Nhóm tống tiền Karakurt: Threat Report

Karakurt’s home page

Karakurt yêu cầu một khoản tiền chuộc từ 25.000 USD đến 13 triệu USD bằng Bitcoin. Thời hạn thanh toán thường là bảy ngày sau khi nạn nhân liên hệ với nhóm tống tiền.

Phân mảnh thành các tế bào

Các nhóm ransomware đã trải qua một giai đoạn mới trong vài tháng nay. Nếu họ không chia thành các nhóm nhỏ hơn (“tế bào”) để tham gia vào các nhóm tội phạm khác, họ sẽ luân phiên sử dụng phần mềm độc hại để tránh các lệnh trừng phạt ngày càng tăng của Hoa Kỳ và áp lực từ cơ quan thực thi pháp luật.

Kể từ khi Hoa Kỳ chính thức trừng phạt Evil Corp , nhóm người Nga đứng sau Trojan ngân hàng Dridex , mọi thứ bắt đầu thay đổi , cả về phía nạn nhân của ransomware và các chi nhánh sử dụng ransomware. Các nạn nhân bắt đầu từ chối trả tiền để tuân thủ các biện pháp trừng phạt và các nhóm này bắt đầu luân phiên sử dụng các biến thể ransomware trong các chiến dịch của họ để tránh bị liên kết với một nhóm bị trừng phạt.

Khi Conti “ra đi”, một sự chia rẽ cũng xảy ra trong tổ chức. Các nhà nghiên cứu từ Advanced Intel có dữ liệu cho thấy các thành viên của tổ chức ransomware trước đây phân tán khỏi nhóm cốt lõi để tham gia vào các nhóm ransomware nhỏ hơn .

Conti không liên kết với Evil Corp, nhưng cả hai nhóm đều có mối ràng buộc tương tự ảnh hưởng đến tỷ suất lợi nhuận của họ nhưng không đủ để khiến họ hoàn toàn từ bỏ cuộc sống tội phạm. Thật không may, các thành viên và chi nhánh được hưởng lợi từ việc tách rời và xa rời các nhóm này.

Trong một cuộc phỏng vấn với Wall Street Journal, Kimberly Goody – Giám đốc phân tích tội phạm mạng của Mandiant nói rằng những thay đổi này đã che khuất danh tính của tin tặc Evil Corp “tại thời điểm tấn công, loại bỏ các nhà điều tra và các công ty nạn nhân tuân thủ lệnh trừng phạt”. Điều tương tự cũng có thể nói về các cựu diễn viên liên kết với tổ chức Conti.

Giữ Karakurt tránh xa mạng và dữ liệu của bạn

Chúng tôi khuyên các tổ chức nên ưu tiên thực hiện các bước giảm thiểu để ngăn các nhóm tống tiền như Karakurt xâm nhập thành công vào mạng của bạn. Dưới đây là một số cách để làm điều đó.

• Triển khai xác thực đa yếu tố (MFA) trong mọi điểm truy cập của doanh nghiệp, bao gồm cả truy cập VPN một yếu tố
• Đảm bảo rằng tất cả các máy chủ kiểm soát miền được cập nhật với các bản vá mới nhất
• Vô hiệu hóa các cổng không sử dụng
• Cài đặt giải pháp bảo mật điểm cuối hiệu quả và tập trung vào cách tiếp cận theo lớp để bảo vệ hệ thống và tài sản kinh doanh
• Tạo và triển khai kế hoạch khôi phục (nếu doanh nghiệp của bạn chưa có), bao gồm cách duy trì và giữ lại các bản sao lưu
• Phân đoạn mạng của bạn để ngăn kẻ xấu tiếp cận các điểm đến chứa dữ liệu độc quyền và nhạy cảm nhất của tổ chức bạn
• Kiểm tra các tài khoản đặc quyền cao thường xuyên.