Jak vypadá vyjednávání o výkupném u ransomware

Předchozí článek jsem věnoval metodě OSINT – jak pracovat s informacemi, které jsou veřejně dostupné na internetu. S jejich pomocí jsme našli jednu kritickou chybu v síti Povodí Vltavy, která mohla být vstupním bodem hackerů do jejich sítě. Článek následně „přepublikovali“ i na Lupa.cz a od řady z vás jsem dostal pozitivní zpětnou vazbu. Všem vám za to velice děkuji! Budu se vám tedy i nadále snažit přinášet neotřelé informace a praktické postupy.

Minulý týden se mi do rukou dostal záznam komunikace mezi obětí ransomware a útočníky. Když jsem jej zpracovával, došlo mi, že zatímco o ransomware se už napsalo mnoho, o komunikaci s útočníky nikoliv. 😊 V podstatě za celou dobu jsem viděl pouze dva články, které komunikaci zobrazovaly („How to Haggle With Your Hacker“ a druhý článek jsem bohužel nedohledal). Rozhodl jsem se, že se o záznam vyjednávání o výkupném s vámi podělím. Včetně postřehů, které mi na komunikaci s hackery přišly zajímavé.

Rozumím, že pro řadu lidí je komunikace s útočníky a placení výkupného za onou pomyslnou hranou. Avšak neřešme nyní morální rozměr, prosím. Situace se již stala. Využijme získané komunikace, abychom si rozšířili naše znalosti o ransomware „byznysu“.

Komunikace o výkupném

Co je na komunikaci o výkupném zajímavého

Mé postřehy ke komunikaci s hackery…

Původní a finální cena výkupného

Jednání o výkupném připomíná smlouvání na tureckém bazaru. Na začátku útočníci požadovali 2 BTC (v té době cca 440.000 Kč). Finální cena, kterou oběť zaplatila, činila 0,4 BTC (cca 88.000 Kč). Neboli pouze 20 % původní požadované částky. Získat slevu 80 % je z mé zkušenosti velice dobrý výkon. To, jaké slevy se podaří dosáhnout, záleží na ochotě zákazníka riskovat (hrozí, že útočníka naštvete/urazíte a přestane s vámi komunikovat) a časové naléhavosti získat data zpět (jestli je potřebujete do hodiny, nebo do týdne).

Strategie při vyjednávání

Je to jako při hraní pokeru. Každá strana zná své „karty“, snaží se zachovat „pokerface“ a odhadnout „karty“ svého protivníka.

• Oběť zná cenu svých dat (ví, kolik je za ně ochotná zaplatit) a zná závažnost své situace (zdali má aktuální/historické zálohy, o kolik dat nenávratně přišla). Na útočníka však hraje divadlo, že se vlastně nic nestalo a většinu dat si může obnovit ze zálohy. Jen tedy akorát přišla o pár dokumentů, které nejsou kritické, ale ráda by je zpátky. Zároveň se snaží odhadnout, jaká je nejmenší částka výkupného, na kterou útočníci přistoupí, ale neurazí je natolik, aby odmítli dále vyjednávat.
• Útočníci ví, koho napadli, co se jim v síti oběti podařilo smazat/zašifrovat a jaká je nejmenší cena, za kterou data uvolní. Odhadují však, jak špatně na tom oběť je (zdali nějaké zálohy přežily, nebo ne) a jakou hodnotu pro ni data mají. Na základě toho totiž musí „nacenit“ velikost výkupného. Nejvíce jsou ochotny zaplatit firmy, co se ocitnou úplně bez dat. Méně však firmy, co mají alespoň částečné zálohy a nejméně ty, které mají zálohu všech dat. Na oběť se tváří nekompromisně, dávají časová ultimáta a hrozí, že oběť už svá data nikdy neuvidí.
• Z pohledu nezainteresované osoby se vyjednávání tváří mnohem jednodušeji než očima firmy, která bez dat skončí svou existenci. Prvotní protinabídka oběti ve výši 500 EUR (necelá 3 % požadované částky) byla odvážná, avšak podle mě pomohla k výraznému snížení výkupného (taková „cenová protikotva“). Útočníci se demonstrativně na půl dne odmlčeli. Tím, že oběť na věc „netlačila“, dala útočníkům najevo, že data pro ni opravdu nejsou kritická, což vedlo k slevě na výkupném.
• Celé vyjednávání mi připomnělo knížku „Nikdy nedělej kompromis“ od Chriss Vosse. Pokud vás psychologie vyjednávání zajímá, vřele ji doporučuji (zároveň podpoříte i jedno skvělé nakladatelství, zvlášť v této nemilé době).

Hackeři se rádi pochlubí

Člověk by čekal, že si hackeři přejí zůstávat „anonymní“. Avšak vypadá to, že jsou na svou historii a jméno, které si vydobyli, hrdí a rádi se pochlubí. V komunikaci se chlubí tím, že jsou skupina Matrix, pracují od roku 2013 a denně přijmou 20–30 plateb. K diskusi samozřejmě zůstává, zdali píšou pravdivé informace. Z naší zkušenosti z jiných případů se běžně stává, že se hackeři pochlubí svým jménem – snaží se svým jménem (pověstí) oběti „garantovat“, že data po zaplacení opravdu dostanou.

Hackeři jsou organizovaní

Je vidět, že se v komunikaci střídá více osob. Minimálně dvě. Jedna druhou nazývá šéfem, která má na rozdíl od ní přístup k dešifrovacím klíčům. Hierarchie a rozdílná oprávnění ukazují na „profesionalizaci“.

Zákaznický servis

Většina komunikace probíhala během víkendu v denních i nočních hodinách. Útočníci se zmínili, že jsou v GMT+4 a odpovědi chodily i v řádu minut. Stejně tak hackeři ochotně pomohli dešifrovat i soubory, které jejich program nedešifroval.

Z toho je vidět, že jim na „dobré“ pověsti opravdu záleží. Díky ní jsou totiž oběti ochotné riskovat platbu výkupného ještě před tím, než jsou jim data navrácena. Na rozdíl od „legálního“ byznysu zde totiž neexistuje výměna skrze „advokátní/notářskou úschovu“. 😊

Komunikace a platba

A ještě pár poznámek z naší praxe:

• Komunikace probíhá v angličtině skrze e-mail. Útočníci v síti oběti zanechají „ransomnote“ (vyděračský dopis) s instrukcemi, kde je má oběť kontaktovat (aktuálně útočníci vytváří i samoobslužené „e-shopy“). Častokrát dopis zmiňuje více mailových adres. To pro případ, že by byla nějaká z e-mailových schránek zablokována (např. policií). Útočníci, se kterými jsme se setkali, nejčastěji používají e-mailové servery protonmail.com a cock.li.
• Výkupné bývá požadováno v Bitcoinech. Kvůli neodvolatelnosti plateb, rozšířenosti kryptoměny a „pseudoanonymitě“. Je však možné, že kvůli vyšší anonymitě se bude přecházet na jiné kryptoměny. Například ransomware skupina Sodinokibi/REvil začala přecházet na Monero.
• Vyjednávání o výkupném není vždy tak dlouhé jako v tomto případě. Někdy zabere jen pár e-mailů. Hlavně když zákazník na obnovu skutečně pospíchá a výkupné je ze strany útočníků „špatně“ (myšleno nízko) naceněno. Osobně bych však doporučil trochu „brečet“, než se výkupné zaplatí. Aby útočník nezískal pocit, že oběť mohla zaplatit víc a nezkusil po oběti žádat více peněz.

Závěr

V závěru mi dovolte připomenout to velmi podstatné: Placením výkupného se „byznys“ s ransomware podporuje a vede k dalším napadeným firmám. Pokud je možnost data obnovit ze záloh, doporučuji tak učinit a výkupné neplatit.

Pokud jste si v komunikaci všimli nějaké další zajímavosti, dejte vědět v komentářích. Stejně tak budu rád za vaši zpětnou vazbu a nápady. 😊

Pokud vás zajímá téma ransomware, koukněte na mé předchozí články:

• „Jak obnovit síť po ransomware útoku“ – jak obnovit firemní počítačovou síť po útoku ransomware? Co dělat jako první? Sdílím (pracně) získané zkušenost, abyste obnovili provoz co nejdříve.
• „Jak hackeři napadají firmy skrze jejich IT dodavatele“ – nezáleží, kolik do IT bezpečnosti investujete, pokud váš dodavatel bezpečnost fláká. Dejte si pozor na hackerské útoky skrze dodavatele.
• „Hackeři mají nový trik. Naučili se s ransomware lépe vydírat“ – Nový trik s ransomware nevyřeší ani dobré zálohování. Hackeři oběti vydírají, že pokud nezaplatí, jejich citlivá data zveřejní.
• „Co dokážou hackeři s ransomware ve vaší firemní síti“ – firmy po útoku ransomware končí bez dat i záloh, protože podceňují schopnosti hackerů. Přečtěte si, co hacker ve vaší síti dokáže a zlepšete zabezpečení.

Edited (2. 7. 2020): Narazil jsem na další článek, který zachycuje částečnou komunikaci s útočníky: „How hackers extorted $1.14m from University of California, San Francisco„.

Líbí se vám témata, o kterých píši?

Abyste nemuseli kontrolovat, jestli už vyšel nový článek, rád vám ho ihned po zveřejnění pošlu do e-mailu. Každý kontakt, který mi poskytnete, si nechám vždy jen pro sebe.

Leave this field empty if you're human: