Ægte omfang af Bitcoin ransomware afpresning afsløret

Ransomware er en af ​​de mere bekymrende typer malware, der er dukket op i de senere år. Det virker ved at begrænse adgangen til computerfiler, indtil en løsesum er betalt. Ofrene har omfattet det britiske sundhedsvæsen, det spanske teleselskab Telefonica, den russiske oliegigant Rosneft og mange andre.

Ofre er normalt forpligtet til at betale en Bitcoin løsesum svarende til et par hundrede dollars for at frigive deres filer. Typisk stiger løsesummen over tid indtil en deadline, hvor filerne angiveligt er ødelagt. Mange virksomheder og enkeltpersoner har ikke haft andet valg end at betale.

Og det rejser et interessant spørgsmål. Hvor mange penge har Bitcoin ransomware-programmer genereret til deres ondsindede herrer?

US dollar værdi af løsesum betalt til CryptoWall Bitcoin-konti

I dag får vi svar takket være Mauro Contis arbejde ved universitetet i Padua i Italien og et par kolleger. Disse fyre har oprettet en database med Bitcoin-konti, der bruges af ransomware-kriminelle, og lagt de løsesummer, der er betalt til dem, sammen. Resultatet er en omfattende analyse af de gevinster, som cyberkriminelle har opnået i dette nye område af kriminalitet.

Mens ransomware kan bede om betaling i form af valuta, fokuserer Conti og co kun på dem, der beder om Bitcoin-betalinger. Det skyldes, at Bitcoin-transaktioner er åbent registreret og gratis at se. Så i princippet burde det være muligt at regne ud præcis, hvor meget hver konto modtager. Vores mål var nøjagtigt at måle USD-værdien af ​​disse betalinger, siger Conti og co.

Holdet begyndte med at oprette en database med Bitcoin-konti, der er forbundet med denne form for aktivitet siden 2013, hvor ransomwaren Cryptolocker blev den første til at bede om betaling i Bitcoin. Vi fandt tyve ransomware, der opfyldte vores udvælgelseskriterier, dvs. disse ransomware: (i) der brugte Bitcoin som mindst én metode til løsepengebetaling, og (ii) som mindst én Bitcoin-adresse er offentligt kendt for, forklarer de.

For hver art af malware giver de et nyttigt overblik over den måde, den fungerer og spredes, og hvordan den har udviklet sig over tid.

Ikke alle betalinger til disse konti er nødvendigvis løsesummer. Så Conti og co udviklede en måde at skelne løsesum fra andre typer. Det gør de ved at lede efter betalinger, der svarer til de specifikke beløb, som malwaren kræver i løsesum.

Endelig sammenlægger Conti og co alle løsepengebetalinger modtaget af hver type malware. Deres arbejde afslører den mest profitable ransomware, men rejser også spørgsmål om, hvordan disse konti bruges, og hvordan de kan spores.

Langt den mest profitable form for ransomware viser sig at være CryptoWall, som begyndte at inficere Windows-computere i november 2013. Den krypterede filerne ved hjælp af RSA-2048-krypteringsalgoritmen og krævede derefter en betaling på op til $1.400 for at frigive dem.

Malwaren spredte sig gennem forskellige vektorer, såsom downloadlinks sendt af Cutwail spam-botnet. Nogle versioner af malwaren skabte en unik Bitcoin-betalingsadresse for hver inficeret bruger og brugte Tor darknet-systemet til at give anonyme links til hvert offer.

Mellem dets udgivelse og december 2015 modtog Bitcoin-adresser forbundet med denne malware $2,2 millioner i Bitcoin-betalinger og yderligere $2,3 millioner i transaktioner med højere værdi, som Conti og co formoder også kan være løsepengebetalinger.

Mærkeligt nok var den samlede værdi af betalinger modtaget af disse Bitcoin-adresser over $45 millioner. De fleste af disse transaktioner var ikke direkte forbundet af Conti og co med løsesum. Det er et betydeligt beløb og rejser det åbenlyse spørgsmål om, hvad det var betaling for.

Den fulde rangering af Bitcoin ransomware-projekter efter det amerikanske dollarbeløb, de genererede, er som følger:

Ransomware Bitcoin løsesum modtog USD-værdi

CryptoWall 5.351.2329 2.220.909.12

CryptoLocker 1403.7548 449.274.97

DMA skab 339.4591 178.162.77

WannaCry 47,1743 86,076,76

CryptoDefense 126.6960 63.859.49

NotPetya 4.0576 9.835.86

KeRanger 9999 4.173,12

Interessant nok fik WannaCry-udbruddet enorm mediedækning, da malwaren spredte sig bredt. Men angrebet blev forhindret af cybersikkerhedsforskeren Marcus Hutchins, som opdagede og aktiverede en indbygget kill-switch, der forhindrede malwaren i at være mere destruktiv.

Den samlede virkning (inklusive økonomiske tab) som følge af WannaCry-infektion kunne have været værre … takket være den tidlige opdagelse af kill-switchen, som forhindrede de inficerede computere i at sprede WannaCry yderligere, siger Conti og co.

Holdet diskuterer også andre former for malware, der har bedt om, men som ikke ser ud til at have modtaget nogen væsentlig løsesum. Disse inkluderer TeslaCrypt, Hi Buddy! og KillDisk.

Forskellige andre grupper har udført lignende analyser og er kommet til lignende konklusioner. Conte og co gør dog deres datasæt offentligt tilgængeligt, så andre kan bygge videre på det. Datasættet indeholder en detaljeret transaktionshistorik for alle de adresser, vi har identificeret for hver ransomware, siger de.

Cyberkriminelle bruger Bitcoin, fordi det giver en tilsyneladende anonym måde at indsamle og foretage betalinger på. Bitcoin er dog pseudonym frem for anonym. Det betyder, at brugere kan beskytte deres identitet, forudsat at ingen af ​​deres transaktioner kan knyttes til deres rigtige identitet. Men så snart en enkelt transaktion er knyttet til deres personlige identifikationsdata, bliver alle deres transaktioner forbundet på samme måde.

En nyttig analogi er til forfattere, der udgiver under et pseudonym. Så længe forfatterens identitet aldrig er knyttet til nogen af ​​de pseudonyme artikler, forbliver han eller hun anonym. Men hvis den er knyttet til kun én pseudonym artikel, er den knyttet til dem alle, og så er anonymiteten tabt.

Så pseudonym beskyttelse er en skrøbelig ting. En enkelt transaktion, der forbinder en Bitcoin-konto til en personlig konto, kan afsløre identiteten på en cyberkriminel. Og personlige data lækker hele tiden i web-baserede transaktioner.

Sidste år skrev vi om ufuldkommenhederne i anonymiteten af ​​Bitcoin-transaktioner. Det burde give håb om at spore disse kriminelle.

Conti og co har sat denne type undersøgelser som et fremtidigt mål. Vi vil forsøge at spore, hvordan de modtagne løsesummer blev brugt, og af hvem, siger de.

Det er modigt og ambitiøst. Men det rejser også et spørgsmål - hvad laver retshåndhævende myndigheder i mellemtiden?

Ref: arxiv.org/abs/1804.01341 : Om den økonomiske betydning af Ransomware-kampagner: Et Bitcoin-transaktionsperspektiv

skjule