Ransomware Conti — korporacyjny gang ransomware

Czym jest to zagrożenie?

Conti była jedną z najaktywniejszych i najbardziej szkodliwych grup ransomware w historii, działającą mniej więcej w latach 2020–2022 jako biznes typu Ransomware-as-a-Service (RaaS). Na wzór franczyzy główni twórcy Conti wydzierżawiali kod i infrastrukturę ransomware afiliantom, którzy przeprowadzali ataki i zatrzymywali 70% okupu, a Conti brała 30%.

Conti spopularyzowała podwójne wymuszenie: nie tylko szyfrowała pliki ofiar, ale też wykradała wrażliwe dane i groziła ich publikacją na publicznej stronie z wyciekami, jeśli okup nie został zapłacony. Podwajało to presję na ofiary i sprawiało, że same kopie zapasowe przestawały wystarczać jako ochrona.

Jak działała

Dostęp początkowy — wejście do sieci:

E-maile phishingowe ze złośliwymi załącznikami (często z TrickBotem lub BazarLoaderem jako pierwszym etapem infekcji)

Wykorzystywanie niezałatanych luk w VPN (Fortinet, Citrix)

Kupowanie dostępu od brokerów dostępu początkowego na rynkach w darknecie

Ruch boczny — przejęcie sieci:

Po wejściu atakujący używali Cobalt Strike (legalnego narzędzia do testów penetracyjnych), aby poruszać się po sieci

Spędzali dni lub tygodnie na mapowaniu sieci, namierzaniu systemów kopii zapasowych i kradzieży danych, zanim uruchomili ransomware

Serwery kopii zapasowych były celowo atakowane i niszczone w pierwszej kolejności

Okup:

Typowe żądania wynosiły od 1 do 25 mln USD

Ofiary, które zapłaciły, otrzymywały narzędzie deszyfrujące; te, które odmówiły, widziały swoje dane opublikowane na stronie z wyciekami „Conti News”

Skutki w praktyce

Irlandzka służba zdrowia (HSE), maj 2021: najbardziej niszczycielski atak Conti. Cały krajowy system informatyczny irlandzkiej służby zdrowia został wyłączony. Szpitale wróciły do papierowej dokumentacji. W całym kraju wstrzymano badania przesiewowe w kierunku nowotworów, radiologię i usługi ambulatoryjne. Odbudowa trwała tygodnie i kosztowała szacunkowo 100 mln euro. Irlandzki rząd odmówił zapłaty okupu.

Rząd Kostaryki, kwiecień–maj 2022: Conti zaatakowała jednocześnie 27 kostarykańskich instytucji rządowych. Prezydent Rodrigo Chaves ogłosił stan wyjątkowy — po raz pierwszy rząd ogłosił stan wyjątkowy wyłącznie z powodu ataku ransomware. Conti zażądała 20 mln USD.

Waikato District Health Board (Nowa Zelandia), maj 2021: po odmowie zapłaty opublikowano dane pacjentów, w tym dokumentację operacji i dane personelu.

Zaatakowano ponad 1000 organizacji w USA, Wielkiej Brytanii, Europie i poza nimi. FBI oszacowało, że same amerykańskie ofiary straciły przez Conti ponad 150 mln USD.

Wycieki z Conti (luty–marzec 2022):

Po tym, jak Conti publicznie poparła Rosję po inwazji na Ukrainę, anonimowy ukraiński badacz ujawnił ponad 170 000 wewnętrznych wiadomości z czatów Conti oraz jej kod źródłowy. Wycieki pokazały, że Conti działała jak nowoczesna firma technologiczna: miała dział kadr, oceny okresowe, siatkę płac (programiści zarabiali 1500–2000 USD miesięcznie), hierarchię zarządzania i szczegółowe scenariusze ataków. Ujawnienie de facto zniszczyło grupę do połowy 2022 roku, a jej członkowie rozproszyli się do grup następczych, m.in. BlackBasta, Royal i Akira.

Dlaczego to wciąż ważne

Następcy Conti nadal działają. Taktyki, techniki i narzędzia opracowane przez Conti — podwójne wymuszenie, model afiliacyjny RaaS, ataki na służbę zdrowia — są dziś standardem w całym ekosystemie ransomware.

Sygnały ostrzegawcze dla organizacji

Nietypowe zadania harmonogramu, nowe konta administratorów lub wyłączone w nocy oprogramowanie zabezpieczające.

Nieoczekiwane kopiowanie dużych ilości danych na zewnętrzne adresy IP lub do chmury.

Beacony Cobalt Strike wykryte przez ochronę punktów końcowych.

Informacje z darknetu o sprzedaży danych logowania Twojej organizacji.