Vreemde losgeldbedreiging Acteur zoekt ongebruikelijke slachtoffers
De Mespinoza ransomware-bende, ook bekend onder de alias PYSA, is in de schijnwerpers komen te staan vanwege hun ongebruikelijke benadering van hun operaties.
De groep infiltreert netwerken zoals de meeste andere ransomware-outfits, maar eenmaal binnen zoeken Mespinoza-hackers naar documentatie, bestanden of ander bewijs dat zou kunnen betekenen dat het slachtoffer van de hack op de een of andere manier op de hoogte is van illegale activiteiten. De groep gebruikt deze informatie vervolgens als hefboom om exorbitante hoeveelheden losgeld af te persen van zijn slachtoffers.
Mespinoza is door onderzoekers die met Palo Alto Networks samenwerken een "extreem gedisciplineerde" ransomwarebende genoemd. Het rapport van Palo Alto's Unit42 richt zich op de steeds veranderende tactieken die ransomware-bedreigingen gebruiken in hun voortdurende zoektocht naar illegale winst.
Mespinoza staat al een tijdje op de radar van de infosec-gemeenschap. De groep werd groot genoeg dat de FBI in maart 2021 specifiek over hen een waarschuwing publiceerde. Het rapport kwam in de nasleep van aanvallen op Amerikaanse onderwijsinstellingen, waaronder religieuze seminaries, en soortgelijke aanvallen op Britse instellingen.
Zodra Mespinoza een netwerk binnendringt, gaan ze op zoek naar zeer specifieke termen en trefwoorden en als die worden gevonden, lanceren de hackers de volledige ransomware-aanval, waarbij ze het netwerk versleutelen en enorme losgelden vragen, vaak in de miljoenen. Mespinoza zou zoeken naar woorden als "fraude" of "rijbewijs" - slechts twee voorbeelden die door Palo Alto zijn gepubliceerd.
De groep verwijst ook graag naar zijn ransomware-slachtoffers als zijn "partners". Of dit alleen voor de show is, of dat Mespinoza gelooft dat dit een soort social engineering-truc is om de slachtoffers te laten samenwerken, is niet zo duidelijk.
Entiteiten die het doelwit zijn van de Mespinoza-hackers bevinden zich over de hele wereld. De groep heeft slachtoffers geraakt in continentaal Europa, Brazilië, Zuid-Afrika en Australië. De volledige lijst bevat volgens het rapport van Palo Alto in totaal 20 landen. De overgrote meerderheid van de slachtoffers bevindt zich in de VS.
Hoewel Mespinoza geen DarkSide-groep of REvil-bende is, laat het feit dat ze zoveel aanvallen hebben gescoord en specifiek zijn gefocust in een FBI-rapport, zien dat de groep succesvol is. Er is ook geen harde informatie over waar Mespinoza zich bevindt.
