Tầm Quan Trọng Của Việc Xác Minh Mối Đe Dọa Trong Thời Đại RaaS giả mạo(Fake Ransomware)

Với các hoạt động ransomware liên tục xuất hiện trên các tiêu đề báo chí, và thiệt hại do ransomware trên toàn cầu được dự đoán sẽ đạt 231 tỷ USD vào năm 2031, các tác nhân đe dọa đang ngày càng tạo ra các hoạt động giả mạo, thường lợi dụng danh tiếng của các tác nhân khác để thu hút nhiều sự chú ý hơn đến các hoạt động của chính họ nhằm giành lấy một phần lợi nhuận.

Bất kỳ ai từng là nạn nhân của một vụ lừa đảo “catfishing” đều biết rằng, bạn có thể nói bạn là bất cứ ai trên mạng — và ai mà biết được sự khác biệt? Đó là điều mà ít nhất một kẻ tấn công đã nghĩ, khi chúng khởi chạy một trang web ransomware bị cáo buộc có thiết kế tương tự với blog ransomware của LockBit vào tháng 12 năm 2022. Sáu nạn nhân đã được nêu tên, và các thông báo đòi tiền chuộc hướng người dùng đến trang web đã lợi dụng “tên tuổi” của LockBit để đòi thanh toán.

Tuy nhiên, nhìn kỹ hơn vào các chi tiết của mối đe dọa được cho là này, KELA đã phát hiện ra rằng các chi tiết liên hệ không khớp với những gì LockBit chia sẻ, và blog nói trên chưa bao giờ được liên kết với LockBit. Mặc dù đây là một trường hợp đơn giản hầu như không cần Sherlock Holmes để vạch trần, nhưng các tác nhân đe dọa khác đang đầu tư nhiều thời gian và công sức hơn để bắt chước các tác nhân RaaS khác và tăng tính hợp pháp cho các hoạt động giả mạo của chính họ.

Ransomware Giả Mạo Lên Ngôi

Một ví dụ nổi tiếng về các tác nhân ransomware giả mạo là trường hợp của Groove, một băng nhóm được quản trị viên sáng lập của diễn đàn RAMP công bố, và ban đầu tự nhận là chịu trách nhiệm về hoạt động ransomware Babuk, viện dẫn sự liên quan của nó trong hoạt động gián điệp công nghiệp cũng như ransomware. Vào tháng 10 năm 2021, sau nhiều bài đăng trên trang web của nó, bao gồm một yêu cầu 30 triệu USD để ngừng hoạt động, trang web này đã bị vạch trần là một “dự án troll”, nhằm mục đích thao túng truyền thông phương Tây và lợi dụng nỗi sợ hãi của công chúng về ransomware.

Gần đây hơn, KELA đã phát hiện ra các ví dụ tương tự về các nhóm ransomware giả mạo. Vào tháng 2 năm 2024, chúng tôi đã xác định một trang web tống tiền dữ liệu mới có tên là Mogilevich. Nó trưng bày dữ liệu được cho là bị đánh cắp từ một nạn nhân, với tùy chọn mua dữ liệu này thông qua kênh Telegram hoặc địa chỉ email.

Tuy nhiên, chưa đầy hai tuần sau, băng nhóm này đã thú nhận là “những kẻ lừa đảo chuyên nghiệp”, tuyên bố rằng chúng đã bịa đặt các mục tiêu cấp cao để thu hút sự chú ý và kiếm được một khoản tiền lớn. Với biệt danh “Pongo”, Mogilevich tuyên bố rằng quyền truy cập bảng điều khiển đã được bán cho 8 tác nhân đe dọa, và liệt kê số tiền mà hắn đã lừa được từ những người dùng khác.

Thật thú vị, tên người dùng Pongo có liên quan đến một người dùng có cùng biệt danh trên BreachForums, và trước đây đã bị cấm vì lừa đảo những người dùng khác.

Một ví dụ gần đây khác là Dispossessor, một trang web rò rỉ dữ liệu có nhiều điểm tương đồng về thiết kế với trang web của LockBit. Sau khi phân tích kỹ lưỡng, KELA cho rằng nó có thể đã lợi dụng dữ liệu của LockBit, 8BASE, Clop, Snatch và các hoạt động ransomware khác để tạo cho mình tính hợp pháp như một mối đe dọa nghiêm trọng. Băng nhóm này thậm chí dường như đã tạo một trang web tin tức giả mạo để đe dọa nạn nhân bằng các báo cáo về các cuộc tấn công nhằm vào họ. Vì hầu hết thông tin của nó dường như bị thao túng hoặc đánh cắp từ các nguồn khác, bao gồm các phương tiện truyền thông công cộng và các tác nhân đe dọa khác, và vì hầu hết các tuyên bố của nó không thể xác minh và vẫn không có bằng chứng — rất có thể vào thời điểm này, Dispossessor mang một mức độ đe dọa thấp. Trừ khi bạn bị đe dọa bởi việc lạm dụng chữ S.

Ai Cũng Có Thể Đội Mũ Trắng

Ngay cả khi một nhà nghiên cứu an ninh mạng được cho là đang tố giác, điều quan trọng là phải có tất cả các sự kiện của bạn rõ ràng. Một ví dụ điển hình là báo cáo về La Piovra, được xuất bản bởi một người tên Nelu Porumbelu, người có một trang web chỉ chứa thông tin liên quan đến nhóm ransomware được cho là này.

Nội dung của báo cáo dường như phần lớn được lấy từ một blog công khai trên trang web của Cybereason, từ một bài viết chia sẻ nội dung hợp pháp liên quan đến ransomware REvil / Sodinokibi.

Công ty nạn nhân được nêu tên trên blog La Piovra là “một công ty hư cấu, được mang đến cho bạn bởi Offensive Security.”

Tóm lại, chúng ta không nên bắt đầu run sợ về mức độ rủi ro ngay lập tức.

Kẻ Tấn Công Có Thể Ngửi Thấy Mùi Sợ Hãi: Tiếp Cận Ransomware Bằng Logic và Kiến Thức

Nếu kẻ tấn công sẵn lòng đánh cắp của bạn, thì rất có thể chúng cũng sẽ không ngần ngại nói dối bạn.

Trong thế giới tội phạm mạng, điều quan trọng là phải hoài nghi tuyệt đối mọi thứ bạn thấy. Các tác nhân ransomware chơi đùa với nỗi sợ hãi và cảm giác cấp bách của bạn, và muốn nạn nhân hành động mà không suy nghĩ, vì điều đó khiến cho dấu hiệu đô la có nhiều khả năng xuất hiện trên bảng sao kê ngân hàng của chúng.

Bạn không thể lúc nào cũng biết khi nào một tác nhân đe dọa có uy tín, nhưng đây là ba lời khuyên hàng đầu:

Kiểm tra tính độc đáo của nội dung: Bạn có thể tìm kiếm ngược hình ảnh đang được chia sẻ và tìm thấy nó ở bất kỳ đâu khác không? Nội dung đang được sử dụng có bị lấy từ một trang web hoặc nhóm đe dọa khác không? Đây là những dấu hiệu cho thấy mọi thứ không như vẻ ngoài của nó.
Thực hiện thẩm định: Đừng báo động cho đến khi bạn chắc chắn rằng một nguồn là có thật. Ngay cả các nhà nghiên cứu cũng có thể mắc lỗi, hoặc là các tác nhân đe dọa cải trang. Điều tra các mối liên hệ giữa các tác nhân đe dọa khác nhau để xem liệu một cái tên mới có hợp pháp hay không.
Luôn cập nhật thông tin: Một nền tảng như KELA đảm bảo bạn nhận được các cảnh báo chính xác ngay lập tức, khi một mối đe dọa mạng xuất hiện. Mục tiêu của chúng tôi là thiết lập một tiêu chuẩn trong Tình báo Mối đe dọa Mạng chủ động, tự hào hướng dẫn bạn vượt qua bối cảnh này.

Bạn có bất kỳ trải nghiệm nào với các cuộc tấn công mạo danh hoặc ransomware giả mạo không? Hãy chia sẻ suy nghĩ của bạn!

Unitas là nhà phân phối ủy quyền tại Việt Nam của các hãng công nghệ lớn của thế giới: Commvault, ExaGrid, VergeIO, Nexsan, DDN, Tintri, MinIO, LogicMonitor, Netgain, Kela, UltraRed, Quokka, Safous, Hackuity, Cyabra, Cymetrics, ThreatDown, F-Secure, OutSystems, Micas Networks …. Với kinh nghiệm và sự am hiểu sâu sắc, Unitas cam kết mang đến cho khách hàng những sản phẩm chất lượng cùng dịch vụ hỗ trợ chuyên nghiệp. Hãy lựa chọn Unitas để đảm bảo bạn nhận được giải pháp tối ưu và đáng tin cậy nhất cho nhu cầu của mình.

Liên hệ Unitas ngay hôm nay để được tư vấn chi tiết!