Cyberprzestępcy także padają ofiarą ataków: strony z danymi wykradzionymi przez ransomware celem ataków DDoS

Najważniejsze informacje:

Od 20 sierpnia 2022 r. eksperci Cisco Talos obserwują ataki typu distributed denial-of-service (DDoS), skutkujące przerwami w działaniu i zerwaniem łączności. Dotknęły one kilka witryn z oprogramowaniem typu ransomware-as-a-service (RaaS), z których wyciekają dane.

Chociaż źródła tych aktywności pozostają nieznane, wydaje się, że jest to skoncentrowany atak skierowany przeciwko witrynom RaaS, mający na celu zakłócenie ich starań w zakresie ogłaszania i publikowania nowych danych ofiar ataków.

Reakcje cyberprzestępców są różne – LockBit i ALPHV wdrożyły nowe środki w celu przeciwdziałania atakom DDoS na swoje strony, podczas gdy inne grupy, takie jak Quantum, po prostu przekierowały ruch na stronie internetowej w inne miejsce. Wydaje się, że grupa LockBit również przyjęła tę taktykę, chwaląc się, że sama będzie stosować DDoS jako metodę wymuszania okupów poza szyfrowaniem i wyciekiem danych.

Warszawa, 14 września – z końcem sierpnia komórka Cisco zajmująca się cyberbezpieczeństwem, Cisco Talos, uzyskała informacje dotyczące kilku znaczących ataków DDoS na grupy związane z atakami z wykorzystaniem oprogramowania ransomware. Ofiarami padły m.in. grupy ALPHV (znana również jako BlackCat) oraz LockBit. Doświadczyły one ataków na publiczne witryny, w których przechowują wykradzione dane. Strony te są zwykle stawiane na anonimowych serwisach w ramach sieci Tor, gdzie przy pomocy metody znanej jako „podwójne wymuszenie” podmioty związane z RaaS (ransomware-as-a-service) umieszczają dane ofiar, jeśli te nie spełnią ich żądań.

20 sierpnia przedstawiciel LockBit – „LockBitSupp” – ujawnił, że prawie 1000 serwerów obrało za cel strony LockBit-u, wysyłając prawie 400 zapytań na sekundę. Po ujawnieniu faktu, że ich strony z danymi stały się niedostępne z powodu ataku DDoS, przedstawił zrzuty ekranu, które mają potwierdzać, że atak wystartował, kiedy rozpoczęto publikację danych firmy Entrust. To przedsiębiorstwo zajmujące się szeroko pojętym bezpieczeństwem cyfrowym, które grupa LockBit obrała za cel w lipcu. LockBitSupp stwierdził, że był to najpotężniejszy atak DDoS od trzech lat.

W tym samym czasie ALPHV, kolejna popularna grupa zajmująca się atakami ransomware, również doświadczyła podobnych problemów, mimo że początkowo dementowała fakt, że stała się obiektem ataku.

Powody i źródła tych ataków pozostają nieznane. Biorąc jednak pod uwagę zbieżne, ograniczone ramy czasowe i liczbę dotkniętych operatorów RaaS, można przypuszczać, że jest to skoncentrowana akcja skierowana przeciwko witrynom z kradzionymi danymi typu RaaS. Jej celem może być zakłócenie prac związanych z publikacją danych kolejnych ofiar. Warto jednak zaznaczyć, że działanie miało wpływ na strony, na których umieszczono dane, ale nie na zdolność do dalszego prowadzenia ataków ransomware.

Odpowiedź RaaS

Z obserwacji Cisco Talos wynika, że niektóre zaatakowane RaaS-y szybko wprowadziły dodatkowe zabezpieczenia, by zminimalizować utrudnienia spowodowane atakami DDoS.

22 sierpnia grupa LockBit stwierdziła, że wzmacnia istniejące zabezpieczenia. Dzień później z kolei zapowiedziała, że do sposobu działania – jako trzecią metodę wymuszania okupu – sama dodaje właśnie ataki DDoS. Tuż po LockBicie, ALPHV zaczęła wdrażać na swojej witrynie techniki anti-scrape na szerszą skalę.

Kolejne ataki

26 sierpnia eksperci Cisco Talos odnotowali, że co najmniej siedem kolejnych witryn typu RaaS leak (LV, Hive, Everest, BianLian, Yanluowang, Snatch i Lorenz) stało się niedostępnych, działało z przerwami lub doświadczyło powolnego ruchu. W kolejnych dniach znaczna część spośród wyżej wymienionych grup nadal borykała się z problemami z łącznością i doświadczała różnych przestojów na swoich stronach służących do prezentowania danych pochodzących z kradzieży. Może to wskazywać na fakt, że przeprowadzone działania stanowiły część szerszej akcji mającej na celu udaremnienie aktualizacji wspomnianych stron.

Biorąc pod uwagę, że działania DDoS w dalszym ciągu utrudniają publikowanie danych nowych ofiar, prawdopodobnie nadal będziemy mogli obserwować nowe reakcje poszczególnych grup cyberprzestępców, wdrażane w zależności od dostępnych zasobów.

Kompleksowo opisujący sprawę wpis na blogu Cisco Talos znajduje się tutaj (jęz. angielski): https://blog.talosintelligence.com/2022/09/ransomware-leaksite-ddos.html