Πρόσφατη έρευνα έδειξε ότι η πληρωμή των χάκερς για ransomware επιθέσεις ανέρχεται κατά μέσο όρο στα 84.000 δολάρια. Είναι φανερό ότι οι χάκερς τείνουν να αυξάνουν όλο και περισσότερο τα λύτρα που ζητούν για ransomware επιθέσεις, με αποτέλεσμα να αυξάνεται ταυτόχρονα και ο χρόνος διακοπής λειτουργίας των συστημάτων των εταιρειών-θυμάτων των επιθέσεων. Το ερώτημα που τίθεται είναι αν πρέπει οι εταιρείες-θύματα να πληρώνουν λύτρα στους χάκερς προκειμένου να μπορέσουν να ανακτήσουν τα δεδομένα τους και να αποκαταστήσουν τα συστήματά τους.
Σύμφωνα με έρευνα της Coveware’s Q4 Ransomware Marketplace (της οποίας η πλατφόρμα βοηθά τις εταιρείες που έχουν πέσει θύματα εγκληματιών του κυβερνοχώρου να διαπραγματευτούν επιτυχώς για ένα χαμηλότερο κόστος εξαγοράς και ένα εργατικό εργαλείο αποκρυπτογράφησης) η απάντηση είναι ξεκάθαρα “ΝΑΙ”. Πιο συγκεκριμένα, τα ευρήματα της αναφοράς Q4 Ransomware Marketplace της Coveware είναι τα εξής:
- Μέση τιμή εξαγοράς: μέσα στο 2019, η μέση τιμή εξαγοράς αυξήθηκε κατά 104% φθάνοντας τα 85.000 περίπου δολάρια, από 42.000 δολάρια που ήταν στις αρχές του 2019. Η μέση τιμή εξαγοράς ransomware στο Q4 ήταν 41.179 δολάρια.
- Ανάκτηση δεδομένων: σε περίπτωση που ο χάκερ δεν παραδίδει το εργαλείο αποκρυπτογράφησης, πιθανόν να οδηγήσει σε ποσοστό 0% ανάκτησης δεδομένων. Yπάρχει πιθανότητα τα αρχεία και οι server να καταστραφούν κατά τη διάρκεια ή μετά τη διαδικασία κρυπτογράφησης, γεγονός που ενδέχεται να επηρεάσει τα ποσοστά ανάκτησης δεδομένων ακόμα και όταν παραδίδεται ένα εργαλείο αποκρυπτογράφησης. Στα μέσα του 2019, το 98% των εταιρειών που κατέβαλαν λύτρα έλαβε ένα εργαλείο αποκρυπτογράφησης.
- Xρόνος διακοπής της λειτουργίας των “χακαρισμένων” συστημάτων: στα μέσα του 2019, ο αντίστοιχος μέσος χρόνος διακοπής λειτουργίας των “χακαρισμένων” συστημάτων αυξήθηκε σε 17 περίπου ημέρες, από 12 ημέρες που ήταν στις αρχές του 2019. Η αύξηση του χρόνου διακοπής οφείλεται στην αυξημένη επικράτηση των επιθέσεων επί των μεγαλύτερων επιχειρήσεων, οι οποίες χρειάζονταν βδομάδες για να αποκαταστήσουν τα συστήματά τους.
- Αποκρυπτογράφηση: στα μέσα του 2019, οι εταιρείες-θύματα που πλήρωσαν για το κλειδί αποκρυπτογράφησαν με επιτυχία το 97% των κρυπτογραφημένων δεδομένων τους, σημειώνοντας αύξηση συγκριτικά με την αρχή του έτους.
- Αποπληρωμή λύτρων: Το Bitcoin χρησιμοποιείται σχεδόν αποκλειστικά πλέον σε όλα τα είδη εκβιασμού στον κυβερνοχώρο. Οι εγκληματίες του κυβερνοχώρου έχουν συνειδητοποιήσει ότι είναι ευκολότερο να εισπράττουν τα λύτρα σε κέρματα απορρήτου, αφού τα συγκεντρώσουν, παρά να απαιτούν από ένα θύμα να αγοράσει έναν λιγότερο ρευστό τύπο ψηφιακού νομίσματος.
- Ransomware από φορέα επίθεσης: Κατά τη διάρκεια του Q4, το 2019 τα κατωτέρων προδιαγραφών ransomware-as-a-service, όπως το Dharma και το Phobos συνέχισαν να εκμεταλλεύονται φθηνούς και εύκολους φορείς επίθεσης, όπως το RDP. Οι πιο εξελιγμένες ομάδες, όπως το Sodinokibi, χρησιμοποιούν επίσης το RDP όταν είναι διαθέσιμο, αλλά παρατηρήθηκε επίσης η εκμετάλλευση πιο τεχνικά πολύπλοκων CVE’s και η χρήση phishing μέσω ηλεκτρονικού ταχυδρομείου.
- Συνηθισμένοι τύποι ransomware από φορέα επίθεσης: Οι επιτιθέμενοι με Ryuk συνεχίζουν να εκμεταλλεύονται το phishing για να κερδίσουν ένα αρχικό holde toe μέσα σε ένα δίκτυο πριν κλιμακώσουν τα προνόμιά τους. To Ryuk παρατηρήθηκε επίσης με την χρήση ενός χαρακτηριστικού που ονομάζεται Wake-on-LAN για να ενεργοποιηθούν οι υπολογιστές που αρχικά είχαν απενεργοποιηθεί για να διασφαλιστεί η εκτεταμένη κρυπτογράφηση.
Γενικότερα, οι πιο διαδεδομένοι τύποι ransomware που χρησιμοποιούν οι χάκερς είναι οι ακόλουθοι:
- Στο Q4, το 2019, το Sodinokibi (ransomware-as-a-service) ήταν ο τύπος ransomware που εντοπίστηκε στις περισσότερες επιθέσεις.
- Ακολουθεί το Ryuk Ransomware.
- Τα Phobos και Dharma εξακολουθούν να αποτελούν σταθερό μέρος των επιθέσεων ransomware εναντίον μικρών επιχειρήσεων.
- Θυγατρική εταιρεία ανά αριθμό εργαζομένων: στο χαμηλότερο άκρο της αγοράς, λειτουργούσαν ευρέως διαθέσιμες παραλλαγές ransomware-as-a-service, όπως το Dharma / Phobos. Στο άλλο άκρο της αγοράς, οι επιθέσεις με Ryuk συνεχίζουν να στοχεύουν τις μεγάλες επιχειρήσεις.
- Οι μεσαίες επιχειρήσεις- στόχος Ransomware: οι εταιρείες επαγγελματικών υπηρεσιών, όπως οι περιφερειακές νομικές εταιρείες, οι συμβουλευτικές εταιρείες και οι πάροχοι υπηρεσιών πληροφορικής, αποτελούν το μεγαλύτερο μέρος της βιομηχανίας. Οι οργανώσεις του δημοσίου τομέα ευθύνονται για ένα υψηλό ποσοστό επιθέσεων ransomware. Το Sodinokibi στοχοποιεί εξειδικευμένους παρόχους υπηρεσιών στο πλαίσιο της υγειονομικής περίθαλψης, ενώ παραλλαγές, όπως το Defray 777, εστιάζουν όλες τις επιθέσεις τους στη βιομηχανία.
- Μεσαίο μέγεθος εταιρειών που στοχεύουν τα ransomware: το μέσο μέγεθος της εταιρείας μειώθηκε σε 610 εργαζόμενους στα μέσα του 2019, από 645 που ήταν στις αρχές του 2019.
