„Všimli jsme si, že máte akcie. Pokud s námi nezačnete vyjednávat, unikneme vaše data na nasdaq a uvidíme, co se stane s vašimi akciemi.“ Tuhle větu zaznamenala FBI v březnu 2020 během vyjednávání o výkupném s obětí ransomwarového útoku. Kdo ji napsal a komu přesně patřila, záznam neuvádí.
Oznámení z 1. listopadu 2021
Federal Bureau of Investigation (FBI, americký federální vyšetřovací úřad), oddělení Cyber Division, vydala Private Industry Notification (upozornění určené soukromému sektoru) s názvem „Ransomware Actors Use Significant Financial Events and Stock Valuation to Facilitate Targeting and Extortion of Victims“ (volně: Aktéři ransomwaru využívají významné finanční události a ocenění akcií k usnadnění cílení a vydírání obětí). Dokument nese číslo 20211101-001, je datovaný 1. listopadu 2021 a vznikl ve spolupráci s Cybersecurity and Infrastructure Security Agency (CISA), americkou agenturou pro kybernetickou bezpečnost spadající pod ministerstvo vnitřní bezpečnosti.
Materiál nese označení TLP WHITE: protokol Traffic Light Protocol určuje, jak smí být informace dál šířena, a bílá úroveň znamená volné šíření bez omezení. Je uložen v knihovně Cyber Vault Library, kterou vede National Security Archive, nevládní výzkumná instituce při George Washington University zveřejňující odtajněné dokumenty. Dokument odkazuje na starší společné poradenství pěti zemí (Austrálie, Kanada, Nový Zéland, Spojené království a USA) a na technickou analýzu trojanu Pyxie RAT z listopadu 2020. Shrnuji to takto: nejde o hlášení jednoho čerstvého incidentu, ale o vzorec, který FBI sestavila zpětně z případů starých přes rok.
Příspěvek podepsaný Unknown
Podle dokumentu se začátkem roku 2020 na rusky psaném hackerském fóru Exploit objevil příspěvek uživatele vystupujícího pod přezdívkou Unknown. Navrhoval využít kótaci oběti na burze NASDAQ jako nástroj nátlaku při vyjednávání o výkupném.
O měsíc později, v březnu 2020, zaznamenala FBI konkrétní vyjednávání, v němž útočníci oběti napsali citovanou hrozbu úniku dat „na nasdaq“. Dokument formulaci cituje přesně takto a nevysvětluje, co přesně měla znamenat, jestli šlo o narážku na burzovního regulátora, na novináře sledující kurz akcií, nebo jen obecnou hrozbu dopadu na cenu akcií. Totožnost útočníků záznam neuvádí.
Tři firmy, které dokument nejmenuje
Mezi březnem a červencem 2020 podle FBI ransomware zasáhl nejméně tři veřejně obchodované americké společnosti přesně v době, kdy vyjednávaly o fúzi nebo akvizici. U dvou ze tří těchto obchodů šlo v té době o vyjednávání mimo veřejnost. Víc dokument neříká: žádná jména firem, žádná burzovní označení, žádné odvětví, ani kolik dalších případů FBI do analýzy celkem zahrnula.
Klíčová slova v napadené síti
Listopadová technická analýza trojanu Pyxie RAT z roku 2020, programu, který podle dokumentu často předchází nasazení ransomwaru Defray777/RansomEXX, zjistila, že útočníci po proniknutí do sítě cíleně vyhledávali dokumenty podle klíčových slov spojených s finančním výkaznictvím: 10-Q, 10-SB, N-CSR, NASDAQ, Marketwired a Newswire. Je to jediný technický a ověřitelný detail v celém souboru, ne tvrzení o úmyslu, ale popis chování škodlivého kódu v konkrétních sítích.
Dokument k tomu popisuje ransomwarový útok jako dvoufázový proces. Síť nejdřív nakazí trojan, který slouží k průzkumu a rozhodnutí, jak přístup nejlépe zpeněžit. Většina obětí trojanu se podle FBI obětí ransomwaru následně nestane, což FBI bere jako doklad, že cíle pro ransomware se z nakažených sítí vybírají záměrně, podle toho, co průzkum najde.
Závěr FBI: „velmi pravděpodobné“
Na základě shrnutých případů FBI uzavřela, že je velmi pravděpodobné, že ransomwarové skupiny cíleně využívají významné finanční události (fúze, akvizice, zveřejnění výsledků) k výběru obětí a zvýšení tlaku na zaplacení výkupného. Jde o hrozbovou analýzu, ne o uzavření jednotlivého případu; žádný konkrétní útok dokument neoznačuje za vyřešený.
FBI v dokumentu zároveň uvádí, že výkupné platit nedoporučuje, protože platba podle ní útočníky povzbuzuje a návrat dat nezaručuje. Součástí je i seznam doporučených opatření: zálohovat data offline a chránit je proti smazání, udržovat zabezpečovací software aktuální, vyhýbat se veřejné Wi-Fi síti, používat dvoufaktorové ověření přes aplikaci a nastavit přístupová práva na nejnižší nutnou úroveň.
Co dokument neříká
Záznam neuvádí, zda některá z tří zasažených firem výkupné zaplatila. Neuvádí, zda u některé z nich skutečně došlo k propadu akcií. Neuvádí ani celkový počet ransomwarových případů, z nichž FBI odvodila závěr o vysoké pravděpodobnosti, jen že firem spojených s fúzemi a akvizicemi bylo nejméně tři. Totožnost uživatele Unknown zůstává přezdívkou bez dalšího kontextu. Dokument tohle ani neměl v úmyslu zjišťovat, šlo o souhrnné upozornění pro firmy, ne o zprávu z uzavřeného vyšetřování.
Darkside a Colonial Pipeline
Dokument v poznámce uvádí, že ransomwarová skupina Darkside v dubnu 2021 na vlastním blogu nabídla kupujícím informace z dat obětí ještě před jejich zveřejněním, aby mohli vydělat na poklesu kurzu akcií, pokud oběť odmítne zaplatit. Táž skupina byla podle dokumentu v květnu 2021 spojena s útokem na Colonial Pipeline, amerického provozovatele ropovodu.
Dokument tuhle spojitost uvádí jako samostatný, pozdější fakt, ne jako důkaz, že vzorec popsaný u případů z roku 2020 pokračoval nebo že Darkside byl jeho přímou součástí. Je to poznámka připsaná vedle hlavní analýzy, ne její uzavřená část.
Co z toho plyne a co ne
Dokument nepotvrzuje koordinovaný postup mezi skupinami. Popisuje jen to, že víc nezávislých útočníků došlo ve stejném roce ke stejnému nápadu, totiž že burzovní citlivost firmy se dá použít jako páka při vyjednávání o výkupném.
Obyčejné vysvětlení k tomu existuje a je nudné: ransomwarové skupiny si vybírají cíle podle veřejně dostupných informací, a probíhající fúze nebo akvizice patří mezi nejsledovanější veřejné informace vůbec. Slabina tohoto vysvětlení je ale přímo v dokumentu: FBI neuvádí, kolik firem bylo ve stejném období napadeno mimo kontext fúzí a akvizic. Bez toho čísla nejde rozlišit, jestli jde skutečně o vzorec, nebo o tři shody, které FBI spojila až zpětně.
Spis tím končí: upozornění vydané 1. listopadu 2021, veřejně dostupné, postavené na analýze starší přes rok, bez jmen obětí a bez jména útočníka. Co se s těmi třemi firmami dál stalo, záznam neříká.