Wizard Spider , также известная как Trickbot , DEV-0193 , UNC2053 или Periwinkle Tempest , [1] была киберпреступной группой, базирующейся в Санкт-Петербурге и его окрестностях в России . [2] [3] [4] Некоторые участники могут находиться на Украине . [3] По оценкам, их насчитывается около 80, некоторые из них могут не знать, что они работают на преступную организацию. [2] [5]
Группа была целью Европола , Интерпола , ФБР , а также Национального агентства по борьбе с преступностью в Соединенном Королевстве . [2]
В 2018 году группы начали использовать программы-вымогатели Trickbot , Ryuk и Conti в качестве своих основных инструментов. [2]
Они также разработали шпионское программное обеспечение Sidoh, которое только собирает информацию и не требует за нее выкупа. [3] [6]
В 2020 году их программное обеспечение заразило три медицинских учреждения в Миннесоте, лишив персонал доступа к компьютерам. [7]
В 2020 году судебные постановления были использованы для попытки закрыть серверы управления и контроля банд . [7] [8]
К началу февраля 2022 года произошла утечка некоторых внутренних сообщений группы. [9]
В конце февраля 2022 года группа изначально поддержала российское вторжение в Украину . [10] [11] В ответ на это произошли дальнейшие утечки информации анонимным лицом в поддержку Украины. [12] [13] [14]
В конечном итоге серверы групп были закрыты в 2022 году. [7] [15]
В феврале 2023 года государственный секретарь США Энтони Блинкен объявил, что США и Великобритания ввели санкции против семи человек за предполагаемое распространение вредоносных программ Conti, Ryuk и Trickbot. [16] Им были введены запреты на поездки, их активы были арестованы, а американским и британским компаниям и гражданам запрещено вести с ними какой-либо бизнес. [16] Их звали Виталий Ковалев, Валерий Седлецкий, Валентин Карягин, Максим Михайлов, Дмитрий Плешевский, Михаил Искрицкий и Иван Вахромеев. [16] Кроме того, любые иностранные банки, которые заведомо предоставляют этим людям значительные услуги, также могут быть подвергнуты санкциям. [16]
В сентябре 2023 года США и Великобритания ввели санкции против еще 11 человек, связанных с Wizard Spider. [7] Их активы в США и Великобритании будут арестованы, а на них будут наложены запреты на поездки. [7] Wizard Spider был связан с российской разведкой американским правительством. [7] Названы следующие люди:
Были обнародованы и другие обвинительные заключения, в том числе одно в Южной Калифорнии против Максима Галочкина, по трем пунктам обвинения во взломе и использовании Conti в больницах Scripps Health. [7]
По состоянию на октябрь 2024 года он был расформирован. [17]
PRODAFT написал технический отчет, описывающий их атаки и организацию. Атаки обычно начинаются с отправки большого количества спама целям, чтобы обманом заставить жертв загрузить вредоносное ПО. Они используют вредоносное ПО Qbot и SystemBC, а также пишут свое собственное. Отдельная команда определяет ценные цели и использует Cobalt Strike для атаки на них. Если они получают контроль над системой, они запускают программу-вымогатель. [18]
Они одновременно перевели биткоины от атак вирусов-вымогателей Ryuk и Conti на свои собственные кошельки, что подразумевает, что они осуществляют несколько атак с использованием различных вредоносных программ. [3]
Они очень заботятся о безопасности и не размещают открытую рекламу в даркнете . Они будут работать или продавать доступ только тем преступникам, которым доверяют. Известно, что они принижают своих жертв через сайт утечки. [2] Сайт утечки также используется для публикации украденных ими данных. [3]
Разведывательные службы утверждают, что группа не атакует цели в России, а ключевые фигуры не выезжают за пределы страны из-за страха быть арестованными. [2] [3] The Irish Times сообщает, что программное обеспечение Wizard Spider запрограммировано на самоудаление, если оно обнаруживает, что система использует русский язык или если система имеет IP-адрес в бывшем Советском Союзе . [3] Однако исследование PRODAFT показало, что большинство машин, зараженных SystemBC, находятся в России (20,5%). [18]
Россию подозревают в терпимости к Wizard Spider и даже в оказании им помощи. [3]
Их подозревают в кибератаке на Службу здравоохранения Ирландии . [ 19] [2] Это крупнейшая известная атака на компьютерную систему службы здравоохранения. [3]
Ключевые фигуры подозреваются в причастности к интернет-атакам с использованием программного обеспечения Dyre. [2]
Они связаны с UNC1878, TEMP.MixMaster и Grim Spider. [5]
Согласно отчету Джона Ди Маджио под названием Ransom Mafia: Анализ первого в мире картеля программ-вымогателей, эта группа является частью преступного сообщества, известного как Ransom Cartel или Maze Cartel . [3] Они являются крупнейшей из действующих в картеле группировок. [3] [6] Другими членами являются: TWISTED SPIDER, VIKING SPIDER, банда LockBit и банда SunCrypt. [3] Все они используют программы-вымогатели для вымогательства денег. [3] [6] С тех пор SunCrypt прекратила свое существование. [6]
Авторы отчета PRODAFT обнаружили, что Wizard Spider иногда делал резервное копирование данных на сервер и что сервер содержал данные из систем, которые также были атакованы REvil , хотя авторы не смогли сделать вывод, какая из двух групп забрала данные. [18]
{{cite web}}: CS1 maint: неподходящий URL ( ссылка )