Disgruntled Conti Ransomware Affiliate Lekkasjer Info om Gang

I en hund som spiser hund, har en tilknyttet agent for Conti ransomware -gjengen lekket informasjon om den kriminelle gruppens metodikk og operasjoner. Tilknyttet var tilsynelatende sint fordi Conti -gjengen underbudt betalingen hans.

Conti ransomware-gjengen opererer ved hjelp av en ransomware-as-service-modell-noe som har blitt nesten normen når det gjelder større kriminelle organisasjoner som driver med ransomware. Modellen utgjør en slags ulovlig inntektsdelingsplan der tilknyttede selskaper utfører angrepene og deretter deler eventuelle løsesumspenger som er betalt med hackerne som satte opp og driver ransomware og dens infrastruktur.

En sikkerhetsforsker fanget innlegget fra den rasende Conti -gjengen til et underjordisk forum. Tilknyttet postet en betydelig informasjon om gjengenes operasjoner og måten de fungerer på. Informasjonen som ble avslørt i innlegget, inkluderte adresser til CobaltStrike kommando- og kontrollservere som ble brukt av Conti, samt en arkivfil som inneholder opplæringsmateriell som Conti bruker for nye tilknyttede selskaper og andre verktøy.

Inntektsandelen som finner sted mellom løsepengergruppen som driver infrastrukturen og deres tilknyttede selskaper kan variere, men splittelsen tilknyttede selskaper mottar er vanligvis på 20 til 30 prosent. I dette tilfellet mottok den sinte datterselskapet bare $ 1500 og anklaget Conti for å lete etter "suckers" for å gjøre det skitne arbeidet for dem uten å motta det lovede kuttet.

På grunnlag av informasjonen, verktøyene og opplæringsmaterialet som lekket ut, twitret forsker Vitali Kremez ut et par sikkerhetstips om hvordan man beskytter nettverk mot Conti ransomware. Disse inkluderte skanningssystemer for "uautoriserte Atera Agent -installasjoner" og sjekk om det er noen skrivebordets utholdenhet. Atera var et av verktøyene som Conti bruker sammen med CobaltStrike -beacons før de fortsetter med å distribuere den endelige nyttelasten til ransomware.

En egen forsker twitret ut et sett med IP -er knyttet til Conti for å bli blokkert umiddelbart for å forbedre sikkerheten. Batchen inneholdt følgende:

162.244.80.235

85.93.88.165

185.141.63.120

82.118.21.1

Det er de samme adressene som dukket opp i forumlekkasjen som Conti -gjengen brukte.