Коли з’явилися програми-вимагачі, як розвивалися і що чекає на нас у майбутньому?
Програми-вимагачі вже давно перетворилися зі звичайної шкідливої дискети, яка вимагає викуп у розмірі 189 доларів, на гігантську індустрію віддалених атак з багатомільйонними викупами, витонченими методами та великими організаціями-жертвами.
Засоби масової інформації щодня рясніють новинами про останні атаки програм-вимагачів, що відбуваються постійно по всій планеті. А окремі особи та компанії все частіше стають жертвами кіберзлочинів.
Загроза, яка почалася з дискет, що поширювалися поштою, згодом серйозно еволюціонувала і перетворилася на цифрову зброю масового знищення. Це сталося насамперед завдяки появі Інтернету, розвитку блокчейну та криптовалюти.
Методи кіберзлочинців змінювалися з роками, але основна ідея таких атак дійшла до наших днів практично без змін: зловмисники націлюються на вразливих жертв, блокують доступ до того, що їм потрібно, а потім вимагають викупу для відновлення доступу.
У цій статті ми разом згадаємо історію, а також простежимо еволюцію програм-вимагачів, щоб чітко зрозуміти, як вони змогли перетворитися на таку небезпечну і повсюдну загрозу, якою і є сьогодні.
1989 – Зародження програм-вимагачів
Хочете вірте, хочете ні, але програми-вимагачі існують вже майже 35 років. Незабаром після конференції Всесвітньої організації охорони здоров’я зі СНІДу у 1989 році Джозеф Л. Попп, біолог із Гарвардською освітою, розіслав поштою 20 000 дискет усім учасникам заходу. Судячи з упаковки, на диску містилася анкета з питаннями, яку можна було використати визначення ймовірності зараження ВІЛ. Однак насправді все виявилося не так райдужно.
Тоді ні в кого не було підстав вважати, що розіслані поштою диски були навмисно заражені вірусом, адже до цього моменту нічого подібного ніколи не траплялося. Та й сама розсилка здійснювалася відомим акредитованим дослідником.
Після інсталяції користувачем зараженої дискети в комп’ютер шкідлива програма, що отримала назву AIDS Trojan (СНІД Троян), використовувала простий симетричний шифрувальник, щоб заблокувати доступ до файлів жертви.
Після завершення шифрування на екранах постраждалих з’являлося повідомлення з вимогою надіслати автору вірусу 189 доларів на поштову скриньку в Панамі в обмін на відновлення доступу до файлів. Примітно, що в той час користувачі вірусу відбулися малою кров’ю, оскільки через простоту шифрувальника IT-фахівці досить швидко підібрали ключ дешифрування, який дозволив жертвам відновити свої дані без викупу.
Біолог Джозеф Попп, який влаштував цю атаку, ймовірно, встиг трохи заробити на своєму шахрайстві, проте варто тільки уявити, скільки йому обійшлося пересилання 20 тисяч дискет і наскільки клопітно для жертв було пересилати свої заощадження в Панаму — як в голову приходить думка, що навряд чи витрачені чоловіком зусилля і вкладення хоч скільки себе окупили. До того ж, у січні 1990 року його заарештували.
Однак ідея Поппа припала до смаку багатьом заповзятливим хакерам і швидко набрала обертів, перетворившись за підсумком на багатомільярдну злочинну індустрію, і назавжди увічнила самого Поппа в історії як батька програм-вимагачів.
2000-ті: програми-вимагачі повертаються в міру буму Інтернету
Можливо, були ще якісь локальні випадки розробки та експлуатації здирницького софту до 2000 року, але таких же гучних, як вийшло з AIDS Trojan — жодного.
Здирницька індустрія взяла майже 15-річну перерву, щоб раптово повернутися на початку нульових, коли Інтернет став буденністю для багатьох користувачів персональних комп’ютерів, а електронна пошта — головним засобом зв’язку та способом життя в Інтернеті.
Двома найбільш помітними атаками програм-вимагачів на початку ери Інтернету були «GPCode» та «Archievus». На відміну від більшості сучасних програм-здирників, зловмисники тоді орієнтувалися на кількість, а не на якість, атакуючи одразу безліч цілей та вимагаючи низьку плату за викуп.
У 2004 році GPCode масово заражав комп’ютерні системи за допомогою шкідливих веб-сайтів та фішингових розсилок електронною поштою. Для шифрування файлів використовувався спеціальний вбудований алгоритм Windows, а за ключ дешифрування зловмисники просили лише 20 доларів. На щастя для жертв, ключ шифрування, як і у випадку з AIDS Trojan, досить просто зламати. Тому силами IT-фахівців багатьом жертвам вдалося безкоштовно розшифрувати усі свої файли.
А завдяки Archievus у 2006 році автори програм-вимагачів нарешті зрозуміли важливість надійного шифрування. Це був перший штам здирницького софту, який використовував удосконалений 1024-бітний код шифрування RSA. Однак і цей факт не врятував шкідливість від долі попередників. Авторам програми не вдалося застосувати різні паролі для розблокування систем, тому незабаром жертви виявили помилку та змогли безкоштовно відновити свої дані.
Хоча GPCode та Archievus були революційними для свого часу, за сьогоднішніми стандартами вони перебували у зародковому стані.
Початок 2010-х: програми-вимагачі стають мейнстрімом
На початку 2010-х років з’явилися перші здирники-локери, які повністю блокують доступ до системи жертви. Вони використовували сучасніші та надійніші алгоритми шифрування, тому так просто зламати їх — вже не було допустимою опцією. До того ж, паралельно почали набирати популярності блокчейн та криптовалюти, які повністю вирішували питання з анонімною та швидкою оплатою грошового викупу. Цей період в еволюції програм-вимагачів був сформований декількома варіантами шкідливості, включаючи WinLock, Reveton і CryptoLocker.
WinLock дебютував у 2011 році як перша програма-вимагач, яка повністю блокувала доступ жертв до їх пристроїв, не чіпаючи при цьому самі файли користувача. Це шкідливе програмне забезпечення заражало користувачів через різні фішингові та підроблені веб-сайти.
Випущений у 2012 році Reveton став першим здирником з RaaS-моделлю (вимагання як послуга) і являв собою сервіс, який давав зловмисникам з обмеженими технічними навичками можливість самостійно запускати здирницькі атаки за певну плату авторам.
Reveton також активно використовував методи соціальної інженерії: при блокуванні пристрою шкідливість відображала повідомлення нібито від правоохоронних органів, в яких жертви звинувачувалися у скоєнні тих чи інших злочинів. Зловмисники загрожували жертвам ув’язнення, якщо не заплатять викуп, що досить ефективно працювало і приносило всім учасникам кіберзлочинного ланцюжка непоганий заробіток.
Reveton також став першим здирником, який використовував біткоїн як валюту для оплати грошового викупу.
У 2013 році був виявлений різновид програми-здирника під назвою CryptoLocker, що використовує просунутий 2048-бітний ключ RSA. Це була технічно складна програма-вимагач на той час, яка одночасно і шифрувала користувальницькі файли, і повністю блокувала доступ до зараженої системи.
Примірники CryptoLocker поширювалися у вигляді вкладень до електронних листів, на перший погляд абсолютно невинних. І саме ця зовнішня невинність дозволила кіберзлочинцям лише через два місяці після запуску шкідливості переступити поріг грошових зборів у 27 мільйонів доларів.
Середина 2010-х: програми-вимагачі націлюються на нові мішені
До середини 2010-х років програми-вимагачі були націлені переважно на ПК через популярність Microsoft Windows та велику базу користувачів. Ситуація змінилася, коли зловмисники почали орієнтуватись на мобільні пристрої, а також Linux та MacOS.
У 2014 році “Simplelocker” стала першою програмою-вимагачем, яка шифрувала файли на пристроях Android, включаючи зображення, документи та відео на SD-картах. І таких програм було чимало. Усунення зловмисників у бік мобільних платформ ознаменувало значне зрушення в еволюції програм-вимагачів, оскільки відчинило двері для нового та дуже широкого набору жертв та атак.
У 2015 році був випущений здирник «Lockerpin», який також був націлений на пристрої Android. Замість шифрування файлів Lockerpin повністю блокував користувача до смартфона, змінюючи PIN-код пристрою. А через кілька місяців зловмисники випустили «Linux.Encoder.1», першу програму-вимагач, призначену для пристроїв з Linux.
Кульмінацією цього еволюційного зсуву стала поява у 2016 році нового шкідливого програмного забезпечення під назвою «Ransom32», написаного повністю на JavaScript. Використання цієї мови програмування при розробці дозволило шкідливості бути універсальним та атакувати пристрої на Windows, Linux та MacOS без необхідності писати окремий код під кожну платформу.
Тоді ж, у 2016 році, дослідники в галузі кібербезпеки DEF CON представили PoC-експлойти, що доводять, що здирницьким атакам також уразливі пристрої інтернету речей (IoT).
Кінець 2010-х: програми-вимагачі стають глобальною загрозою
Наступний етап поширення програм-здирників призвів до подальшого ускладнення методів атак, а також до суттєвого розширення їх масштабів.
Так, у 2016 році вірус Petya став першим здирником, який не шифрував окремі файли користувачів, а повністю перезаписував головний завантажувальний запис на жорсткому диску, унеможливлюючи запуск операційної системи без звернення жертви до сервісного центру.
Через три місяці світ зіткнувся з Zcryptor, який поєднував у собі риси програм-вимагачів і черв’яків, утворюючи загрозу, яку дослідники називали «cryptoworm» або «ransomworm». Ця комбінація стала особливо небезпечною через її здатність поширювати себе на будь-які мережеві пристрої.
А трохи пізніше, у 2017 році, сумнозвісна атака WannaCry вразила сотні тисяч комп’ютерів у більш ніж 150 країнах. Найболючіше довелося різним організаціям, починаючи від банків та медичних установ, закінчуючи правоохоронними органами.
Крім впровадження нових здирницьких тактик та принципів дії подібних програм — цей період помітно позначив тенденцію покращення існуючих програм-вимагачів за допомогою розробки якісно нових варіантів, а не створення практично ідентичних різновидів і відгалужень.
Так, у тому ж 2017 році з’явилася програма-вимагач Goldeneye, одна з варіацій Petya, що має також тісні зв’язки з WannaCry. Автори шкідливості виправили помилки шифрування в попередниках, щоб створити сильніший і небезпечніший різновид здирників. У тому ж році з’явився і NotPetya, який повністю і безповоротно знищував файли користувачів.
Кінець 2010-х, початок 2020-х: програми-вимагачі досягають свого піку
Ближче до початку 2020-х років програми-вимагачі досягли своєї найдеструктивнішої стадії на сьогоднішній день. Цей етап визначили три чинники: «подвійне здирство», «полювання на велику дичину» та «брокери початкового доступу».
Протягом усього життєвого циклу програм-здирників зловмисники часто проводили свої атаки марно. Наприклад, час і сили хакерів було витрачено, а жертви відмовлялися платити викуп.
Коли на сцену вийшли програми з подвійним здирством, ефективність їх атак заграла новими фарбами. Адже перед тим, як зашифрувати конфіденційні дані, зловмисники спочатку викрадали їх. І якщо однієї точки тиску, втрати доступу до даних, виявиться недостатньо, хакери завжди могли почати шантажувати своїх жертв, погрожуючи публікацією у відкритий доступ конфіденційної інформації, такої як дані про внутрішні операції компанії, співробітників, клієнтів і ділових партнерів.
У 2020 році взагалі з’явилася програма-вимагач з потрійним здирництвом. На додаток до експорту та шифрування даних, зловмисники додали третій фактор. Наприклад, DDoS-атаки на організацію-жертву чи залякування клієнтів, співробітників, замовників чи постачальників організації-жертви.
Глобальна пандемія COVID-19 також прискорила поширення подвійних та потрійних варіантів здирництва, а також сфери RaaS. У травні 2021 року шкідливість REvil з моделлю RaaS була використана для виконання однієї з найбільших атак програм-вимагачів в історії. Банда злочинців вимагала 70 мільйонів доларів викупу за розблокування більше 1 мільйона пристроїв, які постраждали внаслідок атаки на керованого постачальника послуг Kaseya.
Іншим важливим чинником в еволюції здирницької індустрії стало так зване «полювання на велику дичину». Цей термін визначає збільшення кількості атак на великі корпорації.
На ранніх етапах розробки програм-здирників зловмисники зазвичай брали кількістю, зосереджуючись на зараженні безлічі окремих жертв. І хоча подібні невеликі атаки все ще відбуваються навіть сьогодні, багато зловмисників тепер вважають за краще витрачати місяці на вивчення систем безпеки більших і вельми конкретних компаній, щоб завдати всього одного удару, але нищівного, максимізуючи тим самим свій прибуток.
2021 по 2022 рік
У період з 2021 по 2022 рік у кіберзлочинному співтоваристві активно почали поширюватися послуги так званих «брокерів початкового доступу» (IAB). Ці зловмисники щільно спеціалізуються на пошуку проломів у захисті організацій та подальшому продажу бажаного доступу до їх мереж будь-яким іншим кіберзлочинним елементам. Зловмисники-здирники зараз практично повсюдно використовують IAB і RaaS для підвищення швидкості та ефективності своїх атак.
Чого очікувати від здирницької індустрії в майбутньому?
Поки що складно сказати, чи дійшла здирницька індустрія до піку свого розвитку, і якими будуть наступні хитрощі винахідливих кіберзлочинців.
Цілком ймовірно, що в майбутньому, з ще більшим розвитком штучного інтелекту та різних нейромережевих генеративних інструментів, хакери знайдуть спосіб ефективно використовувати ці інструменти у своїх атаках.
Нещодавня поява на просторах даркнета шкідливих чат-ботів WormGPT і FraudGPT, що розповсюджуються за моделлю RaaS, вже помалу окреслює можливий вектор розвитку здирницької індустрії. Якщо згодом подібні інструменти зможуть приносити набагато більшу користь у реальних атаках, ніж зараз, то й кіберзлочинці почнуть використовувати їх набагато охочіше.
Можливим апогеєм здирницької індустрії потенційно можуть стати повністю автоматизовані інструменти, що працюють на основі штучного інтелекту.
Наприклад, кіберзлочинець-початківець придбав закритий доступ до просунутого чат-боту на основі ШІ, попросив його зламати ту чи іншу компанію, на що бот сам знайшов точку входу, сам поширив шкідливий софт в цільовій мережі, сам зібрав би викрадені дані в хмарі і запропонував би оператору, що сидить біля комп’ютера з чашкою чаю, наступні варіанти розвитку атаки. Будь то шантаж, видалення вихідних даних або інші шкідливі дії, які чат-бот також виконував би автоматично, без будь-якої участі людини.
Звичайно, подібні романтизовані уявлення про майбутнє програм-вимагачів зараз звучать досить абсурдно. Але хто знає, може одного разу навіть такі на перший погляд фантастичні речі стануть реальністю.
Тим не менш, і сфера кібербезпеки не стоїть на місці. Багато захисних інструментів вже зараз активно використовують штучний інтелект для покращення рівня безпеки організацій та приватних користувачів. Логічно припустити, що в майбутньому роль ШІ в кібербезпеці зросте ще більше. І згодом навіть базові захисні інструменти зможуть надавати гідну відсіч будь-якому, навіть найвитонченішому шкідливому софту.