Policja metropolitalna w Waszyngtonie ofiarą ataku ransomware’owego

Podmioty, do których ofiary ataków ransomware’owych zwracają się o pomoc, same również mogą stać się ofiarami ofiarami. W ostatnich tygodniach na blogach wyciekowych operatorów ransomware’ów publikowane są dowody nieuprawnionej eksfiltracji danych jednostek policji i prokuratury, a także kancelarii prawnych i organizacji prawniczych z całego świata. Amerykanie już od dawna powołują zespoły, które zajmują się operatorami konkretnych ransomware’ów, aby uniknąć prowadzenia spraw przeciwko jednej grupie przez wiele jednostek, a ostatnio powołany przez Departament Sprawiedliwości specjalny zespół ma zajmować się kompleksowo przestępstwami z wykorzystaniem ransomware’ów, w tym likwidowaniem infrastruktury pozwalającej przestępcom przeprowadzać kampanie ransomware’owe. 

Podczas, gdy Departament Sprawiedliwości dopiero planuje działania nowo powołanego zespołu, ransomware atakuje kolejne organizacje. Wczoraj (26. kwietnia), na blogu wyciekowym ransomware’a Babuk opublikowane zostały dowody eksfiltracji danych policji metropolitalnej w Waszyngtonie. O wycieku piszą nie tylko sami atakujący, ale również media z całego świata. Amerykański “New York Times” podaje, że jest to trzeci ujawniony atak na jednostkę policji w Stanach Zjednoczonych w ciągu ostatnich sześciu tygodni i dwudziesta szósta zaatakowana amerykańska instytucja państwowa od początku roku. Atak potwierdza też sama zaatakowana jednostka. Podczas briefingu rzecznik policji waszyngtońskiej poinformował, że sprawą zajmuje się FBI, śledztwo trwa i nie może wypowiedzieć się o szczegółach ataku. Stacja BBC podaje, że atakujący grożą ujawnieniem danych policyjnych informatorów, a brytyjski SkyNews napisał wprost, że amerykańską policję zaatakowali rosyjscy hakerzy.

Babuk pobiera kopię danych atakowanych organizacji, a pozostawione u ofiary dane szyfruje (ofiara nie ma dostępu do swoich danych). Zgodnie z oświadczeniem grupy, Babuk nie dokonuje audytów w szkołach, szpitalach, organizacjach charytatywnych i w infrastrukturze małych przedsiębiorców:

W próbkach ransomware Babuk były identyfikowane słabości związane z szyfrowaniem – w wersji trzeciej Babuk miał bardzo poważne błędy, które uniemożliwiały nawet samym operatorom wygenerowanie kluczy potrzebnych do przywrócenia plików. Dla ofiar oznaczało to, że nawet po zapłacie żądanego okupu, pliki zaszyfrowane wadliwą wersją złośliwego oprogramowania, nie mogłyby być przywrócone z wykorzystaniem narzędzia deszyfrującego oferowanego przez sprawców, ponieważ sami sprawcy nie mogli odszyfrować plików. Po opublikowaniu przez Chuong Donga dokładnego opisu błędu, Babuk podziękował i obiecał poprawę.

Pozostałe zidentyfikowane przez Chuong Donga słabości dotyczą uszkadzania plików. Dla plików powyżej pewnej wielkości, niezależnie od rozszerzenia i niezależnie od wersji ransomware (jak do tej pory, na podstawie kilkudziesięciu próbek, które sami przeanalizowaliśmy), szyfrowany jest tylko ich początek, ale nie jest naruszana ich zawartość. Oznacza to, w dużym uproszczeniu, że można odczytać nieuszkodzoną zawartość pliku, próbować naprawiać uszkodzone pliki podmieniając uszkodzone części plików nieuszkodzonymi np. blokami nagłówka, które znajdują się na początku pliku, albo w inny sposób np. w przypadku plików bazodanowych przepisując nieuszkodzoną zawartość do nowej struktury, odpowiadającej tej uszkodzonej.

Chuong Dong, który analizował próbki Babuka ze zdziwieniem odnotował atak na policję metropolitalną:

W zakresie detekcji, niektóre rozwiązania antywirusowe nawet dużych dostawców, nie wykrywają Babuka – na VirusTotal detekcja najnowszej próbki to niewiele ponad 50%. 

Ze zrzutów ekranu opublikowanych na blogu grupy Babuk ma wynikać, że atakujący uzyskali dostęp przynajmniej do części infrastruktury policji metropolitalnej w Waszyngtonie, po której mogli się swobodnie poruszać i pobierać z udostępnionych udziałów sieciowych interesujące ich pliki, a sami przestępcy twierdzą, że pobrali ich ok. 250 GB. BleepingComputer sugeruje, że do wykradzenia danych mogło dojść już 19 kwietnia br., chociaż ostatnie modyfikacje plików na stronie wyciekowej datowane są na 24 kwietnia br.

Atakujący żądają zapłaty okupu w zamian za powstrzymanie się od ujawnienia danych innym organizacjom, w tym grupom przestępczym, i wskazują, że zagrozić to może bezpieczeństwu m.in. policyjnych informatorów.

Hello! Even an institution such as DC can be threatened, we have downloaded a sufficient amount of information from your internal networks, and we advise you to contact us as soon as possible, to prevent leakage, if no response is received within 3 days, we will start to contact gangs in order to drain the informants, we will continue to attack the state sector of the usa, fbi csa, we find 0 day before you, even larger attacks await you soon

* Oświadczenie operatorów ransomware Babuk

W przeszłości inni atakujący spełniali groźby opublikowania wykradzionych organom ścigania danych, w tym raportów policyjnych i protokołów zeznań świadków. Grupa Avaddon właśnie opublikowała dowód z eksfiltracji danych innej amerykańskiej jednostki policji i grozi, że za niespełna dwa dni opublikuje kolejne.

Policja w Azusa (Kalifornia) prawdopodobnie nie zdecydowała się zapłacić okupu. Pobrane przez przestępców dane, m.in. raporty policyjne i dane o infrastrukturze IT zaatakowanej jednostki, zostały opublikowane przez operatorów DoppelPaymer w ubiegłym tygodniu. Innymi ofiarami DoppelPaymer są firmy i instytucje, w tym prokurator generalny stanu Illinois.

Wylistowanie systemów Policji w Azusa:

Warto tu zwrócić uwagę, że na większości zidentyfikowanych komputerów działał system Windows 7, dla którego Microsoft zakończył wsparcie 14 stycznia 2020, po ponad dziesięciu latach od jego premiery. Taki stan wynika zwykle z ogromnych zaniedbań tak po stronie działu IT, jak i po stronie decydentów. Choć zdarzają się sytuacje, w których aktualizacja takiego systemu operacyjnego może być kosztowna (na przykład z powodu szczególnego oprogramowania lub sprzętu niezgodnego z nowszymi, wspieranymi wersjami), to nic nie usprawiedliwia sytuacji, w której na takich komputerach pracuje większość pracowników i są one bez ograniczeń połączone z siecią firmową oraz z Internetem.

Bardzo często zdarza się, że takie właśnie, niezaktualizowane systemy wykorzystywane są do przeprowadzenia skutecznego ataku. Zaniedbujący poprawną konfigurację administratorzy oraz decydenci dość szybko zauważają, że pozorna oszczędność na aktualizacji była bardzo krótkotrwała, a dodatkowo może wiązać się z poważnymi sankcjami m.in. administracyjnymi i karnymi.

W przypadku tych dwóch ataków wspomnianych na początku policja może jeszcze podjąć decyzję o ewentualnej zapłacie (lub odmowie zapłaty) okupu, należy jednak pamiętać, że zarówno zapłacenie, jak i niezapłacenie okupów, których żądają sprawcy, bez wątpienia wiąże się z negatywnymi i poważnymi konsekwencjami dla zaatakowanych jednostek. Zapłacenie okupu (wstrzymanie publikacji wykradzionych przez sprawców danych i uzyskanie narzędzia deszyfrującego) może oznaczać m.in. naruszenie amerykańskich sankcji. Niezapłacenie okupu, może pociągać konsekwencje związane z ujawnieniem informacji, które są chronione na podstawie odrębnych przepisów, w tym danych identyfikujących policyjnych informatorów, co dla informatorów i ich bliskich może wiązać się z realnym zagrożeniem dla ich zdrowia i życia.

Odmowa zapłacenia okupu może oznaczać również, że jeśli dane zostały zaszyfrowane przez ransomware i policja nie będzie w stanie ich przywrócić (z narzędziem deszyfrującym lub w inny sposób), może mieć to obniżyć efektywność starań wymiaru sprawiedliwości w zakresie pociągania do odpowiedzialności karnej sprawców przestępstw, ponieważ w przeszłości z powodu utraty kluczowych dowodów, które były przechowywane w postaci cyfrowej i były bezpowrotnie utracone w wyniku infekcji złośliwym oprogramowaniem typu ransomware, upadały sprawy o poważne przestępstwa narkotykowe.

 -as, gt