The Colonial pipeline ransomware hackere hadde et hemmelig våpen: selvpromoterende cybersikkerhetsfirmaer

Fem måneder før DarkSide angrep Colonial-rørledningen, oppdaget to forskere en måte å redde løsepenge-ofrene på. Så varslet et antivirusselskaps kunngjøring hackerne.





Colonial Pipeline-tanker

Drew Angerer/Getty Images

  • Renee Dudley arkivside
  • Daniel Golden arkivside
24. mai 2021

11. januar sa antivirusselskapet Bitdefender at det var glad for å kunngjøre et oppsiktsvekkende gjennombrudd. Den hadde funnet en feil i løsepengevaren som en gjeng kjent som DarkSide brukte for å fryse datanettverk til dusinvis av virksomheter i USA og Europa. Selskaper som møter krav fra DarkSide kan laste ned et gratisverktøy fra Bitdefender og unngå å betale millioner av dollar i løsepenger til hackerne.

Men Bitdefender var ikke den første som identifiserte denne feilen. To andre forskere, Fabian Wosar og Michael Gillespie , hadde lagt merke til det måneden før og hadde diskret begynt å lete etter ofre for å hjelpe. Ved å publisere verktøyet sitt, varslet Bitdefender DarkSide om bortfallet, som innebar gjenbruk av de samme digitale nøklene for å låse og låse opp flere ofre. Dagen etter erklærte DarkSide at de hadde reparert problemet, og at nye selskaper ikke har noe å håpe på.



Spesiell takk til BitDefender for å hjelpe med å fikse problemene våre, sa DarkSide. Dette vil gjøre oss enda bedre.

DarkSide viste snart at det ikke bløffet, og slapp løs en rekke angrep. Denne måneden lammet det Colonial Pipeline Co., noe som fikk en skru av av den 5500 mil lange rørledningen som frakter 45 % av drivstoffet som brukes på østkysten – raskt etterfulgt av en økning i bensinpriser, panikkkjøp av gass over hele Sørøst-regionen og stenging av tusenvis av bensinstasjoner. Fraværende Bitdefenders kunngjøring, er det mulig at krisen kan ha vært inneholdt, og at Colonial i det stille kan ha gjenopprettet systemet med Wosar og Gillespies dekrypteringsverktøy.

I stedet betalte Colonial DarkSide 4,4 millioner dollar i Bitcoin for en nøkkel for å låse opp filene. Jeg skal innrømme at jeg ikke var komfortabel med å se penger gå ut døren til folk som dette, sa administrerende direktør Joseph Blount til Wall Street Journal.



Den tapte muligheten var en del av et bredere mønster av feilaktige eller halvhjertede reaksjoner på den økende trusselen med løsepengevare, som under pandemien har deaktivert bedrifter, skoler, sykehus og offentlige etater over hele landet. Hendelsen viser også hvordan antivirusselskaper som er ivrige etter å skape seg et navn, noen ganger bryter en av hovedreglene for katt-og-mus-spillet om nettkrigføring: Ikke la motstanderne dine få vite hva du har funnet ut. Under andre verdenskrig, da den britiske hemmelige tjenesten fikk vite fra dekryptert kommunikasjon at Gestapo planla å bortføre og myrde en verdifull dobbeltagent, Johnny Jebsen, fikk ikke handleren hans advare ham av frykt for å finne fiendens chiffer. hadde blitt sprukket. I dag prøver løsepengejegere som Wosar og Gillespie å forlenge angripernes uvitenhet, selv på bekostning av å kontakte færre ofre. Før eller siden, ettersom betalingene faller, innser nettkriminelle at noe har gått galt.

Hvorvidt man skal presentere et dekrypteringsverktøy er en kalkulert avgjørelse, sa Rob McLeod, seniordirektør for trusselresponsenheten for cybersikkerhetsfirmaet eSentire. Fra markedsføringsperspektivet synger du den sangen fra hustakene om hvordan du har kommet opp med en sikkerhetsløsning som vil dekryptere et offers data. Og så sier sikkerhetsforskervinkelen: 'Ikke oppgi informasjon her. Hold løsepengevarefeilene vi har funnet som lar oss dekode dataene hemmelige, for ikke å varsle trusselaktørene.»

I et innlegg på det mørke nettet takket DarkSide Bitdefender for å ha identifisert en feil i gjengens løsepengeprogram. (Høydepunktet lagt til av ProPublica.)



Wosar sa at offentlig utgivelse av verktøy, slik Bitdefender gjorde, har blitt mer risikabelt ettersom løsepenger har økt og gjengene har blitt rikere og mer teknisk dyktige. I de tidlige dagene med løsepengevare, da hackere frøs hjemmedatamaskiner for noen få hundre dollar, kunne de ofte ikke finne ut hvordan koden deres ble brutt med mindre feilen ble spesifikt påpekt for dem.

I dag har skaperne av løsepengevare tilgang til omvendt ingeniører og penetrasjonstestere som er veldig dyktige, sa han. Det er slik de får tilgang til disse ofte svært sikrede nettverkene i utgangspunktet. De laster ned dekrypteringsverktøyet, demonterer det, de reverserer det, og de finner ut nøyaktig hvorfor vi var i stand til å dekryptere filene deres. Og 24 timer senere er det hele fikset. Bitdefender burde ha visst bedre.

Relatert historie

Kan løsepengevarekrisen tvinge frem handling mot Russland?

Moskvas blinde øye overfor nettkriminelle har gjort eskalerende angrep uunngåelig, sier eksperter. Men å endre tilnærmingen er lettere sagt enn gjort.



Det var ikke første gang Bitdefender utbasunerte en løsning som Wosar eller Gillespie hadde slått den til. Gillespie hadde brutt koden til en løsepengevarestamme kalt GoGoogle, og hjalp ofre uten noen fanfare, da Bitdefender ga ut en dekryptering verktøy i mai 2020. Andre selskaper har også annonsert gjennombrudd offentlig, sa Wosar og Gillespie.

Folk er desperate etter en nyhetsomtale, og store sikkerhetsselskaper bryr seg ikke om ofre, sa Wosar.

Bogdan Botezatu, direktør for trusselforskning i Bucuresti, Romania-baserte Bitdefender, sa at selskapet ikke var klar over den tidligere suksessen med å låse opp filer infisert av DarkSide.

Uansett, sa han, bestemte Bitdefender seg for å publisere verktøyet sitt fordi de fleste ofre som faller for løsepengevare ikke har den rette forbindelsen med løsepengevarestøttegrupper og vil ikke vite hvor de skal be om hjelp med mindre de kan lære om eksistensen av verktøy fra medieoppslag. eller med et enkelt søk.

Bitdefender har gitt gratis teknisk støtte til mer enn et dusin DarkSide-ofre, og vi tror mange andre har brukt verktøyet uten vår innblanding, sa Botezatu. Gjennom årene har Bitdefender hjulpet enkeltpersoner og bedrifter med å unngå å betale mer enn 100 millioner dollar i løsepenger, sa han.

Bitdefender erkjente at DarkSide kan rette opp feilen, sa Botezatu: Vi er godt klar over at angripere er smidige og tilpasser seg dekrypteringene våre. Men DarkSide kan ha oppdaget problemet uansett. Vi tror ikke på løsepengevare-dekrypteringer som stilles til rådighet. Angripere vil lære om deres eksistens ved å utgi seg for hjemmebrukere eller bedrifter i nød, mens de aller fleste ofrene ikke har noen anelse om at de kan få tilbake dataene sine gratis.

Angrepet på Colonial Pipeline , og det påfølgende kaoset ved bensinpumpene i hele Sørøst, ser ut til å ha ansporet den føderale regjeringen til å være mer årvåken. President Joe Biden utstedte en executive order for å forbedre cybersikkerheten og lage en blåkopi for en føderal respons på cyberangrep. DarkSide sa at det ble stengt under amerikansk press, selv om løsepengevaremannskaper ofte har gått i oppløsning for å unngå gransking og deretter gjenopprettet under nye navn, eller medlemmene deres har lansert eller sluttet seg til andre grupper.

Så sofistikerte som de er, vil disse gutta dukke opp igjen, og de vil være så mye smartere, sa Aaron Tantleff, en cybersikkerhetsadvokat fra Chicago som har konsultert med 10 selskaper angrepet av DarkSide. De kommer tilbake med hevn.

'Folk er desperate etter en nyhetsomtale, og store sikkerhetsselskaper bryr seg ikke om ofre.'

Fabian Wosar, Ransomware Hunting Team

I det minste til nå har private forskere og selskaper ofte vært mer effektive enn myndighetene i å bekjempe løsepengeprogramvare. I oktober i fjor forstyrret Microsoft infrastrukturen til Trickbot, et nettverk av mer enn 1 million infiserte datamaskiner som spredte den beryktede Ryuk-stammen av løsepengevare, ved å deaktivere servere og kommunikasjon. Den måneden stengte ProtonMail, den sveitsisk-baserte e-posttjenesten, 20 000 Ryuk-relaterte kontoer.

Wosar og Gillespie, som tilhører en verdensomspennende frivilliggruppe kalt Ransomware Hunting Team, har knekt mer enn 300 store løsepengevarestammer og -varianter, og spart anslagsvis 4 millioner ofre fra å betale milliarder av dollar.

Derimot dekrypterer FBI sjelden løsepengevare eller arresterer angriperne, som vanligvis er basert i land som Russland eller Iran som mangler utleveringsavtaler med USA. DarkSide, for eksempel, antas å operere utenfor Russland. Langt flere ofre søker hjelp fra jaktlaget, gjennom nettsteder som vedlikeholdes av medlemmene, enn fra FBI.

Den amerikanske hemmelige tjenesten etterforsker også løsepengevare, som faller inn under dets virkeområde for å bekjempe økonomisk kriminalitet. Men, spesielt i valgår, roterer den noen ganger agenter ut av cyberoppdrag for å utføre sitt bedre kjente oppdrag med å beskytte presidenter, visepresidenter, kandidater fra store partier og deres familier. Europeisk rettshåndhevelse, spesielt det nederlandske nasjonale politiet, har vært mer vellykket enn USA med å arrestere angripere og beslaglegge servere.

Relatert historie

En bølge av løsepengevare rammer amerikanske sykehus ettersom koronaviruset øker. Et enestående og opportunistisk angrep reiser et urovekkende spørsmål: Vil det koste livet?

Tilsvarende har den amerikanske regjeringen bare gjort beskjedne fremskritt med å presse privat industri, inkludert rørledningsselskaper, til å styrke cybersikkerhetsforsvaret. Tilsyn med nettsikkerhet er delt i en alfabetsuppe av byråer, noe som hindrer koordinering. Department of Homeland Security gjennomfører sårbarhetsvurderinger for kritisk infrastruktur, som inkluderer rørledninger.

Den gjennomgikk Colonial Pipeline rundt 2013 som en del av en studie av steder der et nettangrep kan forårsake en katastrofe. Rørledningen ble ansett som spenstig, noe som betyr at den kunne komme seg raskt, ifølge en tidligere DHS-tjenestemann. Avdelingen svarte ikke på spørsmål om eventuelle påfølgende vurderinger.

Fem år senere opprettet DHS en cybersikkerhet i rørledningen initiativ å identifisere svakheter i pipeline-datasystemer og anbefale strategier for å løse dem. Det er frivillig å delta, og en person kjent med initiativet sa at det er mer nyttig for mindre bedrifter med begrenset intern IT-kompetanse enn for store som Colonial. National Risk Management Center, som fører tilsyn med initiativet, sliter også med andre vanskelige problemer som valgsikkerhet.

Ransomware har skutt i været siden 2012 , da fremkomsten av Bitcoin gjorde det vanskelig å spore eller blokkere betalinger. De kriminelles taktikk har utviklet seg fra vilkårlige spray- og bønnekampanjer som søker noen hundre dollar stykket til å målrette spesifikke virksomheter, offentlige etater og ideelle organisasjoner med krav på flere millioner dollar.

Spesielt angrep på energibedrifter har økt under pandemien – ikke bare i USA, men i Canada, Latin-Amerika og Europa. Ettersom selskapene tillot ansatte å jobbe hjemmefra, lempet de på noen sikkerhetskontroller, sa McLeod.

DarkSide tok i bruk det som er kjent som en løsepenge-som-en-tjeneste-modell. Under denne modellen samarbeidet den med tilknyttede selskaper som startet angrepene. Tilknyttede selskaper mottok 75 % til 90 % av løsepengene, mens DarkSide beholdt resten.

Siden 2019 har mange gjenger økt presset med en teknikk kjent som dobbel utpressing. Når de går inn i et system, stjeler de sensitive data før de lanserer løsepengevare som koder for filene og gjør det umulig for sykehus, universiteter og byer å gjøre sitt daglige arbeid. Hvis tap av datatilgang ikke er skremmende nok, truer de med å avsløre konfidensiell informasjon, og legger ofte ut prøver som innflytelse. For eksempel, da politiavdelingen i Washington, DC ikke betalte løsepengene på 4 millioner dollar som ble krevd av en gjeng kalt Babuk forrige måned, publiserte Babuk etterretningsbriefinger, navn på mistenkte og vitner, og personellfiler, fra medisinsk informasjon til polygraftest resultater, av offiserer og jobbkandidater.

DarkSide, som dukket opp i august i fjor, symboliserte denne nye rasen. Den valgte mål basert på en nøye økonomisk analyse eller informasjon hentet fra bedriftens e-poster. For eksempel angrep den en av Tantleffs klienter i løpet av en uke da hackerne visste at selskapet ville være sårbart fordi det overførte filene sine til skyen og ikke hadde rene sikkerhetskopier.

For å infiltrere målnettverk brukte gjengen avanserte metoder som nulldagers utnyttelser som umiddelbart utnytter programvaresårbarheter før de kan lappes. Når den først var inne, beveget den seg raskt og lette ikke bare etter sensitive data, men også etter offerets nettforsikringspolise, slik at den kunne knytte kravene til dekningsmengden. Etter to til tre dager med roting, krypterte DarkSide filene.

De har et raskere angrepsvindu, sa Christopher Ballod, assisterende administrerende direktør for cyberrisiko i Kroll, bedriftsundersøkelsesfirmaet, som har gitt råd til et halvt dusin DarkSide-ofre. Jo lenger du dveler i systemet, jo større er sannsynligheten for at du blir tatt.

Vanligvis var DarkSides krav på den høye enden av skalaen, $5 millioner og oppover, sa Ballod. En skremmende taktikk: Hvis børsnoterte selskaper ikke betalte løsepenger, truet DarkSide med å dele informasjon stjålet fra dem med shortselgere som ville tjene på hvis aksjekursen falt ved publisering.

DarkSides nettsted på det mørke nettet identifiserte dusinvis av ofre og beskrev de konfidensielle dataene den hevdet å ha hentet fra dem. Den ene var New Orleans advokatfirma Stone Pigman Walther Wittmann. En stor irritasjon er hva det var, sa advokat Phil Wittmann, med henvisning til DarkSide-angrepet i februar. Vi betalte dem ingenting, sa Michael Walshe Jr., leder av firmaets ledelseskomité, og nektet å kommentere ytterligere.

I november i fjor, DarkSide adoptert det som er kjent som en løsepenge-som-en-tjeneste-modell. Under denne modellen samarbeidet den med tilknyttede selskaper som startet angrepene. Tilknyttede selskaper mottatt 75 % til 90 % av løsepengene, mens DarkSide beholder resten. Som dette partnerskapet antyder, er løsepengevare-økosystemet et forvrengt speil av bedriftskultur, med alt fra jobbintervjuer til prosedyrer for håndtering av tvister. Etter at DarkSide ble stengt, klaget flere personer som identifiserte seg som dets tilknyttede selskaper på et tvisteløsningsforum at det hadde stivnet dem. Målet betalte, men jeg fikk ikke min del, skrev en.

Sammen skal DarkSide og dets tilknyttede selskaper ha samlet inn minst 90 millioner dollar. Syv av Tantleffs kunder, inkludert to selskaper i energiindustrien, betalte løsepenger fra 1,25 millioner dollar til 6 millioner dollar, noe som reflekterer forhandlede rabatter fra første krav på 7,5 millioner dollar til 30 millioner dollar. De tre andre klientene hans som ble truffet av DarkSide betalte ikke. I ett av disse tilfellene krevde hackerne 50 millioner dollar. Forhandlingene ble skarpe, og de to sidene kunne ikke bli enige om en pris.

DarkSides representanter var flinke forhandlere, sa Tantleff. Hvis et offer sa at det ikke hadde råd til løsepenger på grunn av pandemien, var DarkSide klar med data som viste at selskapets inntekter økte, eller at effekten av covid-19 ble tatt med i prisen.

DarkSides forståelse av geopolitikk var mindre avansert enn tilnærmingen til løsepengevare. Omtrent samtidig som den tok i bruk affiliate-modellen, la den ut at den planla å beskytte informasjon stjålet fra ofre ved å lagre den på servere i Iran. DarkSide skjønte tilsynelatende ikke at en iransk forbindelse ville komplisere innsamlingen av løsepenger fra ofre i USA, som har økonomiske sanksjoner som begrenser finansielle transaksjoner med Iran. Selv om DarkSide senere gikk tilbake denne uttalelsen og sa at de bare hadde vurdert Iran som et mulig sted, hadde mange cyberforsikringsselskaper bekymringer om å dekke betalinger til gruppen. Coveware, et firma i Connecticut som forhandler med angripere på vegne av ofrene, sluttet å ha med DarkSide å gjøre.

Ballod sa at siden forsikringsselskapene deres ikke var villige til å tilbakebetale løsepenger, betalte ingen av kundene hans DarkSide, til tross for bekymringer om eksponering av dataene deres. Selv om de hadde kastet seg over DarkSide, og mottatt forsikringer fra hackerne i retur om at dataene ville bli makulert, kan informasjonen fortsatt lekke, sa han.

Under DarkSides overgang til affiliate-modellen , ble det introdusert en feil i løsepengevaren. Sårbarheten fanget oppmerksomheten til medlemmer av Ransomware Hunting Team. Etablert i 2016, består teamet kun for invitasjoner av rundt et dusin frivillige i USA, Spania, Italia, Tyskland, Ungarn og Storbritannia. De jobber innen cybersikkerhet eller relaterte felt. På fritiden samarbeider de om å finne og dekryptere nye løsepengevarestammer.

Flere medlemmer, inkludert Wosar, har liten formell utdanning, men en evne til å kode. Wosar, som sluttet på videregående, vokste opp i en arbeiderfamilie nær den tyske havnebyen Rostock. I 1992, i en alder av åtte, så han en datamaskin for første gang og ble betatt. Som 16-åring utviklet han sin egen antivirusprogramvare og tjente penger på det. Nå som 37-åring har han jobbet for antivirusfirmaet Emsisoft siden oppstarten for nesten to tiår siden og er dets teknologisjef. Han flyttet til Storbritannia fra Tyskland i 2018 og bor i nærheten av London.

Han har kjempet mot ransomware-hackere siden 2012, da han tok knekken på en stamme kalt ACCDFISA, som sto for Anti Cyber ​​Crime Department of Federal Internet Security Agency. Dette fiktive byrået varslet folk om at barnepornografi hadde infisert datamaskinene deres, og derfor blokkerte det tilgangen til filene deres med mindre de betalte 100 dollar for å fjerne viruset.

Relatert historie

Google sier det er for enkelt for hackere å finne nye sikkerhetsfeil Angripere utnytter de samme typene programvaresårbarheter om og om igjen, fordi selskaper ofte savner skogen for trærne.

ACCDFISA-hackeren la etter hvert merke til at stammen var blitt dekryptert og ga ut en revidert versjon. Mange av Wosars påfølgende triumfer var også flyktige. Han og lagkameratene hans prøvde å holde kriminelle lykkelig uvitende så lenge som mulig om at belastningen deres var sårbar. De la igjen kryptiske meldinger på fora der de inviterte ofre til å kontakte dem for å få hjelp eller sendte direktemeldinger til folk som skrev at de var blitt angrepet.

I løpet av beskyttelsen mot datamaskininntrenging oppdaget analytikere ved antivirusfirmaer noen ganger løsepengevarefeil og bygde dekrypteringsverktøy, selv om det ikke var hovedfokuset deres. Noen ganger kolliderte de med Wosar.

I 2014 oppdaget Wosar at en løsepengevarestamme kalt CryptoDefense kopierte og limte inn fra Microsoft Windows noe av koden den brukte til å låse og låse opp filer, uten å innse at den samme koden var bevart i en mappe på offerets egen datamaskin. Det manglet signalet, eller flagget, i programmet deres, vanligvis inkludert av ransomware-skapere for å instruere Windows om ikke å lagre en kopi av nøkkelen.

Wosar utviklet raskt et dekrypteringsverktøy for å hente nøkkelen. Vi sto overfor en interessant gåte, skrev Sarah White, et annet medlem av jaktlaget, på Emsisofts Blogg . Hvordan få verktøyet vårt ut til flest mulig ofre uten å varsle skadevareutvikleren om feilen hans?

Wosar oppsøkte diskret CryptoDefense-ofre gjennom støttefora, frivillige nettverk og kunngjøringer om hvor man kan kontakte for å få hjelp. Han unngikk å beskrive hvordan verktøyet fungerte eller feilen det utnyttet. Da ofrene kom frem, leverte han løsningen, og skrubbet løsepengevaren fra minst 350 datamaskiner. CryptoDefense fanget oss til slutt ... men han hadde fortsatt ikke tilgang til dekrypteringsverktøyet vi brukte og hadde ingen anelse om hvordan vi låste opp ofrenes filer, skrev White.

«Vi sto overfor en interessant gåte... Hvordan få verktøyet vårt ut til flest mulig ofre uten å varsle skadevareutvikleren om feilen hans?

Sarah White, Ransomware Hunting Team

Men så avdekket et antivirusselskap, Symantec, det samme problemet og skrøt av oppdagelsen på et blogginnlegg som inneholdt nok informasjon til å hjelpe CryptoDefense-utvikleren med å finne og rette feilen, skrev White. Innen 24 timer begynte angriperne å spre en revidert versjon. De skiftet navn til CryptoWall og laget 325 millioner dollar.

Symantec valgte rask publisitet fremfor å hjelpe CryptoDefense-ofre med å gjenopprette filene sine, skrev White. Noen ganger er det ting som er bedre å la være usagt.

En talskvinne for Broadcom, som kjøpte Symantecs bedriftssikkerhetsvirksomhet i 2019, nektet å kommentere og sa at teammedlemmene som jobbet med verktøyet ikke lenger er med i selskapet.

Som Wosar, 29-åringen Gillespie kommer fra fattigdom og gikk aldri på college. Da han vokste opp i sentrale Illinois, slet familien hans så mye økonomisk at de noen ganger måtte flytte inn hos venner eller slektninger. Etter videregående jobbet han fulltid i 10 år i en datamaskinreparasjonskjede kalt Nerds on Call. I fjor ble han skadevare- og cybersikkerhetsforsker ved Coveware.

I desember i fjor sendte han melding til Wosar for å få hjelp. Gillespie hadde jobbet med et DarkSide-offer som hadde betalt løsepenger og mottatt et verktøy for å gjenopprette dataene. Men DarkSides dekryptering hadde et rykte for å være treg, og offeret håpet at Gillespie kunne fremskynde prosessen.

Gillespie analyserte programvaren, som inneholdt en nøkkel for å frigi filene. Han ønsket å trekke ut nøkkelen, men fordi den ble lagret på en uvanlig kompleks måte, kunne han ikke. Han henvendte seg til Wosar, som var i stand til å isolere den.

Lagkameratene begynte deretter å teste nøkkelen på andre filer infisert av DarkSide. Gillespie sjekket filer lastet opp av ofre til nettstedet han driver, ID Ransomware, mens Wosar brukte VirusTotal, en online database med mistenkt skadelig programvare.

Den kvelden delte de en oppdagelse.

Jeg har bekreftet at DarkSide gjenbruker RSA-nøklene sine, skrev Gillespie til Hunting Team på sin Slack-kanal. En type kryptografi, RSA genererer to nøkler: en offentlig nøkkel for å kode data og en privat nøkkel for å dechiffrere dem. RSA brukes lovlig for å beskytte mange aspekter av e-handel, for eksempel å beskytte kredittnumre. Men det har også blitt samarbeidet av ransomware-hackere.

Jeg la merke til det samme da jeg var i stand til å dekryptere nylig krypterte filer ved å bruke deres dekrypteringsenhet, svarte Wosar mindre enn en time senere, klokken 02:45 London-tid.

Analysen deres viste at før de tok i bruk affiliatemodellen, hadde DarkSide brukt en annen offentlig og privat nøkkel for hvert offer. Wosar mistenkte at DarkSide under denne overgangen introduserte en feil i sin tilknyttede portal som ble brukt til å generere løsepengevaren for hvert mål. Wosar og Gillespie kunne nå bruke nøkkelen som Wosar hadde trukket ut for å hente filer fra Windows-maskiner beslaglagt av DarkSide. Den kryptografiske tabben påvirket ikke Linux-operativsystemer.

Relatert historie

Hvordan tjenestemenn beskytter valget mot ransomware-hackere Bekymringene for et angrep på valgsystemer er reelle. Men et hack ville ikke skade avstemningen like mye som desinformasjonen som ville resultere.

Vi klørte oss i hodet, sa Wosar. Kunne de virkelig ha knullet så dårlig? DarkSide var en av de mer profesjonelle løsepenge-som-en-tjeneste-ordningene der ute. Det er veldig, veldig sjeldent at de gjør en så stor feil.

Jaktlaget feiret stille, uten å søke publisitet. White, som er informatikkstudent ved Royal Holloway, en del av University of London, begynte å lete etter DarkSide-ofre. Hun kontaktet firmaer som håndterer digital etterforskning og hendelsesrespons.

Vi sa til dem: 'Hei, hør, hvis du har noen DarkSide-ofre, be dem ta kontakt med oss; vi kan hjelpe dem. Vi kan gjenopprette filene deres, og de trenger ikke å betale en stor løsepenge, sa Wosar.

DarkSide-hackerne tok stort sett julesesongen fri. Gillespie og Wosar forventet at når angrepene ble gjenopptatt på nyåret, ville oppdagelsen deres hjelpe dusinvis av ofre. Men så publiserte Bitdefender innlegget sitt, under overskriften Darkside Ransomware Decryption Tool.

I en meldingskanal med løsepengevaresamfunnet spurte noen hvorfor Bitdefender ville tipse hackerne. Publisitet, svarte White. Ser bra ut. Jeg kan garantere at de vil fikse det mye raskere nå.

Hun hadde rett. Dagen etter erkjente DarkSide feilen som Wosar og Gillespie hadde funnet før Bitdefender. På grunn av problemet med nøkkelgenerering, har noen selskaper de samme nøklene, skrev hackerne og la til at opptil 40 % av nøklene ble berørt.

DarkSide hånet Bitdefender for å ha sluppet dekrypteringen på feil tidspunkt ... siden aktiviteten til oss og våre partnere i nyttårsferien er den laveste.

I tillegg til teamets frustrasjoner oppdaget Wosar at Bitdefender-verktøyet hadde sine egne ulemper. Ved å bruke selskapets dekryptering prøvde han å låse opp prøver infisert av DarkSide og fant ut at de ble skadet i prosessen. De implementerte faktisk dekrypteringen feil, sa Wosar. Det betyr at hvis ofrene brukte Bitdefender-verktøyet, er det en god sjanse for at de skadet dataene.

På spørsmål om Wosars kritikk sa Botezatu at datagjenoppretting er vanskelig, og at Bitdefender har tatt alle forholdsregler for å sikre at vi ikke kompromitterer brukerdata, inkludert uttømmende testing og kode som evaluerer om den resulterende dekrypterte filen er gyldig.

Selv uten Bitdefender, kan DarkSide snart ha innsett feilen sin uansett, sa Wosar og Gillespie. For eksempel, mens de så gjennom kompromitterte nettverk, kan hackerne ha kommet over e-poster der ofre hjulpet av jaktlaget diskuterte feilen.

De kan finne ut av det på den måten - det er alltid en mulighet, sa Wosar. Men det er spesielt smertefullt hvis en sårbarhet blir brent gjennom noe dumt som dette.

Hendelsen førte til at Jaktlaget laget et begrep for for tidlig eksponering av en svakhet i en løsepengevare. Internt spøker vi ofte, 'Ja, de kommer sannsynligvis til å trekke en Bitdefender,' sa Wosar.

Denne historien ble publisert sammen med ProPublica, et nonprofit nyhetsrom som etterforsker maktmisbruk. Renee Dudley og Daniel Golden har fokusert på løsepengevare for ProPublica og jobber med en bok om Ransomware Hunting Team, som skal utgis neste år av Farrar, Straus og Giroux.

Registrer deg for å motta ProPublicas største historier så snart de er publisert.