0 
0 Os grupos de ransomware como serviço (RaaS) LockBit e ALPHV (também conhecido como BlackCat), entre outros, têm sido o foco de ataques distribuídos de negação de serviço (DDoS) direcionados a seus sites de vazamento de dados, causando tempo de inatividade e interrupções.
Os ataques são monitorados pela Cisco Talos desde 20 de agosto e incluem uma ampla gama de outros grupos de RaaS, incluindo Quantum, LV, Hive, Everest, BianLian, Yanluowang, Snatch e Lorenz.
Postagens no fórum do braço de suporte técnico da gangue LockBit , “LockBitSupp”, indicam que os ataques tiveram um impacto significativo nas atividades do grupo, com quase 1.000 servidores direcionados ao site de vazamento com cerca de 400 solicitações por segundo, disseram os pesquisadores.
“Muitos dos grupos mencionados ainda são afetados por problemas de conectividade e continuam enfrentando uma variedade de interrupções intermitentes em seus sites de vazamento de dados, incluindo desconexões frequentes e hosts inacessíveis, sugerindo que isso faz parte de um esforço sustentado para impedir atualizações nesses sites. ” uma postagem do blog Talos explicou esta semana.
Os grupos responderam de maneiras diferentes, com alguns sites simplesmente redirecionando o tráfego da web para outros lugares, como no caso do grupo Quantum, enquanto outros reforçaram as proteções contra DDoS.
“Dado que essa atividade continua a interromper e dificultar a capacidade desses afiliados e operadores de publicar publicamente novas informações sobre as vítimas , provavelmente continuaremos a ver vários grupos responderem de maneira diferente, dependendo dos recursos disponíveis para eles”, observaram os autores da postagem no blog. .
Desligamentos oferecem descanso para grupos-alvo
Aubrey Perin, analista líder de inteligência de ameaças da Qualys, diz que no caso de um ataque DDoS em sites de vazamento de RaaS, as vítimas de atividades criminosas de gangues de hackers seriam claramente beneficiadas. Perin observa que o relatório mostra a eficácia desses ataques em interromper as operações de ransomware, com interrupções permitindo aos defensores um tempo precioso para investigar.
“Se os locais de vazamento forem fechados, a infraestrutura da vítima não poderá ser anunciada”, diz Perin. “O objetivo desses tipos de ataques é interromper as atividades das gangues”, acrescentando que, se as gangues não puderem listar as informações das vítimas, as táticas de extorsão se tornarão muito mais difíceis e, em alguns casos, benignas.
No entanto, Perin acrescenta que os maus atores de hoje estão ficando cada vez mais sofisticados e aprendendo com os erros rapidamente, então eles podem encontrar soluções rapidamente.
“Gangues mais maduras exemplificaram sua agilidade para reorganizar rapidamente e lançar contramedidas mais sofisticadas para ataques DDoS”, explica Perin. Onde os autores iniciais de ransomware usaram métodos “spray-and-pray”, Perin aponta que os maus atores de hoje realizam ataques de ransomware como operações profissionais, cada um aplicando seu próprio “molho especial”.
“Cada organização tem suas próprias estratégias e protocolos que seguem, e RaaS não é diferente. Cada grupo encontra o que funciona melhor, desenvolve a estratégia e executa “, diz Perin. “As operações de cada gangue são únicas às de outras gangues.”
Assim, diz Perin, sem uma compreensão mais profunda do cronograma operacional e da estratégia de uma gangue específica, é quase impossível saber o impacto real em suas operações.
“Dito isso, esses ataques certamente têm o poder de manchar suas reputações”, observa Perin.
Grupos de extorsão rivais, agências governamentais podem se beneficiar
Quando se trata de quem está por trás dos esforços de DDoS, Rick Holland, CISO e vice-presidente de estratégia da Digital Shadows, diz que equipes de extorsão rivais e agências governamentais são dois possíveis beneficiários de ataques contra sites de vazamento de dados.
“Não há honra entre ladrões, e há um histórico de grupos mirando uns aos outros”, diz ele. “Do lado do governo, o comandante do Comando Cibernético dos EUA, general [Paul] Nakasone, admitiu ter como alvo grupos de ransomware no ano passado, então seria razoável supor que o governo dos EUA continuou os esforços para atrapalhar os adversários”.
Holland diz que os extorsionários precisam pensar na resiliência de seus sites, assim como as empresas legítimas.
“Existem outras maneiras de as vítimas de ransomware interagirem com os atores”, explica ele. “Representantes de RaaS estão disponíveis em fóruns e as negociações das vítimas ainda podem ser feitas offline por meio de vários aplicativos de mensagens.”
Andrew Hay, COO da LARES Consulting, acrescenta que as gangues visadas provavelmente estão combatendo ativamente o problema.
“Provavelmente veremos os grupos de ameaças realocando seus servidores e serviços para uma infraestrutura mais distribuída para manter a disponibilidade, assim como qualquer organização faria para permanecer operacional”, diz ele.
Do ponto de vista de Hay, o relatório sugere que os ataques direcionados a sites de vazamento de dados RaaS provavelmente não desaparecerão tão cedo, o que poderia levar a uma espécie de competição clandestina por afiliados.
“Você não precisa ser o melhor, você só precisa ser melhor – ou mais disponível – do que o outro cara”, diz ele.
FONTE: DARK READING