A Mespinoza néven hivatkozott, világszerte aktív ransomware-csoport nem csak a titkosított állományok feloldására szolgáló kulcsokért próbálja begyűjteni a váltságdíjat, de olyan érzékeny információkat és fájlokat keres a célbe vett rendszereken, amelyek valamilyen illegális tevékenységre utalnak. Ezeket később arra használja fel, hogy jobb belátásra bírja az áldozatokat, ha azok valamilyen okból nem akarnak fizetni – derül ki a Palo Alto Networks tegnap közzétett jelentéséből-

Az nem világos, hogy a Mespinoza (más néven PYSA) pontosan honnan dolgozik, de elsősorban az Egyesült Államokra összpontosít, és olyan célpontokra utazik a gyártóiparban, a kiskereskedelemben, az oktatásban vagy a kormányzat szervezetek között, amelyektől dollármilliós nagyságrendű váltságdíjat követelhet. Bár a számítógépes bűnözői csoport 2020 áprilisa óta működik, az utóbbi időben annyira aktív, hogy már az FBI is figyelmeztetést adott ki a szóban forgó támadásokkal kapcsolatban.

Üzletembert játszanak

A Palo Alto Networks elemzése szerint "rendkívül fegyelmezett" társaságról beszélünk, amelyik aktívan keresi a kényes információkat és az arra utaló bizonyítékokat, hogy a megtámadott társaságoknak minimum tudomása van valamilyen törvénytelenségről. Ezeket a kettős zsarolási kampányok az RDP (Remote Desktop Protocol) kompromittálására épülnek: az nem világos, hogy támadók brute force módszereket vagy adathalász technikákat használnak-e a bejelentkezési adatok ellopására, de az biztos, hogy ha hivatalos felhasználóneveket és jelszavakat használnak a rendszerek eléréséhez, akkor sokkal könnyebb észrevétlenül maradniuk.

A bűnözők ezután a hálózati hozzáférés birtokában próbálják megalapozni a ransomware támadást, és egy hátsó ajtót is telepít a feltört rendszerekben, hgy különféle nyílt forrású eszközök felhasználásával folyamatos távoli hozzáférést biztosítsanak maguknak a hálózatokhoz. Azokat aztán gondoan felmérik, és bizalmas információk, pénzügyi adatok vagy illegális tevékenységre utaló fájl- és szervernevek után kutatnak, hgy azok birtokában indítsanak ransomware támadásokat.

A Palo Alto Networks szerint a Mespinoza csoport gyakran jelentkezik be több mint 1,5 millió dollárért az áldozatoknál, de üzeneteiben következetesen partnereknek nevezi őket, és hajlandó tárgyalni velük: időnkét megelégszik harmad annyi pénzzel is a titkosítást feloldó kulcsokért és azért, hogy ne tegye közzé a megszerzett kényes adatokat. A jelentés megállapítja, hogy nem a világ legnagyobb kaliberű kiberbűnözőiról van szó, de az az általuk kitalált modell sikerét jelzi, hogy több mint egy éve folyamatosan aktívak, és meglepően nagy számú üzletet kötöttek a "partnereikkel".