Conti — вредоносное ПО , разработанное и впервые использованное российской хакерской группой « Wizard Spider » в декабре 2019 года. [1] [2] С тех пор оно превратилось в полноценную операцию по предоставлению программ-вымогателей как услуги (RaaS), используемую многочисленными группами злоумышленников для проведения атак с использованием программ-вымогателей .
Вредоносная программа Conti, будучи развернутой на устройстве жертвы, не только шифрует данные на устройстве, но и распространяется на другие устройства в сети, скрывает свое присутствие и предоставляет злоумышленнику удаленный контроль над своими действиями на объекте. [1] Известно, что все версии Microsoft Windows подвержены этой атаке. [3] Правительство США предложило вознаграждение в размере до 10 миллионов долларов за информацию о группе в начале мая 2022 года. [4]
Согласно просочившемуся плану действий, основные члены команды Conti управляют самим вредоносным ПО , в то время как нанятые партнеры занимаются эксплуатацией сетей жертв и шифрованием их устройств. [5] [6]
Модель вымогателя как услуги Conti отличается по своей структуре от типичной партнерской модели. В отличие от других моделей RaaS, группы, использующие модель Conti, скорее всего, платят разработчикам вредоносного ПО в виде заработной платы, а не в виде процента от выкупа (после уплаты). [7] Известно, что операторы Conti также используют двойное вымогательство в качестве средства давления на жертв, чтобы заставить их заплатить, включая публикацию украденных данных жертвы. В случаях, когда организация-жертва отказывается платить, они продают доступ к организации другим субъектам угроз. [8]
Программа-вымогатель Conti использует различные скрытные методы, включая использование BazarLoader, для проникновения в целевые системы. Программа-вымогатель предназначена для шифрования файлов и делает их недоступными до тех пор, пока не будет заплачен выкуп. Она часто доставляется через фишинговые письма, наборы эксплойтов или взломанные веб-сайты. [1] Conti приобрела известность за то, что нацелилась на учреждения здравоохранения, как это было видно по ее атакам на организации в Ирландии и Новой Зеландии . [9]
Известно также, что группа Conti продает доступ к организациям-жертвам, которые отказались платить выкуп . Такая практика не только добавляет еще один уровень давления на жертв, но и обеспечивает дополнительный источник дохода для банды вымогателей. Эта тактика в сочетании с изощренными методами группы сделала Conti одной из самых плодовитых и способных групп вымогателей, действующих в 2021 году. [9]
Программное обеспечение использует собственную реализацию AES-256 , которая использует до 32 отдельных логических потоков, что делает его намного быстрее большинства программ-вымогателей. [3] Метод доставки не ясен. [3]
Банда, стоящая за Conti, управляла сайтом, с которого она могла сливать документы, скопированные программой-вымогателем, с 2020 года. [10] Эта же банда управляла программой-вымогателем Ryuk . [10] Группа известна как Wizard Spider и базируется в Санкт-Петербурге , Россия . [11]
Попав в систему, он попытается удалить теневые копии томов . [3] Он попытается завершить работу ряда служб с помощью диспетчера перезапуска , чтобы убедиться, что он может зашифровать используемые ими файлы. [3] Он отключит мониторинг в реальном времени и удалит приложение Защитника Windows. Поведение по умолчанию — шифровать все файлы на локальных и сетевых дисках Server Message Block , игнорируя файлы с расширениями DLL , .exe , .sys и .lnk . [3] Он также может нацеливаться на определенные диски, а также на отдельные IP-адреса. [3] [12]
По данным NHS Digital, единственный гарантированный способ восстановления — это восстановление всех затронутых файлов из последней резервной копии. [3]
Самый старший член известен под псевдонимами Стерн или Демон и выступает в качестве генерального директора . [13] Другой член, известный как Манго, выступает в качестве генерального менеджера и часто общается со Стерном. [13] Манго сообщил Стерну в одном сообщении, что в основной команде 62 человека. [13] Численность участников колеблется, достигая 100. [13] Из-за постоянной текучести членов группа постоянно набирает людей с законных сайтов по подбору персонала и хакерских сайтов. [13]
Обычные программисты зарабатывают около 1500–2000 долларов в месяц, а участники, договаривающиеся о выплате выкупа, могут получить часть прибыли. [13] В апреле 2021 года один из участников заявил, что у него есть неназванный журналист, который забирает 5% от выплат за программы-вымогатели, оказывая давление на жертв, чтобы те заплатили. [13]
В мае 2022 года правительство США предложило вознаграждение в размере до 15 миллионов долларов за информацию о группе: 10 миллионов долларов за личность или местонахождение ее лидеров и 5 миллионов долларов за информацию, которая приведет к аресту любого, кто вступает с ней в сговор. [14]
Атаки с использованием вируса-вымогателя Conti были зафиксированы по всему миру, при этом наибольшее количество попыток атак с 1 января по 12 ноября 2021 года зафиксировано в США, превысивших один миллион попыток. Второе и третье места заняли Нидерланды и Тайвань соответственно. [9]
Розничная торговля была основной целью атак Conti, за ней следовали секторы страхования, производства и телекоммуникаций. Здравоохранение, которое подверглось громким атакам группы Conti, занимает шестое место в списке пострадавших отраслей. [9]
Conti часто рассматривается как преемник вируса-вымогателя Ryuk. [9]
Во время российского вторжения на Украину в 2022 году Conti Group объявила о своей поддержке России и пригрозила применить «ответные меры», если против страны будут предприняты кибератаки . [15] [16] [13] В результате около 60 000 сообщений из внутренних журналов чатов были слиты анонимным лицом, которое указало на свою поддержку Украины [17] [18] [19] вместе с исходным кодом и другими файлами, используемыми группой. [20] [13] [21]
Утечки охватывают период с начала 2020 года по 27 февраля 2022 года и состоят из более чем 60 000 сообщений чата. [13] Большинство утечек сообщений были отправлены напрямую через Jabber . [13] Атаки координировались с помощью Rocket.chat. [13] Утечки фрагментированы. [13]
В некоторых сообщениях обсуждаются действия Cozy Bear по взлому исследователей COVID-19 . [22] Кимберли Гуди, директор по анализу киберпреступности в Mandiant, говорит, что ссылки на неназванный внешний источник в журналах могут быть полезны банде. [22] Она указывает на упоминание в утечках Литейного проспекта в Санкт-Петербурге , где находятся местные отделения ФСБ , как на доказательство того, что внешним источником может быть российское правительство. [22]
Взгляды, выраженные в утечках, включают поддержку Владимира Путина , Владимира Жириновского и антисемитизм , в том числе по отношению к Владимиру Зеленскому . [23] Участник, известный как Патрик, повторил несколько ложных утверждений, сделанных Путиным об Украине. [23] Патрик живет в Австралии и может быть гражданином России. [23]
Некоторые сообщения демонстрируют одержимость Брайаном Кребсом . [23]
В сообщениях часто используется мат . [23] Также были обнаружены сообщения, содержащие гомофобию , женоненавистничество и упоминания о жестоком обращении с детьми. [23]
В течение нескольких недель после утечки группа распалась. [24] В отчете Recorded Future говорится, что они не считают, что утечка не была прямой причиной распада, но что она ускорила уже существующую напряженность внутри группы. [24]