, hogyan néz ki a back-end struktúra, és tudjuk, mit kell keresni, amikor áthelyezik” – mondta.
A nyomozók korábban már használtak pénzügyi adatokat, például kriptopénz tárcák címeit, hogy feltérképezzék a zsarolóvírusos hekkerek tevékenységét, és egyes esetekben lefoglalják a zsarolási pénzeket. A technikai adatok a biztonsági személyzetnek adnak támpontokat ahhoz, hogy a jövőben hogyan lehet blokkolni a Conti esetleges hekkereit.
A Hold Security munkatársa, Alex Holden is leírta, hogy mit láthatott a kiszivárgásból. “Látjuk a pénzügyi műveleteket, látjuk a törekvéseiket, például saját kriptovaluta létrehozásáról beszélnek, látjuk őket egymással harcolni. Egyikük nemrég titkosított egy agyi bénulásos betegekkel teli kórházat, és látjuk, hogyan próbálják kirúgni ezt a személyt, amiért feltörte a kódjukat” – mondta.
A kiszivárogtató személyazonossága nem tisztázott, bár Holden szerint egy ukrán kiberbiztonsági szakember áll a leleplezések mögött.
Ám ha a leleplezések a Conti uralmának végéhez is vezetnének, a zsarolóvírus-piacon még mindig sokan állnak készen arra, hogy betöltsék a helyét.
A LockBit, egy kiberbűnözői banda, amely a hekkereknek nyújtott zsarolóprogramokkal is kereskedik, a hétvégén közleményt adott ki, amelyben felsorolta a közösségéhez tartozó számos nemzetiséget.
“Számunkra ez csak üzlet, és mindannyian apolitikusak vagyunk. Csak a pénz érdekel minket az ártalmatlan és hasznos munkánkért. Soha, semmilyen körülmények között nem veszünk részt a világ bármely országának kritikus infrastruktúrája elleni kibertámadásokban, és nem veszünk részt nemzetközi konfliktusokban”– írta a csoport.
