I federali hanno sgominato la prolifica banda di ransomware Hive, salvando le vittime da una richiesta di riscatto collettiva di 130 milioni di dollari. Ma resta da vedere quanto sarà un colpo lo sforzo per il panorama generale del ransomware.
Le operazioni del gruppo sono in fermento da mesi, registrando oltre 1,500 vittime in oltre 80 paesi in tutto il mondo da quando è apparso nel giugno 2021, secondo un annuncio del Dipartimento di Giustizia degli Stati Uniti. La banda ha operato con un modello ransomware-as-a-service (RaaS), impegnandosi nel furto di dati e nella doppia estorsione, e consegnando il suo veleno indiscriminatamente a distretti scolastici, società finanziarie, infrastrutture critiche e altri. Almeno un affiliato è diventato un po 'a specialista ospedaliero, interrompere la cura del paziente in alcuni attacchi
In quello che i funzionari hanno definito "un cyber-pistaggio del 21° secolo", l'FBI si è infiltrata nell'infrastruttura di rete della banda dallo scorso luglio e, cosa forse più importante, ora ha sequestrato le sue chiavi di decrittazione.
"L'FBI ha fornito oltre 300 chiavi di decrittazione alle vittime di Hive che erano sotto attacco", secondo Annuncio di giovedì. "Inoltre, l'FBI ha distribuito oltre 1,000 chiavi di decrittazione aggiuntive alle precedenti vittime di Hive."
Hive: andato per sempre?
Oltre a strisciare i decryptor, il DoJ ha anche collaborato con le forze dell'ordine tedesche per eseguire un sequestro coordinato dell'infrastruttura di comando e controllo (C2) del gruppo (inclusi due server situati a Los Angeles) e del sito di fuga di Dark Web del gruppo, procuratore degli Stati Uniti Lo ha detto il generale Merrick Garland durante una conferenza stampa.
Le azioni potrebbero avere un effetto significativo sul volume degli attacchi ransomware, almeno a breve termine. Secondo Mandiant, Hive è stata la famiglia di ransomware più prolifica con cui ha avuto a che fare nei suoi impegni di risposta agli incidenti, rappresentando oltre il 15% delle intrusioni di ransomware a cui ha risposto.
Detto questo, mentre lo sciopero sarà sicuramente un duro colpo per la banda, è improbabile che i suoi affiliati e membri rimarranno dormienti a lungo. Come con altri takedown di alto profilo come quelli di Conti ed Revil, è probabile che si uniranno semplicemente ad altri team o si riorganizzeranno per pungere un altro giorno.
"Abbiamo visto più attori utilizzare il ransomware Hive da quando è emerso, ma l'attore più prolifico nell'ultimo anno, in base alla nostra visibilità, è stato UNC2727", ha dichiarato Kimberly Goody, senior manager di Mandiant Intelligence - Google Cloud, in una dichiarazione via e-mail . “Inoltre, Hive non è stato l'unico ransomware nel suo toolkit; in passato li abbiamo visti impiegare Conti e MountLocker, tra gli altri. Ciò dimostra che alcuni attori hanno già relazioni all'interno dell'ampio ecosistema che potrebbero consentire loro di passare facilmente all'utilizzo di un altro marchio come parte delle loro operazioni".
Il ransomware sta diventando meno attraente
Tuttavia, il gioco del ransomware sta diventando più difficile per gli operatori, che devono affrontare margini di profitto in calo, valutazioni inferiori per la criptovaluta, intensi controlli delle forze dell'ordine, più vittime che dispongono di backup appropriati e un crescente rifiuto da parte degli obiettivi di pagare. Pertanto, i ricercatori hanno visto una tendenza emergente di attori ransomware percorrendo altre strade fare soldi.
Crane Hassold, ex analista delle operazioni psicologiche informatiche dell'FBI e capo della ricerca presso Abnormal Security, ha dichiarato via e-mail che quest'ultimo evento probabilmente aggiungerà carburante a quel fenomeno.
"È molto probabile che inizieremo a vedere gli attori del ransomware orientarsi verso altri tipi di attacchi informatici, come la compromissione della posta elettronica aziendale (BEC)", ha affermato. "BEC è oggi la minaccia informatica più incisiva dal punto di vista finanziario e, invece di utilizzare il loro malware di accesso iniziale per prendere piede nella rete di un'azienda, potrebbero semplicemente riconfigurare il malware per stabilire l'accesso alle caselle di posta dei dipendenti, il che potrebbe portare a e-mail dei fornitori più scalate e sofisticate attacchi di compromesso”.
- Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
- Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
- Fonte: https://www.darkreading.com/vulnerabilities-threats/hive-ransomware-gang-loses-honeycomb
