Ontevreden Conti Ransomware-partner lekt informatie over Gang

In een dog eat dog ommekeer heeft een partner die voor de Conti ransomware-bende werkt, informatie gelekt over de methodologie en operaties van de criminele groep. De aangeslotene was blijkbaar boos omdat de Conti-bende zijn betaling onderbood.

De Conti ransomware-bende werkt met een ransomware-as-service-model - iets dat bijna de norm is geworden als het gaat om grotere criminele organisaties die zich bezighouden met ransomware. Het model vormt een soort illegaal plan voor het delen van inkomsten waarbij de aangesloten bedrijven de aanvallen uitvoeren en vervolgens het losgeld verdelen dat is betaald met de hackers die de ransomware en de bijbehorende infrastructuur hebben opgezet en uitgevoerd.

Een beveiligingsonderzoeker betrapte de post van de woedende Conti-bende op een ondergronds forum. Het gelieerde bedrijf plaatste een belangrijke infodump over de activiteiten van de bende en de manier waarop ze opereren. De informatie die in het bericht werd onthuld, omvatte adressen van CobaltStrike-opdracht- en controleservers die door Conti worden gebruikt, evenals een archiefbestand met lesmateriaal dat Conti gebruikt voor nieuwe filialen en andere diverse tools.

Het inkomstenaandeel dat plaatsvindt tussen de losgeldgroep die de infrastructuur beheert en hun filialen kan variëren, maar de verdeling die de filialen ontvangen ligt meestal in de marge van 20 tot 30 procent. In dit geval ontving de boze partner slechts $ 1.500 en beschuldigde hij Conti van het zoeken naar "sukkels" om het vuile werk voor hen te doen zonder hun beloofde bezuiniging te ontvangen.

Op basis van de gelekte informatie, tools en trainingsmateriaal tweette onderzoeker Vitali Kremez een aantal beveiligingstips over hoe netwerken te beschermen tegen Conti ransomware. Die omvatten scansystemen voor "ongeautoriseerde Atera Agent-installaties" en het controleren op persistentie van Any Desk. Atera was een van de tools die Conti naast CobaltStrike-bakens gebruikte voordat ze de laatste lading van de ransomware gingen inzetten.

Een afzonderlijke onderzoeker tweette een reeks IP's die aan Conti zijn gekoppeld om onmiddellijk te worden geblokkeerd om de veiligheid te verbeteren. De partij omvatte het volgende:

162.244.80.235

85.93.88.165

185.141.63.120

82.118.21.1

Dat zijn dezelfde adressen die in het forumlek naar voren kwamen als gebruikt door de Conti-bende.