RansomHub – лидер в сфере вымогательства.

[stihl]

В 2024 году на киберпреступной сцене стремительно появился новый игрок — группировка RansomHub, которая успела атаковать уже более 600 организаций по всему миру. По данным исследования Group-IB, группа RansomHub заполнила вымогательскую нишу после недавних нарушений в деятельности ALPHV и LockBit .

Эксперты отмечают, что RansomHub действует в формате ransomware-as-a-service (RaaS), активно привлекая партнёров на подпольных форумах, таких как ****. Основной стратегией стало переманивание хакеров , ранее работавших на другие группировки, что позволило RansomHub быстро нарастить масштабы атак.

Анализ кода вредоноса показал, что группировка, вероятно, приобрела своё программное обеспечение у Knight (Cyclops), другой известной киберпреступной организации. Использование готовых решений ускорило развёртывание атак, а мультиплатформенность программы позволяет шифровать системы на Windows, ESXi, Linux и FreeBSD, расширяя список потенциальных жертв.

RansomHub отличается высокой степенью организованности. Группировка использует как проверенные техники взлома — атаки на VPN-сервисы и подбор паролей, так и сложные методы, включая эксплуатацию уязвимостей нулевого дня. В арсенале атакующих — инструменты вроде PCHunter, позволяющие обходить средства защиты.

Тактика атак включает тщательное исследование сети жертвы и захват наиболее ценных данных. Операторы проникают в инфраструктуру, получают контроль над критическими узлами — файловыми хранилищами, резервными копиями, серверами — и переносят конфиденциальные сведения на удалённые серверы. Для передачи информации преступники используют Filezilla, а затем запускают процесс шифрования на скомпрометированных хостах.

После завершения атаки RansomHub шантажирует жертву, требуя выкуп за расшифровку и непубликацию данных. Программа-вымогатель способна останавливать виртуальные машины, уничтожать теневые копии файлов и зачищать журналы событий, затрудняя расследование инцидента .

Одной из наиболее разрушительных атак RansomHub стала операция, проведённая всего за 14 часов. Преступники использовали уязвимость в межсетевом экране Palo Alto ( CVE-2024-3400 ) для первичного доступа, затем применили брутфорс учётных данных от VPN-клиента. После этого атакующие эксплуатировали старые бреши в Windows ( CVE-2021-42278 и CVE-2020-1472 ), получая полный контроль над сетью.

Эксперты подчёркивают, что столь эффективная деятельность RansomHub стала возможной из-за несвоевременного обновления операционных систем. Если та или иная компания становится жертвой атаки через уязвимость, закрытую несколько лет назад, то виновато в этом исключительно её собственное халатное отношение к кибербезопасности. В данном случае глупо перекладывать ответственность на поставщиков программного обеспечения.

Растущая активность RansomHub свидетельствует о продолжающейся эволюции киберугроз. Организации должны усиливать свою защиту, регулярно обновлять программное обеспечение и минимизировать поверхность атаки, чтобы не попасть в список жертв RansomHub и прочих вымогательских группировок.

group-ib.com/blog/ransomhub-never-sleeps-episode-1
ptsecurity.com/ru-ru/research/threatscape

 

[stihl]

Внутри МВД обсуждают информацию об отмашке активизировать работу по хакерской группировке RansomHub. Возможных причин может быть две: атака хакерской группы на критическую инфраструктуру одной из стран СНГ или возможная утечка внутри RansomHub, которая позволила получить важную информацию для работы.

RansomHub — одна из самых известных хакерских группировок прошедшего года. Они впервые заявили о себе только в феврале 2024, но за 10 месяцев смогли провести более 600 успешных атак. Основная часть их атак приходится на компании в США и странах Евросоюза. Среди самых громких взломов компьютерных сетей особо выделяются:

-Правительство Мексики. В публичном доступе оказались 334ГБ информации, в том числе «контракты, страховки, финансовые документы, конфиденциальные файлы».

-ФК «Болонья» из Италии потерял доступ к своим серверам, а затем были опубликованы медицинские карты игроков, бизнес-планы клуба и финансовые документы.

-******************************ie's, старейший аукционный дом. RansomHub украла личные данные более 500 000 клиентов по всему миру. Архив был выкуплен третьей стороной и в публичном доступе не появлялся.

Хакеры RansomHub используют двойной метод вымогательства. Они проникают в компьютерные сети жертвы, скачивают всю доступную информацию, а затем шифруют все данные на серверах компании. После этого хакеры предъявляют ультиматум: заплатите нам или мы опубликуем\продадим ваши данные. Таким образом, пострадавшая сторона рискует лишится всех своих файлов, что часто может означать остановку работы или полное уничтожение бизнеса.

При выплате выкупа, хакеры обещают предоставить ключ, который расшифрует все данные. Кроме того, они обещают не допускать повторных атак, а также — дать свои рекомендации по защите данных.

RansomHub на своей странице в даркнете сообщают о том, что не атакуют «больницы и некоторые некоммерческие организации». Кроме того, есть географические ограничения: «нас не интересует ничего другого, мы заинтересованы только в долларах. Мы не разрешаем атаковать компании из СНГ, Кубы, Северной Кореи и Китая.»

Однако теперь появилась информация, что RansomHub нарушили собственные правила. Якобы, от их лица начали совершатся атаки внутри СНГ. Правоохранительные ведомства не могли не обратить на это внимание.