Η ομάδα Kaspersky Digital Footprint Intelligence παρουσίασε μια νέα μελέτη που αποκαλύπτει ότι το ransomware είναι το πιο διαδεδομένο Malware-as-a-Service (MaaS) τα τελευταία επτά χρόνια. Η μελέτη βασίζεται σε έρευνα που πραγματοποιήθηκε σε 97 είδη κακόβουλου λογισμικού που διανέμονται στο darkweb και σε άλλες πηγές. Επιπλέον, οι ερευνητές διαπίστωσαν ότι οι εγκληματίες του κυβερνοχώρου συχνά μισθώνουν infostealers, botnets, loaders και backdoors για να πραγματοποιήσουν τις επιθέσεις τους.

Το Malware-as-a-Service (MaaS) είναι μια παράτυπη επιχειρηματική δραστηριότητα που περιλαμβάνει τη χρήση κακόβουλου λογισμικού με σκοπό την πραγματοποίηση κυβερνοεπιθέσεων. Συνήθως, στους πελάτες τέτοιων υπηρεσιών παραχωρείται ένας προσωπικός λογαριασμός μέσω του οποίου μπορούν να ελέγχουν την επίθεση, καθώς και τεχνική υποστήριξη. Με αυτόν τον τρόπο, δεν απαιτείται υψηλού επιπέδου τεχνογνωσία από τους επίδοξους εγκληματίες του κυβερνοχώρου.   

Το ransomware θα είναι το πιο δημοφιλές Malware–as–a–Service

Οι ειδικοί της Kaspersky, για να εντοπίσουν τους πιο δημοφιλείς τύπους, εξέτασαν τον όγκο πωλήσεων διαφόρων κατηγοριών κακόβουλου λογισμικού, καθώς και τις αναφορές, συζητήσεις, αναρτήσεις και search ads στο darknet και σε άλλες πήγες που σχετίζονται με το MaaS. Πρώτο αναδείχθηκε το ransomware, δηλαδή το κακόβουλο λογισμικό που κρυπτογραφεί δεδομένα και απαιτεί πληρωμή για την αποκρυπτογράφησή τους. Αντιπροσώπευε το 58% όλων των κατηγοριών που διανεμήθηκαν στο πλαίσιο του μοντέλου MaaS μεταξύ 2015 και 2022. Η δημοτικότητα του ransomware μπορεί να αποδοθεί στην ικανότητά του να αποφέρει υψηλότερα κέρδη σε μικρότερο χρονικό διάστημα από ό,τι άλλοι τύποι κακόβουλου λογισμικού.

Οι εγκληματίες του κυβερνοχώρου μπορούν να “εγγραφούν” δωρεάν στο Ransomware-as-a-service (RaaS). Μόλις εγγράφουν στο πρόγραμμα, πληρώνουν για την υπηρεσία μετά την πραγματοποίηση της επίθεσης. Το ποσό πληρωμής καθορίζεται από το ποσοστό του ποσού που καταβάλλει το θύμα, το οποίο συνήθως κυμαίνεται από 10 έως 40 τοις εκατό κάθε συναλλαγής. Ωστόσο, η χρήση αυτής της υπηρεσίας δεν είναι απλή υπόθεση, καθώς προϋποθέτει την εκπλήρωση αυστηρών απαιτήσεων.

Τα infostealers αντιπροσώπευαν το 24% των κατηγοριών κακόβουλου λογισμικού που διανεμήθηκαν ως υπηρεσία τη συγκεκριμένη περίοδο. Πρόκειται για κακόβουλα προγράμματα που έχουν σχεδιαστεί για να κλέβουν δεδομένα όπως κωδικούς πρόσβασης, τραπεζικές κάρτες και στοιχεία λογαριασμών, ιστορικό προγράμματος περιήγησης, δεδομένα από cryptowallets κ.α.

Οι υπηρεσίες infostealer πληρώνονται μέσω ενός συνδρομητικού μοντέλου. Η τιμή τους κυμαίνεται μεταξύ 100 και 300 δολαρίων ΗΠΑ ανά μήνα. Για παράδειγμα, το Raccoon Stealer, το οποίο διακόπηκε στις αρχές Φεβρουαρίου 2023, θα μπορούσε να αποκτηθεί για 275 δολάρια ΗΠΑ ανά μήνα ή 150 δολάρια ΗΠΑ ανά εβδομάδα. Ο ανταγωνιστής του, το RedLine, έχει μηνιαία τιμή 150 δολάρια ΗΠΑ, ενώ υπάρχει επίσης η δυνατότητα αγοράς επ’ αόριστόν άδειας χρήσης για 900 δολάρια ΗΠΑ σύμφωνα με τις πληροφορίες που έχουν αναρτηθεί στο Darknet από τους διαχειριστές του. Οι επιτιθέμενοι κάνουν επίσης χρήση πρόσθετων υπηρεσιών με επιπλέον αμοιβή.

Το 18% των τύπων κακόβουλου λογισμικού που πωλούνται ως υπηρεσία αποδείχθηκε ότι είναι botnets, loaders και backdoors. Αυτές οι απειλές συνδυάζονται σε μία ομάδα, καθώς συχνά έχουν κοινό στόχο: να αναπαράγουν και να εκτελέσουν άλλο κακόβουλο λογισμικό στη συσκευή του θύματος. «Για παράδειγμα, η τιμή του Matanbuchus συνήθως μεταβάλλεται με την πάροδο του χρόνου. Η τιμή τον Ιούνιο του τρέχοντος έτους ξεκινά από 4.900 δολάρια ΗΠΑ ανά μήνα. Αυτός ο τύπος κακόβουλου λογισμικού είναι πιο ακριβός από τα infostealers, για παράδειγμα, ο ίδιος ο κακόβουλος κώδικας είναι πιο πολύπλοκος, καθώς παρέχει όλη την υποδομή, πράγμα που σημαίνει ότι οι χρήστες της κακόβουλης υπηρεσίας δεν χρειάζεται να πληρώνουν επιπλέον για περαιτέρω θωράκιση όταν χρησιμοποιούν το Matanbuchus. Αξίζει να σημειωθεί ότι ο αριθμός των συνδρομητών του Matanbuchus είναι πολύ περιορισμένος, επιτρέποντας στους επιτιθέμενους να παραμένουν απαρατήρητοι για μεγαλύτερο χρονικό διάστημα», δήλωσε ο Alexander Zabrovsky, Digital Footprint Analyst της Kaspersky.

Συνιστώσες του MaaS και ιεραρχία των κακόβουλων παραγόντων

Οι εγκληματίες του κυβερνοχώρου που διαχειρίζονται πλατφόρμες MaaS αναφέρονται συνήθως ως κακόβουλοι χρήστες, ενώ όσοι αγοράζουν αυτές τις υπηρεσίες είναι γνωστοί ως συνεργάτες. Αφού κλειστεί μια συμφωνία, οι συνεργάτες λαμβάνουν πρόσβαση σε όλα τα απαραίτητα στοιχεία των MaaS, όπως panel εντολών και ελέγχου (C2), builders (προγράμματα για τη γρήγορη δημιουργία κακόβουλων λογισμικών), αναβαθμίσεις κακόβουλου λογισμικού και πλατφόρμας, τεχνική υποστήριξη, λεπτομερείς οδηγίες και hosting. Οι πίνακες αποτελούν βασικό στοιχείο που επιτρέπει στους επιτιθέμενους να ελέγχουν και να συντονίζουν τις δραστηριότητες των μολυσμένων συσκευών. Για παράδειγμα, οι εγκληματίες του κυβερνοχώρου είναι σε θέση να υποκλέψουν δεδομένα, να διαπραγματεύονται με ένα θύμα, να επικοινωνούν με την υποστήριξη, να δημιουργούν μοναδικά δείγματα κακόβουλου λογισμικού και πολλά άλλα.

Ορισμένοι τύποι MaaS, όπως τα infostealers, επιτρέπουν στους συνεργάτες να δημιουργήσουν τη δικιά τους ομάδα. Τα μέλη μιας τέτοιας ομάδας ονομάζονται διακινητές – εγκληματίες του κυβερνοχώρου που διανέμουν κακόβουλο λογισμικό για να αυξήσουν τα κέρδη και να δημιουργήσουν περαιτέρω κέρδος μέσω διάφορων μορφών πληρωμών από τους συνεργάτες. Οι διακινητές δεν έχουν πρόσβαση στο C2 panel ή σε άλλα εργαλεία. Ο μοναδικός σκοπός τους είναι να πολλαπλασιάσουν τη διασπορά του κακόβουλου λογισμικού. Τις περισσότερες φορές, το επιτυγχάνουν αυτό μέσω την εμφάνισης των infostealers ως cracks με οδηγίες, τα οποία έχουν ως σκοπό την παραβίαση νόμιμων προγραμμάτων στο YouTube και σε άλλους ιστότοπους.