A legaktívabban együttműködő négy csoport Wizard Spider, Twisted Spider, Viking Spider és LockBit néven ismert. Ezek a bandák közösen ellenőrzik az illegális adatszivárgási oldalakhoz való hozzáférést és az egyedi zsarolóvírus kódot. Emellett társulnak a nagyobb bűnözői zsarolóvírus ökoszisztémához, befolyást gyakorolnak a kisebb bandákra, és eszközeiket licencelik a társszerveknek - mondta Jon DiMaggio, az Analyst1 fenyegetéselhárító platform vezető biztonsági stratégája. Úgy tűnik azonban, hogy a csoportok nem osztoznak a bűncselekményekből származó nyereségen.
"Nem a hagyományos értelemben vett kartellről van szó, mint az olajvállalatok esetében, amelyeknek a nyersolajellátás van a zsebükben. De rendelkeznek technológiai infrastruktúrával, és néhányuk elég nagy ahhoz, hogy saját zsarolóprogram kódot fejlesszen. Ezek korlátozott erőforrások" - magyarázta DiMaggio.
A Viking Spider és a LockBit csoportok DiMaggio kutatása szerint az ellopott információkat a Twisted Spider által üzemeltetett és ellenőrzött adatbetörési oldalra töltik fel. Ezeket az információkat olyan adathalász-támadásokhoz használják, amelyek zsarolóprogramokat juttatnak el, és olyan bűnözői név- és gyalázkodó oldalakra teszik fel, amelyeket az áldozatok megszégyenítésére és kényszerítésére használnak. A bandák megosztott hackereszközöket és szoftveres exploitokat, úgynevezett nulladik napi sebezhetőségeket is felhalmoznak. A Twisted Spider egy olyan parancs- és vezérlő szervert is üzemeltet, amely más bandák, köztük a Viking Spider, a LockBit, illetve a Suncrypt Gang nevű, mára már megszűnt csoport által használt rosszindulatú szoftvereket és hackereszközöket tárol.
A kiberbűnözői bandák gyakran próbálnak egyedi személyiségeket kialakítani, és arról ismertek, hogy egyedi zsarolóprogram-törzseket használnak. A REvil és a Twisted Spider bandákhoz köthető a Maze és az Egregor zsarolóprogram. A Wizard Spider a Ryukhoz és a Contihoz kapcsolódik.
A hackercsoportok gyakran együttműködnek, feloszlanak, bezárják, átnevezik és újracsoportosítják magukat. Az úgynevezett kartell-klaszter több csoportja 2020 júliusában jelentett be együttműködést, majd novemberben feloszlott. DiMaggio szerint az új bandaklaszter potenciálisan erősebb, mivel a kiberbűnözői ökoszisztémában más fenyegető szereplőkkel is kapcsolatban áll. Kutatásai például az új csoportot három további bandával kapcsolják össze, köztük az EvilCorp nevű veterán hackercsoporttal, amelyet Maksim Yakubets vezetett, és amely a világjárvány idején távmunkásokat célzott meg.
DiMaggio kutatása az új zsarolóvírus-kollaboránsokat a SilverFish hackercsoporthoz is köti, amelyről sok kiberbiztonsági kutató úgy véli, hogy az valójában az FSB vagy az SVR - a Solar Winds kibertámadások mögött álló orosz hírszerző csoportok - szerve.
Néhány zsarolóvírus-banda olyan kifinomult, hogy DiMaggio és a folyamatot ismerő hackerek szerint közvetítői eljárást alkalmaznak a viták rendezésére. A REvil például egymillió dollárt tett letétbe egy kiberbűnözői fórumon elhelyezett alapba, hogy garantálja a partnerek kifizetéseit, abban a reményben, hogy ezzel a legjobb minőségű hackereket vonzza. Amikor a DarkSide zsarolószoftver-banda hirtelen beszüntette működését, néhány affiliate-je nem kapott fizetést. A bűnözői fórumról származó pénzt arra használták, hogy kifizessék ezeket a partnereket, ami vitát okozott, amelyet belső kommunikációs eszközökkel oldottak meg.
Ezek az eszközök - mondta DiMaggio - részei annak, hogy a csoportok olyan sikeresek. "Gyorsan meg tudják oldani az elkerülhetetlen pénzvitákat, majd visszatérhetnek a munkához" - mondta.
A zsarolóprogram-partnerség a nagy és egyre növekvő zsarolóprogram-alapú szolgáltatási iparág része. Hasonlóan a software-as-a-service-hez, a ransomware-as-a-service lehetővé teszi bárki számára, hogy díjat fizessen egy hacker technológiájának és képességeinek licenceléséért. Az olyan csoportok, mint a REvil és a DarkSide, amelyek állítólag a történelem néhány legnagyobb zsarolóvírusos hackeléséért felelősek, barátságos ügyfélszolgálatot és informatikai támogatást kínáltak az áldozatoknak.
A ransomware kód viszonylag könnyen testre szabható. A sebezhető számítógépek nagy piaca a kriptovaluta álnévtelenségével kombinálva olyan környezetet teremtett, amely alkalmas a bűnözői nyerészkedésre - mondta DiMaggio. Ez az új kartell új kihívásokat jelent, állítja a szakértő, aki attól tart, hogy "egy megacsoportos kartell" sokkal veszélyesebb lenne, mint a korábbi csoportok, mert nagyobb volna a struktúrája. Hozzátette, hogy a "koordinációval és szervezettséggel a zsarolóvírus-törzsek veszélyesebbek lehetnek, mint bármelyik egyedi kiberfegyver".
