Verärgerter Conti Ransomware-Partner gibt Informationen über Gang

In einer Wendung von Hunden fressenden Hunden hat ein Partner, der für die Conti-Ransomware-Gang arbeitet, Informationen über die Methodik und Operationen der kriminellen Gruppe durchgesickert. Der Affiliate war offenbar sauer, weil die Conti-Bande seine Zahlung unterboten hat.

Die Conti-Ransomware-Bande arbeitet nach einem Ransomware-as-Service-Modell – etwas, das bei größeren kriminellen Organisationen, die mit Ransomware handeln, fast zur Norm geworden ist. Das Modell stellt eine Art illegaler Einnahmenbeteiligungsplan dar, bei dem die Partner die Angriffe ausführen und dann das gezahlte Lösegeld mit den Hackern teilen, die die Ransomware und ihre Infrastruktur einrichten und betreiben.

Ein Sicherheitsforscher fing den Post des wütenden Conti-Gang-Mitglieds in einem Untergrund-Forum auf. Der Partner veröffentlichte einen bedeutenden Infodump über die Operationen der Bande und deren Arbeitsweise. Die in dem Beitrag veröffentlichten Informationen umfassten Adressen von CobaltStrike-Befehls- und Kontrollservern, die von Conti verwendet werden, sowie eine Archivdatei, die Lehrmaterial enthält, das Conti für neue Partner und andere verschiedene Tools verwendet.

Der Umsatzanteil, der zwischen der Lösegeld-Gruppe, die die Infrastruktur betreibt, und ihren verbundenen Unternehmen stattfindet, kann variieren, aber die Aufteilung, die die verbundenen Unternehmen erhalten, liegt normalerweise im Rahmen von 20 bis 30 Prozent. In diesem Fall erhielt der wütende Partner nur 1.500 US-Dollar und beschuldigte Conti, nach "Saugern" zu suchen, die die Drecksarbeit für sie erledigen, ohne die versprochene Kürzung zu erhalten.

Auf der Grundlage der durchgesickerten Informationen, Tools und Schulungsmaterialien hat der Forscher Vitali Kremez einige Sicherheitstipps zum Schutz von Netzwerken vor Conti-Ransomware getwittert. Dazu gehörten das Durchsuchen von Systemen nach "nicht autorisierten Atera Agent-Installationen" und die Überprüfung auf Any Desk-Persistenz. Atera war eines der Tools, die Conti zusammen mit CobaltStrike-Beacons verwendet, bevor sie die endgültige Nutzlast der Ransomware bereitstellen.

Ein separater Forscher twitterte eine Reihe von IPs, die mit Conti in Verbindung stehen, die sofort gesperrt werden sollten, um die Sicherheit zu verbessern. Die Charge umfasste Folgendes:

162.244.80.235

85.93.88.165

185.141.63.120

82.118.21.1

Das sind die gleichen Adressen, die im Forenleck aufgetaucht sind, wie sie auch von der Conti-Gang verwendet werden.