Хакеры на заказ с техподдержкой: чем известна группировка DarkSide, которая вызвала кризис топлива в США

Она существовала меньше года, но стала одной из крупнейших и авторитетных хакерских организаций в мире, пишет WSJ. Она успела заработать более $60 млн, а в мае парализовала работу нефтепровода в США.

7 мая 2021 года хакеры атаковали одну из крупнейших в США систем нефтепроводов Colonial Pipeline с помощью программ-вымогателей.

Они парализовали работу компании и остановили транспортировку около 45% топлива, потребляемого на Восточном побережье США. Из-за этого средняя стоимость бензина в стране превысила $3 за галлон (3,8 л) — это максимум с 2014 года.

12 мая Colonial Pipeline заплатила хакерам около $5 млн в криптовалюте, чтобы вернуть доступ к данным, и с 13 мая начала возобновлять работу.

По данным ФБР, за взлом ответственна группировка DarkSide, состоящая из российских и восточноевропейских хакеров.

Она представляет собой хакерскую организацию «нового поколения»: сдаёт ПО в аренду партнёрам, общается с прессой и не взламывает медицинские, государственные и некоммерческие организации.

14 мая DarkSide прекратила работу — объяснив это растущей угрозой со стороны США и потерей части инфраструктуры. Менее, чем за год группировка заработала более $60 млн.

Группировка появилась на русскоязычных хакерских форумах в августе 2020 года, запустила свой сайт в сети Tor и начала активно продвигать себя за счет крупных атак и профессионального ведения операций.

Например, DarkSide предоставляла жертвам техподдержку в чате, анализировала их финансовые показатели перед атакой и разработала систему хранения украденных данных, чтобы гарантировать жертвам сохранность информации.

Также группировка рассказывала, что может продавать информацию о жертвах до публикации украденных данных, чтобы злоумышленники могли заработать на скачках в стоимости акций.

DarkSide относится к новой группе разработчиков вредоносного ПО, которые работают по модели Ransomware-as-a-Service («Вымогательство как услуга»).

Они сдают в аренду или продают свои программы хакерам-партнёрам для последующей атаки и заражения компьютеров крупных сетей и запуска программ-вымогателей. Прибыль распределяется между группировкой и её партнёрами, которым предлагали около 10-25% от суммы выкупа.

Если жертв отказывалась платить, DarkSide публиковала похищенные данные на своём сайте. Также члены группировки могли торговаться с жертвами о размере выкупа, гарантируя, что не опубликуют секретную информацию и не будут в будущем атаковать компанию вновь.

DarkSide декларировала свои принципы в пресс-релизе о своём запуске. Она атаковала только крупные компании и запрещала партнёрам устанавливать вымогатели на ПК организаций в сфере здравоохранения, похоронных услуг, образования, госсекторе и некоммерческих проектах.

Также DarkSide отказалась от хранения украденных данных на серверах в Иране, чтобы не нарушать санкции США, а после взлома Colonial рассказала, что не знала об атаке на нефтепровод и обещала проверять цели партнёров, чтобы избежать социальных последствий.

В октябре 2020 года DarkSide пожертвовала $10 тысяч в биткоинах в пользу благотворительных организаций Children International (оказывает помощь детям, живущим в нищете) и The Water Project (обеспечивает доступ к чистой воде в Африке), писало ZDnet.

Хакеры создавали образ «Робин Гуда», но воспользоваться пожертвованием не получилось бы — их получение и использование тоже незаконно, отмечает издание.

Часть прибыли группировка тратила на разработку — WSJ сравнивало её с технологическими стартапами.

В январе 2021 года DarkSide запустила «пресс-центр» для журналистов и пострадавших компаний. Например, группировка предлагала прямое общение, быстрые ответы в течение 24 часов, скидки для тех, кого взломали уже не в первый раз (и заплатил деньги DarkSide) и персонального менеджера.

В марте DarkSide представила «обновление» сервиса DarkSide 2.0, в котором предложила партнёрам функцию звонков жертвам через интернет. А в апреле предоставила возможность совершать DDoS-атаки против жертв, чтобы оказывать на них дополнительное давление при переговорах.

За первые семь месяцев работы DarkSide могла заработать около $60 млн, из них $46 млн — в первом квартале 2021 года, подсчитала исследовательская фирма Chainalysis. Она отмечает, что не владеет информацией о всех атаках группировки, поэтому прибыль DarkSide, скорее всего, была ещё больше.

Среди пострадавших:

14 мая DarkSide объявила о прекращении работы после потери доступа к части серверов и другой публичной инфраструктуры, а также из-за растущего давления со стороны спецслужб.

Группировка пообещала выпустить дешифраторы для всех партнёров и компенсировать все финансовые обязательства к 23 мая.

Но подобные заявления нередко завершаются «перезапуском» группировки под новым названием, отмечает WSJ.

#darkside #хакеры