211service.com
Sant omfang av Bitcoin løsepengevareutpressing avslørt
Ransomware er en av de mer bekymringsfulle typene skadelig programvare som har dukket opp de siste årene. Det fungerer ved å begrense tilgangen til datafiler inntil løsepenger er betalt. Ofrene har inkludert British National Health Service, det spanske telekomselskapet Telefonica, den russiske oljegiganten Rosneft og mange andre.
Ofre er vanligvis pålagt å betale en Bitcoin løsepenger tilsvarende noen få hundre dollar for å frigi filene sine. Vanligvis øker løsepengene over tid frem til en frist når filene angivelig er ødelagt. Mange bedrifter og enkeltpersoner har ikke hatt annet valg enn å betale.
Og det reiser et interessant spørsmål. Hvor mye penger har Bitcoin løsepengeprogrammer generert for sine ondsinnede mestere?
US dollar verdi av løsepenger betalt til CryptoWall Bitcoin-kontoer
I dag får vi svar takket være arbeidet til Mauro Conti ved Universitetet i Padua i Italia og et par kolleger. Disse gutta har opprettet en database med Bitcoin-kontoer brukt av løsepenge-kriminelle og lagt sammen løsepengene som er betalt til dem. Resultatet er en omfattende analyse av gevinstene til nettkriminelle i dette nye kriminalitetsområdet.
Mens løsepengevare kan be om betaling i form av valuta, fokuserer Conti og co bare på de som ber om Bitcoin-betalinger. Det er fordi Bitcoin-transaksjoner er åpent registrert og gratis å se. Så i prinsippet skal det være mulig å regne ut nøyaktig hvor mye hver konto mottar. Målet vårt var å nøyaktig måle USD-verdien av disse betalingene, sier Conti og co.
Teamet begynte med å opprette en database med Bitcoin-kontoer knyttet til denne typen aktivitet siden 2013, da løsepengevaren Cryptolocker ble den første som ba om betaling i Bitcoin. Vi fant tjue løsepengeprogrammer som oppfylte utvalgskriteriene våre, det vil si løsepengevare: (i) som brukte Bitcoin som minst én modus for løsepengerbetaling, og (ii) som minst én Bitcoin-adresse er offentlig kjent for, forklarer de.
For hver art av skadelig programvare gir de en nyttig oversikt over hvordan den fungerer og sprer seg og hvordan den har utviklet seg over tid.
Ikke alle betalinger til disse kontoene er nødvendigvis løsepenger. Så Conti og co utviklet en måte å skille løsepenger fra andre typer. Dette gjør de ved å se etter betalinger som tilsvarer de spesifikke beløpene som skadevare krever i løsepenger.
Til slutt legger Conti og co sammen alle løsepenger som mottas av hver type skadelig programvare. Arbeidet deres avslører den mest lønnsomme løsepengevaren, men reiser også spørsmål om måten disse kontoene brukes på og hvordan de kan spores.
Den desidert mest lønnsomme formen for løsepengevare viser seg å være CryptoWall, som begynte å infisere Windows-datamaskiner i november 2013. Den krypterte filene ved hjelp av RSA-2048-krypteringsalgoritmen og krevde deretter en betaling på opptil 1400 dollar for å frigi dem.
Skadevaren spredte seg gjennom ulike vektorer, for eksempel nedlastingslenker sendt av Cutwails spam-botnett. Noen versjoner av skadelig programvare opprettet en unik Bitcoin-betalingsadresse for hver infisert bruker og brukte Tor darknet-systemet for å gi anonyme lenker til hvert offer.
Mellom utgivelsen og desember 2015 mottok Bitcoin-adresser knyttet til denne skadelige programvaren $2,2 millioner i Bitcoin-betalinger og ytterligere $2,3 millioner i transaksjoner med høyere verdi, som Conti og co mistenker også kan være løsepenger.
Merkelig nok var den totale verdien av betalinger mottatt av disse Bitcoin-adressene over 45 millioner dollar. De fleste av disse transaksjonene var ikke direkte knyttet av Conti og co til løsepenger. Det er en betydelig sum penger og reiser det åpenbare spørsmålet om hva det var betaling for.
Den fullstendige rangeringen av Bitcoin løsepengevareprosjekter etter beløpet i amerikanske dollar de genererte er som følger:
Ransomware Bitcoin løsepenger mottok USD-verdi
CryptoWall 5,351,2329 2,220,909,12
CryptoLocker 1403.7548 449.274.97
DMA Locker 339.4591 178.162.77
WannaCry 47.1743 86.076.76
CryptoDefense 126.6960 63.859.49
NotPetya 4.0576 9.835.86
KeRanger 9999 4.173,12
Interessant nok fikk WannaCry-utbruddet enorm mediedekning ettersom skadelig programvare spredte seg vidt. Men angrepet ble avverget av cybersikkerhetsforskeren Marcus Hutchins, som oppdaget og aktiverte en innebygd drepebryter som forhindret skadelig programvare fra å være mer ødeleggende.
Den samlede virkningen (inkludert økonomiske tap) på grunn av WannaCry-infeksjon kunne vært verre ... takket være tidlig oppdagelse av kill-bryteren, som forhindret de infiserte datamaskinene i å spre WannaCry videre, sier Conti og co.
Teamet diskuterer også andre former for skadelig programvare som ba om, men som ikke ser ut til å ha mottatt noen betydelige løsepenger. Disse inkluderer TeslaCrypt, Hi Buddy! og KillDisk.
Ulike andre grupper har utført lignende analyser og kommet til lignende konklusjoner. Imidlertid gjør Conte og co sine datasett offentlig tilgjengelig slik at andre kan bygge på det. Datasettet inneholder en detaljert transaksjonshistorikk over alle adressene vi identifiserte for hver løsepengevare, sier de.
Nettkriminelle bruker Bitcoin fordi det gir en tilsynelatende anonym måte å samle inn og foreta betalinger på. Bitcoin er imidlertid pseudonym i stedet for anonym. Det betyr at brukere kan beskytte identiteten sin forutsatt at ingen av transaksjonene deres kan knyttes til deres virkelige identitet. Men så snart en enkelt transaksjon er knyttet til deres personlige identifikasjonsdata, blir alle transaksjonene deres koblet på samme måte.
En nyttig analogi er til forfattere som publiserer under et pseudonym. Så lenge forfatterens identitet aldri er knyttet til noen av de pseudonyme artiklene, forblir han eller hun anonym. Men hvis den er knyttet til bare én pseudonym artikkel, er den knyttet til dem alle, og da er anonymiteten borte.
Så pseudonym beskyttelse er en skjør ting. En enkelt transaksjon som kobler en Bitcoin-konto til en personlig konto kan avsløre identiteten til en nettkriminell. Og personlige data lekker hele tiden i nettbaserte transaksjoner.
I fjor skrev vi om ufullkommenhetene i anonymiteten til Bitcoin-transaksjoner. Det burde gi et visst håp om å spore disse kriminelle.
Conti og co har satt denne typen etterforskning som et fremtidig mål. Vi vil forsøke å spore hvordan de mottatte løsepengene ble brukt og av hvem, sier de.
Det er modig og ambisiøst. Men det reiser også et spørsmål - hva gjør rettshåndhevelsesbyråer i mellomtiden?
Ref: arxiv.org/abs/1804.01341 : Om den økonomiske betydningen av ransomware-kampanjer: Et Bitcoin-transaksjonsperspektiv