Как спецагенты ФБР внедрились в группировку Hive и ликвидировали её изнутри

[admin]

Бывшие сотрудники ФБР рассказали, как их коллеги прекратили деятельность опасного синдиката.

Международный киберпреступный синдикат Hive прекратил свое существование в январе после того, как ФБР захватило IT-инфраструктуру группировки.

По данным Министерства юстиции США (DoJ), агенты ФБР внедрились в банду в июле 2022 года и предоставили жертвам более 300 ключей дешифратора, избавив их от необходимости платить $130 млн. в качестве выкупа. Это значит, что за последние 6 месяцев власти знали о большинстве жертв Hive, и синдикат, вероятно, столкнулся с резким падением доходов от выкупа. Однако, киберпреступники не догадывались, что у них появились инсайдеры.

Как агенты ФБР проникли в Hive?

Как именно проводилась операция – секретная информация, но бывший спецагент ФБР Даррен Мотт, специализирующийся на киберпреступности, считает, что у ФБР был агент под прикрытием, либо, что более вероятно, Бюро завербовало кого-то внутри Hive. Одним из явных признаков инсайдера является незащищенный дешифратор.

Бывший советник ФБР Крис Пирсон сказал, что операция могла бы также объединить два подхода. Например, власти могли завербовать инсайдера, чтобы тот пригласил «своего» человека присоединиться к команде.

Для захвата Hive можно было использовать другой подход: хакеры ФБР проникли в системы Hive без внутренней помощи. Оказавшись внутри, федералы стали отслеживать действия киберпреступников в сети. «Фактически они взламывают среду, сидят наблюдают и накапливают информацию об операции – точно так же, как это делают киберпреступники, когда атакуют компанию», - отметил Пирсон.

Почему синдикат Hive не заметил, как оказался на мушке?

ФБР предоставило более 300 ключей дешифрования жертвам Hive, однако, хакеры все равно не заметили такое количество неудачных атак. Это может быть связано с тем, что Hive работает по RaaS-модели (Ransomware-as-a-Service) – у синдиката было так много аффилированных лиц, что он не следил за жертвами.

ФБР также могло узнать, какие точки входа использовал Hive, поделиться информацией с целевыми жертвами и позволить им усилить защиту на начальных этапах атаки. Киберпреступники могли бы вовсе ничего не заподозрить, если бы жертвы, которые решили сотрудничать с правоохранительными органами, не заявили бы публично, что подверглись нападению.

По словам Пирсона, также существует вероятность того, что Hive просто игнорировал показатели соотношения взломов и оплаченных выкупов. Это может быть связано с проблемами с ПО, отсутствием сбора данных или отсутствием расшифровки файлов.

Почему ФБР ждало 6 месяцев?

Рэнди Паргман, бывший член Кибероперативной группы ФБР, считает, что чем дольше власти остаются внутри, тем больше у них шансов уничтожить системы преступников. Если бы они сразу отключили сервер Hive, злоумышленники бы просто восстановили другой сервер и продолжили свою деятельность. Вместо этого правоохранительные органы следили за сервером и незаметно предоставляли жертвам ключи дешифрования.

Возможно, правоохранительные органы незаметно проинформировали всех жертв, до которых смогли добраться, но некоторые компании все равно предпочли заплатить выкуп, чтобы их файлы не были опубликованы хакерами. Все усилия ФБР привели к тому, что синдикат Hive больше не действует, но хакеры могут вскоре разделиться и войти в состав других групп, как это сделали участники Conti после распада группировки.

 

[admin]

$15 млн за правду: США намереваются ликвидировать остатки вымогательской банды Hive.

Сдадутся ли подельники группировки под натиском манящего хруста купюр?

Вчера Государственный департамент США официально объявил о назначении вознаграждения в размере $10 миллионов за информацию о членах вымогательской банды Hive и $5 миллионов за информацию о соучастниках их преступлений.

Сама киберпреступная сеть Hive была ликвидирована силами ФБР в конце января прошлого года. За почти два года своей активности хакеры успели заработать свыше $100 миллионов, а число жертв их атак перевалило за полторы тысячи.

В конце января Госдепартамент США впервые сообщил, что выплатит до 10 миллионов долларов за информацию, которая приведёт к идентификации и/или определению местоположения лиц, занимающих или занимавших «ключевые» руководящие позиции в этой организованной преступной группировке.

Позже ФБР объявило о дополнительном вознаграждении в размере 5 миллионов долларов за информацию, которая может привести к задержанию любого лица, «договорившегося участвовать или пытавшегося участвовать в деятельности, связанной с вымогательским ПО Hive».

В результате ликвидации сети Hive ФБР смогло предоставить ключи для расшифровки более чем 1300 текущим и прошлым жертвам преступников по всему миру, избавив их от необходимости выплачивать выкупы на общую сумму порядка 130 миллионов долларов и «парализовав способность Hive наносить ущерб».

Такая оценка ФБР «может не отражать всей картины», поскольку она учитывает только те выкупы, которые были непосредственно предотвращены благодаря ключам для расшифровки. Компания Chainalysis предполагает, что ликвидация Hive, скорее всего, предотвратила выплаты на сумму как минимум 210 миллионов долларов.

Несмотря на эти и другие громкие успехи в борьбе с киберпреступностью, онлайн-мошенники продолжают получать огромную прибыль от своих атак, десятки новых группировок появляются ежегодно.

По оценкам всё той же Chainalysis, киберпреступные банды получили более 1 миллиарда долларов в криптовалюте от своих жертв в 2023 году по сравнению с 567 миллионами долларов годом ранее.

Солидное вознаграждение за информацию о киберпреступниках Hive демонстрирует решимость властей США привлечь хакеров к ответственности и окончательно ликвидировать угрозу. Именно такое информирование, в конечном счёте, и позволяет ФБР успешно проводить ликвидации крупных преступных сетей и делать киберпространство более безопасным.

sc: state.gov/reward-offers-for-information-to-bring-hive-ransomware-variant-co-conspirators-to-justice