Щаслива новина: дві банди вимагачів зазнали краху

Пропонуємо вашій увазі зворушливу публікацію від arstechnica.com, у якій розповідається про події минулого тижня, коли дві сумнозвісні групи зловмисників-вимагачів зустріли свій кінець. Одна зникла у вівторок, після того як була скомпрометована організацією, що позиціює себе як лояльну до України. Інша була ліквідована днем пізніше завдяки злагодженим зусиллям міжнародних правоохоронних органів.

Учасники першого угруповання, відомого як Trigona, спостерігали за тим, як контент їхньої платформи в даркнеті, на якій вони публічно ганьбили своїх жертв, був видалений і замінений банером зі сміливою заявою: «Trigona більше немає! Сервери банди вимагачів Trigona зламані та знищені». Відповідальність за це взяв на себе Український кіберальянс (Ukrainian Cyber Alliance), який із гордістю стверджує: «підриваємо російські злочинні підприємства (як державні, так і приватні) з 2014 року».

У дописі в соціальній мережі від особи, яка називає себе прес-секретарем Українського кіберальянсу, пояснюється, що група націлена на вимагачів, зокрема тому, що, на її думку, такі зловмисники діють поза межами впливу західних правоохоронних органів.

«Ми щойно знайшли одну таку банду та вчинили з нею так, як вона чинить з іншими, — написав прес-секретар. — Завантажили їхні сервери (їх було десять), видалили все та знищили. TOR їм не допоміг: вони навіть не знали, що в них є дірка. Уся їхня інфраструктура повністю знесена. Ми готові до майбутнього полювання».

В іншому дописі в соціальних мережах було оприлюднено те, що прес-секретар назвав ключем від адміністративної панелі, і стверджувалося, що Український кіберальянс зламав сервер Confluence, яким користувалася Trigona.

До п’ятниці сайт Trigona став недоступним, про що свідчило повідомлення «Onionsite not found».

Група Trigona вперше з’явилась у 2022 році та мала тісні зв’язки з групами вимагачів CryLock і BlackCat, а також менш тісні — з ALPHV. Її основними мішенями були компанії в США й Індії, а також Ізраїлі, Туреччині, Бразилії та Італії. Trigona була відома тим, що компрометувала сервери MYSQL, часто шляхом підбору паролів методом грубої сили. У червневому профілі групи, підготовленому дослідниками з компанії Trend Micro, що займається питаннями безпеки, підкреслюється неоднорідність технічної підготовки її учасників.

Хронологія хакерської атаки, заснована на повідомленнях у соціальних мережах, вказує на те, що вона почалася близько одинадцяти днів тому з компрометації сервера Confluence, який використовувався членами Trigona для взаємодії. В інтерв’ю виданню Record Український кіберальянс висловив намір передати захоплені дані правоохоронним органам.

Другою бандою вимагачів, яка припинила свою діяльність за останній тиждень, стала Ragnar Locker — група, яка успішно атакувала численні організації по всьому світу. Про це в п’ятницю повідомив Європол:

«У ході операції, проведеної в період із 16 по 20 жовтня, були здійснені обшуки в Чехії, Іспанії та Латвії. “Ключова ціль” цієї зловмисної групи вимагачів була заарештована в Парижі, Франція, 16 жовтня, а будинок зловмисника в Чехії обшукали. П’ятеро підозрюваних допитували в Іспанії та Латвії протягом наступних днів. Наприкінці тижня головний злочинець, який імовірно є розробником групи Ragnar, постав перед слідчими суддями паризького суду.

Інфраструктуру програми-вимагача також вилучили в Нідерландах, Німеччині та Швеції, а пов’язаний із нею сайт витоку даних на Tor закрили у Швеції».

Група Ragnar Locker з’явилась у 2019 році та швидко здобула славу завдяки успішним атакам на організації з різних секторів, зокрема охорони здоров’я, державної влади, технологій, фінансів, освіти й ЗМІ. Вона працювала як RAAS (ransomware as a service, програма-вимагач як послуга), коли основні учасники розробляють шифрувальне програмне забезпечення, підтримують центральний сервер і співпрацюють із філіями. Філії відповідають за проведення атак, а прибуток ділиться між двома групами.

У п’ятничному повідомленні Європолу зазначається, що члени Ragnar Locker застерігали жертв не звертатися до правоохоронних органів, побоюючись ускладнення ситуації. Однак вони не підозрювали, що правоохоронні органи вже давно підбиралися до них, а кульмінацією став арешт і затримання минулого тижня.