הראיון התקיים עם המנהל של הקבוצה.
------------------------
ש: ALP-001 צצה ממש לאחרונה. האם מדובר בקבוצה חדשה לגמרי, או במיתוג מחדש של קבוצה ישנה?
ת: קבוצת ALP-001 היא קבוצה חדשה, מתקפות חדשות ושיטות עבודה חדשות כדי להשיג גישה לרשתות של חברות גדולות.
ש: האתר שלכם מציג את ALP-001 גם כפלטפורמת הדלפות וגם כשוק למכירת גישה. מהו למעשה המודל העסקי המרכזי שלכם כיום - מתקפות כופר, סחיטת מידע בלבד, מכירת גישה ראשונית או הכל מהכל?
ת: האתר שלנו לא נועד רק להדלפות. יש לנו גם אקספלויטים ו-0days, וגם גישה לחברות גדולות. אנחנו יכולים למכור גישה לכל אחד.
אם הקורבנות שלנו משלמים אז אנחנו לא מוכרים כלום.
ש: מה ווקטור הכניסה המרכזי שלכם לארגונים? האם אתם רוכשים פרטי גישה גנובים, מנצלים חולשות, או משהו אחר?
ת: אנחנו לא קונים גישה. אנחנו מפתחים את האקספלויטים שלנו בעצמנו.
ש: האם אתם עובדים עם שותפים או שהקבוצה היא צוות סגור? ואם אתם כן עובדים עם אחרים, איך אתם בודקים אותם ומצמצמים את הסיכון להונאות או לחדירה של גורמי אכיפה?
ת: אנחנו לא עובדים עם אף אחד. אנחנו עובדים לבד. אם אנחנו מכניסים שותפים זה רק עם גורמים שאנחנו סומכים עליהם.
ש: איך אתם מחליטים אם יעד מסוים שווה תקיפה? אילו גורמים הכי משמעותיים מבחינתכם, למשל הכנסות, מגזר, רמת הבשלות בסייבר, ביטוח סייבר, מיקום גיאוגרפי, או רגישות המידע שאתם טוענים שהשגתם?
ת: בחירת מטרות היא החלטה עסקית מחושבת. הגורמים המרכזיים כוללים את הפוטנציאל הכלכלי, כמו הכנסות וביטוח, רגישות המידע, קלות הסחיטה, סיכון משפטי לפי אזור גיאוגרפי, וההערכה שלנו לגבי היכולת או הנכונות של הארגון לשלם. רמת אבטחה נמוכה היא גורם מרכזי.
ש: פרסמתם קורבנות אבל לא הצגתם הוכחות לפריצה ולא חשפתם את סכום הכופר שנדרש. למה?
ת: בדיוק הוספנו טיימר לפרסום דוגמאות וקבצים. זה נכון גם עבור הקורבן, כשהוא יוצר איתנו קשר, וגם עבור הציבור (לאחר 8 שעות).
ש: לגבי Hikvision - מדובר בחברה גדולה ובולטת. האם תוכלו לשתף יותר על המקרה הזה? איזה סוג גישה השגתם, איזה סוג מידע לטענתכם נלקח, כמה זמן הייתם בתוך הרשת, ולמה החלטתם לתקוף דווקא את הארגון הזה?
ת: השגנו גישה משמעותית לרשת באמצעות שילוב של כמה שיטות. הוצאנו כמויות גדולות של מידע, כולל מסמכים פנימיים, קבצי פרויקטים, ומידע מסוים על עובדים.
היינו בתוך הרשת שלהם במשך תקופה ממושכת כדי למפות היטב את התשתית שלהם, בערך חמישה חודשים. הם נבחרו בגלל הגודל שלהם, הפרופיל הגלובלי שלהם, והאופי הרגיש של תחום הפעילות שלהם. הם בעל ערך גבוה עם פוטנציאל לתשלום משמעותי.
ש: עוד שאלה שקשורה ל-Hikvision - האם הגודל והפרופיל של החברה שינו את האסטרטגיה שלכם בצורה כלשהי? (משא ומתן, דדליין וכדו')
ת: בהחלט. כאשר מדובר ביעד בפרופיל כזה, האסטרטגיה שלנו הופכת לסבלנית יותר. דרישת הכופר מותאמת לגודל החברה כמובן ולוח הזמנים של המשא ומתן עשוי להתארך.
אנחנו מפעילים לחץ בצורה זהירה יותר כדי לא לעורר תגובת אכיפה חריגה. ההחלטה לא לפרסם הוכחות לפריצה לכולם היא חלק מאסטרטגיית הלחץ שלנו.
ש: כל אדם, גם אם בחר בדרך לא שגרתית, שואב השראה ממקום כלשהו. האם יש ספר, אדם או סרט מסוים שעיצב את תפיסת העולם שלכם או השפיע על הדרך שבה אתם פועלים?
ת: ההשראה מגיעה מעקרונות שונים ומהמציאות הטכנולוגית. אנחנו לומדים את ההצלחות והכישלונות של מי שהיו לפנינו, לא כדי לחקות, אלא כדי להתפתח.
ש: משהו אחרון שתרצו לשתף עם העוקבים בערוץ?
ת: ההגנות הן סטטיות, ואילו ההתקפה מותאמת לכל ארגון. לארגונים שצופים בנו, המידע שלכם מאובטח רק כמו החוליה החלשה ביותר שלכם, ואנחנו עוסקים בלמצוא אותה. לאחרים שפועלים בזירה הזו, תתחדשו או תהפכו ללא רלוונטיים. זה לא משחק, זה שוק. תפעלו בהתאם.
--------------------------
לכל הראיונות הקודמים שלי עם קבוצות הכופר - לחצו כאן.