Ransomware-bendes ontwikkelen zich met nieuwe affiliate-modellen om cybercriminelen te lokken

Het ransomwarelandschap blijft zich snel ontwikkelen en recent onderzoek van Secureworks toont aan dat cybercriminelen een meer bedrijfsmatige aanpak hanteren. Twee ransomwaregroepen, DragonForce en Anubis, bieden nu uitgebreide partnerprogramma's aan die legitieme bedrijfsstructuren nabootsen – compleet met serviceaanbod, flexibele branding en ondersteunende systemen.

Deze ontwikkelingen markeren een zorgwekkende trend in de wereld van ransomware-as-a-service (RaaS), een model dat het voor minder ervaren aanvallers al verontrustend eenvoudig heeft gemaakt om verwoestende ransomware-campagnes te starten.

DragonForce transformeert in een cybercriminaliteitskartel

DragonForce, een RaaS-operatie die voor het eerst opdook in augustus 2023, heeft zichzelf onlangs omgedoopt tot een "kartel", een stap die de verschuiving naar een meer gedecentraliseerde structuur benadrukt. Volgens de Counter Threat Unit (CTU) van Secureworks biedt de groep nu een uniek affiliatemodel aan waarmee cybercriminelen hun eigen ransomwaremerken kunnen creëren.

In plaats van partners te verplichten hun ransomware te gebruiken, biedt DragonForce toegang tot de infrastructuur, waaronder beheer- en clientpanels, encryptietools, systemen voor ransomware-onderhandelingen, oplossingen voor gegevensopslag, een Tor-gebaseerde lekwebsite en klantenservice. Deze flexibiliteit is aantrekkelijk voor aanvallers met hun eigen malware, die hulp nodig hebben met logistiek, infrastructuur of interactie met slachtoffers.

Hoewel dit model een breder scala aan cybercriminelen kan aantrekken, brengt het ook risico's met zich mee. Als één partner gecompromitteerd raakt, kunnen andere partners die verbonden zijn met de gedeelde infrastructuur ook kwetsbaar zijn, waardoor complete netwerken van gecoördineerde aanvallen mogelijk ontwricht raken.

Anubis biedt drie soorten ransomware-partnerschappen

Anubis, een andere RaaS-aanbieder, breekt ook met de gevestigde orde door drie verschillende affiliate-modellen te introduceren. Elk model biedt criminelen een andere manier om geld te verdienen met aanvallen:

1. Een klassieke RaaS-opstelling, waarbij affiliates 80% van het losgeld behouden.
2. Een model voor 'datalosgeld', waarbij gedetailleerde analyses van slachtoffers op een met een wachtwoord beveiligde site worden geplaatst om slachtoffers onder druk te zetten om te betalen.
3. Een model voor 'toegangsmonetisatie' waarmee partners eerder gecompromitteerde slachtoffers kunnen afpersen, waarbij 50% van de opbrengst van het losgeld wordt aangeboden.

De methode van losgeld voor gegevens valt op door de gelijkenis met een vorm van criminele contentmarketing. Anubis-exploitanten publiceren een "onderzoeksartikel" over de gestolen gegevens van het slachtoffer en delen dit vervolgens privé met het slachtoffer, met de waarschuwing dat het uitblijven van betaling ertoe zal leiden dat de informatie openbaar wordt. Ze hebben zelfs een socialemedia-aanwezigheid ingezet om de druk op te voeren en te dreigen met openbaarmaking aan klanten en toezichthouders.

Ransomware-exploitanten opereren nu als bedrijven

Deze affiliate modellen laten zien dat moderne ransomware-groepen hun activiteiten steeds vaker uitvoeren als legitieme bedrijven. Van het aanbieden van technische ondersteuning tot het aanpassen van merken, de strategieën zijn ontworpen om een breder scala aan potentiële aanvallers aan te spreken. Sterker nog, het aanbod van DragonForce lijkt sterk op dat van een managed service provider, maar dan zonder de juridische aspecten.

Volgens Rafe Pilling, directeur Threat Intelligence bij Secureworks, zouden verdedigers ransomwarebendes als zakelijke entiteiten moeten gaan beschouwen. Deze cybercriminelen passen zich snel aan, jagen op inkomsten en reageren op veranderingen in het cybercrime-ecosysteem, waaronder strengere wetshandhaving en het weigeren van losgeld.

Hoe organisaties beschermd kunnen blijven

Nu de drempel voor ransomware-aanvallen steeds lager wordt, moeten organisaties proactieve stappen ondernemen om hun verdediging te versterken. De CTU van Secureworks beveelt de volgende beveiligingsmaatregelen aan:

• Regelmatig patchen van systemen die met internet te maken hebben
• Implementeer phishing-bestendige multifactorauthenticatie
• Zorg voor veilige, offline back-ups van cruciale gegevens
• Controleer eindpunten en netwerken op ongebruikelijk gedrag
• Ontwikkel en test een gedetailleerd incidentresponsplan

De toenemende verfijning van ransomware-bendes en hun verwante modellen vormen een groeiende bedreiging voor de wereldwijde cybersecurity. Begrijpen hoe deze activiteiten werken – en je erop voorbereiden zoals je je zou voorbereiden op een slimme zakelijke concurrent – is wellicht de sleutel om een stap voor te blijven.