Door Raphael Satter
WASHINGTON (Reuters) -Digitale afpersingspogingen keren terug naar hun pre-koloniale pijplijnniveaus, volgens gegevens en interviews met enkele hulpverleners, wat suggereert dat de onrust rond de hack die een grote Amerikaanse brandstofleiding lamlegde, de honger van cybercriminelen naar losgeld.
Ransomware-incidenten worden meestal in het geheim gehuld, waarbij zowel slachtofferbedrijven als criminelen graag willen voorkomen dat de oogverblindende afpersingsbetalingen openbaar worden. Maar indirecte gegevens suggereren dat de wereldwijde publiciteit rond de hack van Colonial Pipeline, die het bedrijf bijna een week lamlegde en leidde tot brandstoftekorten aan de oostkust van de VS, weinig of niets deed om de bloeiende industrie te doorboren.
Er was een daling in het aantal bedrijven waarvan de gegevens werden geüpload naar de naam-en-schaamte-sites van ransomware-exploitanten in de dagen na de koloniale inbraak, zei Allan Liska, een onderzoeker bij cyberbeveiligingsbedrijf Recorded Future.
Maar de sites die de hackers gebruiken om hun slachtoffers onder druk te zetten om te betalen door stapels gevoelige gegevens te lekken, zijn nu "weer normaal", zei hij, met dagelijks 10-15 slachtoffers.
Gegevens die privé worden bijgehouden door ID Ransomware https://id-ransomware.malwarehunterteam.com - een ransomware-identificatiesite die wordt beheerd door Emsisoft-onderzoeker Michael Gillespie - toont aan dat het indienen van afpersingssoftware sterk daalde in de dagen na het nieuws over de koloniale hack, om vervolgens weer te stijgen hoger dan voorheen.
Gillespie's collega Brett Callow zei dat een mogelijke verklaring voor de dip is dat sommige hackers hun activiteiten onderbreken te midden van de pijplijnchaos en nu de achterstand opruimen.
'Ik denk dat de groepen weer gewoon doorgingen,' zei Callow.
Een andere mogelijke verklaring is dat er een periode van verwarring was toen ondergrondse fora de reclame voor ransomwarepartnerschappen verbood, zei David Nides van adviesbureau KPMG.
"De dreigingsactoren pasten zich snel aan", zei hij.
Andere analisten zagen geen enkele verandering.
"We hebben niet echt een stijging of daling opgemerkt", zegt Mark Manglicmot van cybersecuritybedrijf Arctic Wolf.
Sommige ransomware-operators, waaronder DarkSide, de groep die de schuld kreeg van de inbraak bij Colonial, zijn ofwel van het internet verdwenen of hebben nieuwe beperkingen aangekondigd, verklaringen die door experts met scepsis zijn ontvangen.
Manglicmot zei dat hij ook betwijfelde of de verdwijningen enige echte impact hadden.
"Er is een markt die groot genoeg is dat als de ene provider uitvalt, er andere zijn waar ze vrij snel naartoe kunnen gaan", zei hij. "De aanvallers laten zich niet afschrikken door de publiciteit."
Dat kan gedeeltelijk te wijten zijn aan de buitengewone bedragen die ermee gemoeid zijn. In een blogpost die dinsdag https://www.elliptic.co/blog/darkside-ransomware-has-netted-over-90-million-in-bitcoin werd gepubliceerd, zei het digitale valuta-trackingbedrijf Elliptic dat DarkSide $ 90 miljoen had gewonnen aan bitcoin in losgeld van 47 slachtoffers.
Of Colonial zelf losgeld heeft betaald, is nog niet openbaar gemaakt. Vorige week meldden Reuters en andere media dat Colonial niet van plan was losgeld te betalen. Maar Bloomberg en enkele andere nieuwsuitzendingen meldden later dat het bijna $ 5 miljoen had betaald. De rapportage werd bevestigd door Elliptic, die zei dat het de betaling zelf had geïdentificeerd in het openbaar zichtbare grootboek van bitcoin-transacties.
Herhaalde pogingen van Reuters om de hackers te bereiken zijn niet succesvol geweest en Colonial zelf heeft geen commentaar gegeven op de vraag of het heeft betaald.
Amerikaanse vertegenwoordigers Carolyn Maloney en Bennie Thompson, de voorzitters van de House Committees on Oversight and Reform and Homeland Security respectievelijk, zeiden dinsdag dat ze teleurgesteld waren over de weigering van Colonial om het gerapporteerde losgeld te bespreken.
"Om het Congres effectief wetgeving inzake ransomware te laten maken, hebben we deze informatie nodig", zei het tweetal in een gezamenlijke verklaring https://homeland.house.gov/news/press-releases/maloney-thompson-statement-on-staff- briefing-met-koloniale-pijplijn.
(Rapportage door Raphael Satter; bewerking door Grant McCool en Richard Pullin)
Beeldcredits: Reuters
Coinsmart. Beste Bitcoin-beurs in Europa
Bron: https://datafloq.com/read/ransomware-hits-near-pre-colonial-pipeline-levels-data-suggests/14765
