Missnöjd Conti Ransomware Affiliate läcker information om Gang

I en hund äter hundens händelse, har en affiliate som arbetar för Conti -ransomware -gänget läckt information om den kriminella gruppens metodik och verksamhet. Affiliaten var tydligen arg eftersom Conti -gänget underskred hans betalning.

Conti-ransomware-gänget använder en ransomware-as-service-modell-något som nästan har blivit normen när det gäller större kriminella organisationer som handlar med ransomware. Modellen utgör ett slags olaglig plan för intäktsdelning där dotterbolagen utför attackerna och sedan delar upp eventuella lösenpengar som betalas med hackarna som startade och driver ransomware och dess infrastruktur.

En säkerhetsforskare fångade inlägget från det ilskna Conti -gängets affiliate på ett underjordiskt forum. Affiliaten publicerade en betydande information om gängets verksamhet och hur de fungerar. Informationen som publicerades i inlägget innehöll adresser till CobaltStrike kommando- och kontrollservrar som används av Conti, samt en arkivfil som innehåller självstudiematerial som Conti använder för nya partner och andra verktyg.

Intäktsandelen som äger rum mellan lösenkoncernen som driver infrastrukturen och deras dotterbolag kan variera, men uppdelningen som medlemsföretagen får är vanligtvis 20 till 30 procent. I det här fallet fick den arga affiliaten bara 1 500 dollar och anklagade Conti för att ha letat efter "suckers" för att göra det smutsiga arbetet för dem utan att få sitt utlovade snitt.

På grundval av den information, verktyg och utbildningsmaterial som läckt ut twittrade forskaren Vitali Kremez ut ett par säkerhetstips om hur man skyddar nätverk från Conti -ransomware. De inkluderade skanningssystem för "obehöriga Atera Agent -installationer" och att kontrollera om det finns någon skrivbordsbeständighet. Atera var ett av verktygen som Conti använder tillsammans med CobaltStrike -fyrar innan de går vidare med att distribuera den slutliga nyttolasten för ransomware.

En separat forskare twittrade ut en uppsättning IP -adresser associerade med Conti för att omedelbart blockeras för att förbättra säkerheten. I satsen ingick följande:

162.244.80.235

85.93.88.165

185.141.63.120

82.118.21.1

Det är samma adresser som dök upp i forumläckan som används av Conti -gänget.