המשך הראיון עם קבוצת 🤬
➖➖➖➖➖➖➖
חלק2⃣(חלק 1 בפוסט הקודם)
ש: הקרבנות שמופיעים באתר ההדלפות שלכם הם ממגזרים שונים מאוד במספר מדינות, כולל חברות רכב ברומניה, ארגוני בריאות ועמותות בחוף השנהב, ועסקי מסחר אלקטרוני בטאיוואן.
האם יש מגזרים או מדינות שאתם נמנעים מלתקוף?
ת: אנחנו לא פועלים בישראל, במדינות חבר העמים, ובמספר מדינות באירופה ובאסיה.
אין לנו מטרה לתקוף מגזר מסוים, והחריג היחיד הוא תחום הבריאות, אנחנו לא פוגעים בחברות שקשורות לילדים, או בארגונים בהם תלויים חיי אדם.
לגבי ארגון הבריאות שמופיע באתר ההדלפות שלנו, לא פרסמנו את המידע שלהם מסיבות מסוימות, אך אנחנו יכולים לומר בביטחון שהמטרה המרכזית של החברה היא משיכת כספים מקרן השקעות אמריקאית ואנחנו לא תומכים בסוג כזה של שחיתות.
ש: כיצד אתם משיגים בדרך כלל גישה ראשונית לרשתות של הקורבנות? האם אתם משתמשים בפישינג, ניצול חולשות שלא פוצ'פצ'ו, בפרטי גישה גנובים ל-RDP או VPN, או בשיטות אחרות?
האם אתם רוכשים גישה מ-Access brokers?
ת: אני יכול לומר שמעולם לא שילמנו על גישה במובן המקובל של רכישה מברוקרים.
אני לא יכול לפרט את השיטות המדויקות, אך כן אפשר לומר שאנחנו מבצעים את כל מה שציינת בהקשר הטכני של עבודה מול היעד, ואף מעבר לכך.
ש: אתם מפעילים מודל סחיטה כפול של הצפנה וגניבת מידע. אילו סוגי מידע אתם מעדיפים לשאוב מהמערכות? מהו היקף המידע שנגנב בדרך כלל, והאם המידע משמש רק לסחיטה או גם למכירה לצד ג'?
ת: דבר ראשון המידע שנגנב לא משמש רק כמנוף סחיטה, אלא כהוכחה ממשית לכך שהתרחשה פריצה.
העניין הוא שאפשר לכתוב כמעט כל דבר, אפילו טענות כמו “פרצנו לפנטגון” או ל-Microsoft. אין אימות אמיתי של המידע מעבר להצגת הוכחות. לכן להוכחת הדלף יש משמעות מרכזית.
לגבי תוכן המידע עצמו, לרוב מדובר במסמכים איכותיים ולא זבל, אנחנו מבצעים מיון.
היעד שלנו הוא בדרך כלל סביב 1 טרה-בייט של מידע, לפעמים פחות ולפעמים יותר.
ש: בהודעות הכופר שלכם אתם מציבים דדליין של 72 שעות. האם חלון זמן קצר מגדיל את שיעור הקרבנות המשלמים לעומת דדליינים ארוכים יותר?
ת: זה רק דדליין ראשוני, ניתן להאריך את פרק הזמן הזה במידת הצורך, והוא נועד בראש ובראשונה לאפשר להנהלת החברה זמן ליצור קשר לפני הפרסום הראשוני באתר ההדלפות. השיטה הזו הוכיחה את עצמה כיעילה במיוחד.
ש: לא מזמן פירסמתם שאתם מתכננים להשיק תוכנית Ransomware-as-a-Service לשותפים.
כיצד הולך להיראות מודל העמלות שלכם, ואיך תסננו שותפים כדי למנוע חדירה של גורמי אכיפה/חוקרים?
ת: בשלב זה מדובר בתוכנית שנמצאת בתכנון בלבד. מימוש של התכנית ידרוש היערכות רצינית, וברור לנו שלא נגייס אנשים אקראיים מהרחוב.
סביר להניח שעבור מי שבאמת ירצה להצטרף, יוצבו דרישות כספיות משמעותיות שישמשו כאמצעי לבחינת הרצינות והכוונות שלו.
ש: כל אדם או קבוצה, גם כאלה שפועלים מחוץ לחוק, מושפעים, או מקבלים השראה ממשהו. האם יש ספר, סרט, דמות או קבוצת כופר קודמת שעיצבו/השפיעו על תפיסת העולם והפעילות שלכם?
ת: הטענה שלפיה "כל אדם מושפע ממשהו" אינה נכונה באופן מוחלט, ולמעשה לא ממש רלוונטית לתחום שלנו.
זה לא פשע קלאסי שבו אתה מתחבא בלילה מהמשטרה.
אנחנו חיים חיים רגילים, ולא באמת צריכים להסתתר או להתחבר רק דרך Tor בשעה חמש בבוקר מאיזו חניה נטושה.
לדעתי, רוב האנשים שראיתי בתחום מונעים משיקולים אישיים בלבד, ולא מהשפעות חיצוניות כלשהן. ההסתייגות היחידה היא קבוצות שפועלות ממניעים פוליטיים, שם הדינמיקה שונה.
ש: בינה מלאכותית משנה במהירות את עולם הסייבר. האם אתם עושים שימוש ב-AI לפיתוח נוזקות, איסוף מודיעין, אוטומציה או משא ומתן עם קורבנות?
כיצד אתם רואים את השפעת ה-AI על פעילות הכופר בעתיד הקרוב?
ת: זו שאלה רלוונטית, ואנחנו חושבים עליה לא מעט. באופן עקרוני, פתרונות EDR כבר משתמשים במנגנונים דומים, וגם פיירוולים מתקדמים רבים עושים שימוש במערכות כאלה.
בראייה רחבה ובטווח הנראה לעין זה לא צפוי לשנות משהו בצורה מהותית, למעט היכולת לבקש מ-ChatGPT להתאים פקודה למקרה ספציפי.
שוב, בזכות ChatGPT סף הכניסה לתעשייה ירד בצורה מורגשת. אם בעבר היה צריך לחפש ברחבי האינטרנט איך לבנות סקריפט, במה להשתמש, ומה גורם לשגיאה, היום אפשר לפתור את זה כמעט מיידית. כל אדם עם גישה לאינטרנט יכול, מאפס, להשתמש ב-AI כדי לנסות ולבחון מנגנוני אבטחה, וזה נכון למרות הצנזורה ומנגנוני הגנה.
ש: משהו אחרון שתרצה להגיד לעוקבים בערוץ?
ת: בסך הכול הייתי אומר שהכול בסדר, ואני בטוח שמכאן והלאה הדברים רק ישתפרו עבור כולם. כמובן, בשביל שזה יקרה, כולם יצטרכו לעבוד קשה.
➖➖➖➖➖➖➖
לכל הראיונות הנוספים שקיימתי עם קבוצות כופר לחצו כאן.