Nigeryjczyk próbował skłonić pracowników dużych firm do instalacji ransomware. Proponowana „pensja” – milion USD.

Obywatel Nigerii próbował nakłonić pracowników różnych firm do instalacji na serwerach ransomware’a, który zaszyfrowałby dane i ostatecznie „poprosił” o okup. Plan mężczyzny okazał się jednak na tyle niedopracowany, że napisał on do kilku przedsiębiorstw, których poczta była chroniona przez Abnormal Security. Poniższa wiadomość zwróciła uwagę pracowników:

Demonware to ransomware napisany w celach edukacyjnych i dostępny dla każdego. Nie został on stworzony przez autora wspomnianych e-maili. Mimo wszystko adresaci korespondencji podjęli z nim dyskusję, podając się za gotowych do wdrożenia pracowników. W zamian za współpracę każdy z nich miał otrzymać milion dolarów w bitcoinach. Do kontaktu, jak widać, zostały wskazane e-mail oraz nazwa użytkownika na Telegramie (konto wciąż jest aktywne).

Pierwsza część rozmowy dotyczyła sposobu infekcji. Autor pytał, czy pracownicy mają dostęp do serwera z Windows Server:

Następnie wysyłał im dwa linki do pliku z mega.nz i wetransfer.com. Po analizie okazało się, że to faktycznie ransomware. W poniższym fragmencie rozmowy widać zmiany wartości okupu:

Oszust twierdził ponadto, że nic nie zostanie wykryte – w tym zapisy CCTV – bo istnieje szansa, że są one przechowywane na infekowanym serwerze. Zalecał też usunięcie pliku EXE z ransomware’a. Zapytany o źródło kontaktów do różnych pracowników, odpisał, że zgromadził je z profili na LinkedIn. Podobno najpierw próbował swoich sił w phishingu wysyłanym do kierowników:

According to this actor, he had originally intended to send his targets—all senior-level executives—phishing emails to compromise their accounts, but after that was unsuccessful, he pivoted to this ransomware pretext.

Sama historia jest dość zabawna, aczkolwiek w przypadku mniej uczciwych osób mogłaby mieć szansę na powodzenie. Warto skupić się na ochronie poczty i zabezpieczeniu kluczowych systemów. W firmach sprawdza się też zasada minimalnego dostępu.

–Michał Giza