САН-ХОСЕ, Калифорния — 13 мая 2021 г. — Компания Zscaler, Inc. (NASDAQ: ZS), лидер в области облачной безопасности, объявила о выпуске нового отчета о программах-вымогателях (Ransomware Report), содержащего анализ ключевых тенденций в сфере программ-вымогателей и подробную информацию о наиболее активных злоумышленниках, используемой ими тактике атак и наиболее уязвимых целевых отраслях. Встроенная исследовательская команда Zscaler™ ThreatLabz проанализировала более 150 миллиардов транзакций платформы и 36,5 миллиардов заблокированных атак в период с ноября 2019 года по январь 2021 года, чтобы выявить новые варианты программ-вымогателей, их происхождение и способы их остановки. В отчете также описывается растущий риск «атак с двойным вымогательством», которые все чаще используются киберпреступниками для нарушения работы бизнеса и удержания данных в заложниках за выкуп.

«За последние несколько лет угроза программ-вымогателей стала чрезвычайно опасной: новые методы, такие как двойное вымогательство и DDoS-атаки, позволяют киберпреступникам легко саботировать организации и наносить долгосрочный ущерб их репутации», — заявил Дипен Десаи (Deepen Desai), директор по информационной безопасности и вице-президент по исследованиям безопасности в Zscaler. «Наша команда ожидает, что атаки программ-вымогателей станут еще более целенаправленными, а киберпреступники будут нападать на организации с более высокой вероятностью выплаты выкупа. Мы проанализировали недавние атаки программ-вымогателей, в ходе которых киберпреступники обладали информацией о таких вещах, как наличие у жертвы полиса киберстрахования, а также о ключевых поставщиках цепочки поставок, что ставило их под удар в ходе этих атак. Поэтому компаниям крайне важно лучше понимать риски, которые представляют программы-вымогатели, и принимать надлежащие меры предосторожности во избежание атаки. Всегда устраняйте уязвимости, обучайте сотрудников обнаружению подозрительных электронных писем, регулярно делайте резервные копии данных, внедряйте стратегию предотвращения потери данных и используйте архитектуру нулевого доверия (zero trust) для минимизации поверхности атаки и предотвращения перемещения злоумышленников внутри сети».

Согласно Отчету о глобальных рисках Всемирного экономического форума за 2020 год, программы-вымогатели стали третьим по распространенности и вторым по степени ущерба типом вредоносных атак, зарегистрированных в 2020 году. Учитывая, что средний размер выплат составляет 1,45 млн долларов за инцидент, нетрудно понять, почему киберпреступники все чаще стремятся использовать этот новый стиль высокотехнологичного вымогательства. По мере роста доходов от этого вида преступлений возрастают и риски для правительственных учреждений, финансовых результатов компаний, репутации, целостности данных, доверия клиентов и непрерывности бизнеса. Исследование Zscaler подтверждает мнение, недавно высказанное федеральным правительством США, которое classifies классифицирует программы-вымогатели как угрозу национальной безопасности; подчеркивая необходимость уделять первоочередное внимание мерам по смягчению последствий и планам реагирования на ЧС при защите от этих постоянных угроз.

Двойное вымогательство — новый предпочитаемый метод

В конце 2019 года ThreatLabz заметила растущую популярность «атак с двойным вымогательством» среди некоторых наиболее активных и влияющих на ситуацию семейств программ-вымогателей. Эти атаки характеризуются сочетанием нежелательного шифрования конфиденциальных данных злоумышленниками и эксфильтрации наиболее важных файлов для последующего требования выкупа. Пострадавшим организациям, даже если они способны восстановить данные из резервных копий, преступные группы, требующие выкуп, начинают угрожать публичным раскрытием их украденных данных. В конце 2020 года команда заметила, что эта тактика была дополнительно усилена синхронизированными DDoS-атаками, которые перегружают веб-сайты жертв и оказывают дополнительное давление на организации с целью принуждения к сотрудничеству.

По данным Zscaler ThreatLabZ, за последние два года жертвами атак программ-вымогателей с двойным вымогательством стали самые разные отрасли. Наиболее часто атакам подвергались следующие сферы:

Производство (12,7%)
Услуги (8,9%)
Транспорт (8,8%)
Розничная и оптовая торговля (8,3%)
Технологии (8%)

Процент атак программ-вымогателей с использованием двойного вымогательства, зафиксированных в период с ноября 2019 года по январь 2021 года

Наиболее активные программы-вымогатели

За последний год ThreatLabz выделила семь «семейств» программ-вымогателей, с которыми сталкивались чаще других. В отчете рассматриваются происхождение и тактика следующих пяти наиболее активных групп:

Maze/Egregor: Впервые обнаруженный в мае 2019 года, Maze был программой-вымогателем, наиболее часто используемой для атак с двойным вымогательством (на его счету 273 инцидента), пока в ноябре 2020 года он, судя по всему, не прекратил свою деятельность. Злоумышленники использовали спам-рассылки, наборы эксплойтов, такие как Fallout и Spelevo, а также взломанные службы RDP для получения доступа к системам и успешно собирали крупные выкупы после шифрования и кражи файлов у IT-компаний и технологических предприятий. Тройкой основных отраслей, атакованных Maze, были высокие технологии (11,9%), производство (10,7%) и сфера услуг (9,6%). Примечательно, что Maze пообещал не атаковать компании здравоохранения во время пандемии COVID-19.
Conti: Впервые обнаруженная в феврале 2020 года и являющаяся вторым по распространенности семейством атак (на ее счету 190 инцидентов), Conti разделяет код с программой-вымогателем Ryuk и, судя по всему, является ее преемником. Conti использует API диспетчера перезапуска Windows перед шифрованием файлов, что позволяет ей шифровать больше файлов в рамках подхода с двойным вымогательством. Данные жертв, которые не хотят или не могут заплатить выкуп, регулярно публикуются на сайте утечек Conti. Тройкой наиболее пострадавших отраслей являются производство (12,4%), сфера услуг (9,6%) и транспортные услуги (9,0%).
Doppelpaymer: Впервые замеченный в июле 2019 года и насчитывающий 153 задокументированные атаки, Doppelpaymer нацелен на различные отрасли и часто требует крупных выплат — в шести- и семизначных цифрах. Первоначально заражая машины с помощью спам-письма, содержащего вредоносную ссылку или вредоносное вложение, Doppelpaymer затем загружает вредоносное ПО Emotet и Dridex в зараженные системы. Тройкой основных целей Doppelpaymer были производство (15,1%), розничная и оптовая торговля (9,9%) и государственный сектор (8,6%).
Sodinokibi: Также известная как REvil и Sodin, Sodinokibi была впервые обнаружена в апреле 2019 года и встречается все чаще — на ее счету 125 атак. Подобно Maze, Sodinokibi использует спам-письма, наборы эксплойтов и взломанные учетные записи RDP, а также часто эксплуатирует уязвимости в Oracle WebLogic. Sodinokibi начала использовать тактику двойного вымогательства в январе 2020 года и оказала наибольшее влияние на транспортную отрасль (11.4%), производство (11.4%) и розничную/оптовую торговлю (10.6%).
DarkSide: DarkSide был впервые замечен в августе 2020 года после публикации пресс-релиза, рекламирующего его услуги. Используя модель «Программа-вымогатель как услуга» (Ransomware-as-a-Service), DarkSide применяет методы двойного вымогательства для кражи и шифрования информации. Группа открыто заявляет о своем целевом манифесте, указывая на своем веб-сайте, что она не атакует организации здравоохранения, ритуальные услуги, учебные заведения, некоммерческие организации или правительственные учреждения. Вместо этого основными выбранными целями являются сфера услуг (16,7%), производство (13,9%) и транспортные услуги (13,9%). Как и в случае с Conti, данные тех, кто не может заплатить выкуп, публикуются на сайте утечек DarkSide.

Полный обзор программ-вымогателей Zscaler теперь доступен широкой общественности. Дополнительную информацию см. в статье «ThreatLabZ Ransomware Review: The Advent of Double Extortion».

Чтобы узнать больше о программах-вымогателях от команды ThreatLabZ, посетите сессию «Достижения в борьбе с программами-вымогателями» на Zenith Live, виртуальном мероприятии компании Zscaler, которое состоится 15 июня. Зарегистрируйтесь бесплатно сегодня.