Ransomware har funnits i decennier, men hotet har kontinuerligt anpassat sig till försvarsförbättringar genom åren. En anmärkningsvärd utveckling är den nuvarande dominansen av ransomware-grupper som använder en speciell typ av utpressning, där flera utpressningsstrategier används samtidigt (vanligtvis både kryptering för att förhindra åtkomst till data och stjäla data för att läcka offentligt) för att pressa offer på betalningar.
Enligt en analys av över 3 000 dataläckor från ransomware-grupper som använder ”multi-point”-utpressning var organisationer i USA de vanligaste offren för dessa attacker, följt av Kanada, Storbritannien, Tyskland, Frankrike och Australien. Sammantaget stod organisationer i dessa länder för tre fjärdedelar av de läckor som ingår i analysen.
Byggbranschen verkade vara mest påverkad och stod för 19 procent av dataläckorna. Fordonsföretagen stod däremot bara för cirka 6 procent. Ett antal andra branscher befinner sig mitt emellan dessa två på grund av att ransomware-grupper har olika offerfördelning, där vissa grupper riktar in sig oproportionerligt mycket på en eller flera industrier i förhållande till andra.
Även om hotet om ransomware har orsakat avsevärd smärta för organisationer i olika länder och branscher, kan dess transformativa inverkan på cyberbrottsindustrin inte överskattas.
– I jakten på en större del av de enorma intäkterna från ransomware-industrin, köper ransomware-grupper kapacitet från specialiserade e-brottsleverantörer, ungefär på samma sätt som legitima företag outsourcar funktioner för att öka sina vinster. DDenna färdiga tillgång på kapacitet och information utnyttjas av fler och fler cyberhotaktörer, allt ifrån ensamma, lågutbildade operatörer, ända upp till statliga APT:er. Ransomware skapade inte cyberbrottsindustrin, men den har verkligen gjutit olja på elden, säger senior threat intelligence analyst Stephen Robinson.
I ett noterbart exempel som lyfts fram i rapporten undersökte WithSecure en incident som involverade en enda organisation som äventyrades av fem olika hotaktörer, var och en med olika mål och representanter för olika typer av cyberbrottstjänster:
- Monti ransomware-gruppen
- Qakbot malware-as-a-service
- En kryptojackningsgrupp känd som 8220 Gang (även spårbar som Returned Libra)
- En icke namngiven initial access broker (IAB)
- En undergrupp av Lazarus Group, ett Advanced Persistent Threat (APT) associerat med Nordkoreas underrättelsetjänst
Enligt rapporten gör denna professionaliseringstrend expertis och resurser för att attackera organisationer tillgängliga för mindre kvalificerade eller hotaktörer med sämre resurser. Rapporten förutspår att det är troligt att både antalet angripare och storleken på cyberbrottsindustrin kommer att växa under de kommande åren.
– Vi pratar ofta om den skada som ransomware-attacker orsakar offren. Mindre uppmärksamhet ägnas åt hur lösensummor ger ytterligare resurser till angripare, vilket har uppmuntrat den professionaliseringstrend som beskrivs i rapporten. På kort sikt kommer vi sannolikt att se detta föränderliga ekosystem forma resurserna och de sorters attacker som försvarare möter, säger WithSecures chef för threat intelligence Tim West.
