Slices of the Ransomware Pie: twee namen domineren het illegale spel

Het wereldwijde ransomware-landschap is het onderwerp van periodieke beoordelingen en onderzoeken door een deel van de infosec-gemeenschap. In een van die recente beoordelingen publiceerde beveiligingsbedrijf Digital Shadows enkele bevindingen die nuttig en inzichtelijk zijn bij het construeren van het grotere geheel van ransomware.

Twee namen domineren de ransomware-scene in Q1 2022

De door het onderzoeksteam onderzochte periode beslaat het eerste kwartaal van 2022. In de eerste drie maanden van het jaar domineerden slechts twee ransomware-namen het merendeel van de aanvallen en ransomware-infecties. De dominante soorten zijn dezelfde twee die je overal in het nieuws ziet als je het infosec-landschap in het algemeen volgt - LockBit en Conti. De twee ransomware-outfits die alleen LockBit 2.0 en Conti gebruikten, waren verantwoordelijk voor bijna 60% van alle ransomware-gerelateerde incidenten in het kwartaal.

Ook de onderverdeling van de criminele taart tussen de twee bendes is niet gelijk. LockBit 2.0 werd in die periode gebruikt bij 38% van de ransomware-aanvallen, waarbij de Conti-bende verantwoordelijk was voor bijna de helft hiervan, met 20%.

Een andere merkwaardige statistiek die door Digital Shadows is gepubliceerd, is het aantal geëxfiltreerde datadumps dat online is gelekt. Alleen al de LockBit-bende lekte in de eerste drie maanden van 2022 een record van 200 datasets van 200 verschillende slachtoffers.

Het online lekken van potentieel gevoelige informatie is een veelvoorkomende truc geworden in het repertoire van ransomware-bedreigingsactoren. Het is een eenvoudige maar vaak verrassend effectieve methode om extra druk uit te oefenen om te betalen op het slachtoffer. Natuurlijk is niet alle informatie de hoeveelheid geld waard die de hackers zouden kunnen vragen, en dat is ook de reden waarom er zoveel lekken opduiken wanneer slachtoffers weigeren mee te spelen en te betalen.

Conti geschud maar niet uit beeld

De Conti-groep was een beetje door elkaar geschud als gevolg van de trillingen die volgden op de pro-Russische proclamatie van de bende. Veel interne Conti-correspondentie, chats, workflow- en organisatie-informatie werd online gepubliceerd via het ContiLeaks Twitter-account. Onderzoekers geloven niet dat de lekken een voldoende grote impact zullen hebben op de activiteiten van de bende om ze volledig uit dienst te nemen.

Natuurlijk duiken er steeds nieuwe namen op tussen ransomware-outfits. Gedurende de eerste drie maanden van 2022 registreerde Digital Shadows zes afzonderlijke nieuwe bedreigingsactoren, waaronder namen als Pandora, Night Sky en x001xs.