DarkSide nie jest pojedynczą grupą hakerską, ale rodzajem kryminalnej franczyzy. Platforma udostępnia współpracownikom narzędzia i usługi w podobny sposób, w jaki McDonald's dostarcza właścicielom lokalnych restauracji gotowe przekąski i hamburgery.
„Ci faceci zapewniają marketing, ludzi, a także oprogramowanie ransomware” — powiedział Mark Arena, dyrektor generalny Intel 471, firmy zajmującej się cyberbezpieczeństwem, która monitoruje działania grupy DarkSide. „Prezesi z listy Fortune 500 byliby pod wrażeniem wydajności tego modelu biznesowego” — podkreślił Mark Arena.
Lista ofiar Dark Side’a
Od lata ubiegłego roku poszkodowanych w wyniku działań grupy Dark Side zostało kilkadziesiąt osób i podmiotów, w tym operatorzy pól naftowych, kancelarie prawne i banki.
Analiza BAE Systems Applied Intelligence wykazała, że większość ofiar DarkSide to firmy z USA, cyberprzestępcy uderzyli jednak także w przedsiębiorstwa z Europy, Afryki i Ameryki Południowej. W raporcie podkreślono, że hakerzy korzystający z narzędzi dostarczanych przez DarkSide są proszeni o powstrzymanie się od ataków na podmioty ze Wspólnoty Niepodległych Państw, czyli grupy zrzeszającej Rosję i większość krajów wchodzących niegdyś w skład Związku Radzieckiego, co z dużą dozą prawdopodobieństwa wskazuje na rzeczywisty rodowód tej organizacji.
W wyniku działań DarkSide’a poszkodowane zostały takie firmy, jak m.in. czołowy amerykański producent dywanów i wykładzin Dixie Group, dostawca produktów rolnych Carolina Eastern oraz producent maszyn spawalniczych dla przemysłu samochodowego Paslin. Ich przedstawiciele nie odpowiedzieli na prośbę Bloomberga o komentarz, jednak Dixie Group przyznała w kwietniu, że padła ofiarą ataku z użyciem oprogramowania ransomware.
Żadne z dotychczasowych włamań nie przyciągnęło takiej uwagi, jak atak na operatora mającego ponad 5000 mil rurociągu Colonial Pipeline, którym paliwo jest transportowana z teksańskiego Houston na wschodnie wybrzeże USA. Bloomberg ustalił, że spółka ugięła się pod żądaniami hakerów i zapłaciła okup w wysokości ok. 5 mln USD w kilka godzin po ataku, choć początkowo temu zaprzeczała.
Istnieją dowody na to, że organizacja nie chciała, aby włamanie miało aż tak wielki wpływ na rynki. Liderzy DarkSide’a wydali w poniedziałek oświadczenie, w którym stwierdzili, że nie interesuje ich geopolityka, a nawet nie zawsze kontrolują, które firmy są atakowane za pośrednictwem ich oprogramowania.
„To może być prawdą. To tradycyjny model afiliacyjny. Stworzono narzędzia, a następnie zachęcono wiele osób do korzystania z nich” — powiedział Adrian Nish, szef cyberprzestrzeni w BAE Systems Applied Intelligence.
W przypadku DarkSide’a obejmuje to nie tylko oprogramowanie ransomware, ale także usługi, takie jak m.in. hosting strony internetowej do publikacji poufnych danych skradzionych podczas ataków.
Według Intel 471 kwoty okupów, których żąda się od największych firm za przywrócenie systemów informatycznych do pracy, sięgają dziesiątek milionów dolarów. DarkSide pobiera od 10 do 25 proc. prowizji z każdej z takich płatności.
Negocjacje z hakerami
Analitycy Intel 471 w styczniu obserwowali negocjacje między DarkSide’em a dużą firmą z USA. Hakerzy zażądali 30 mln USD, a także zagrozili podwojeniem kwoty, gdyby okup nie został zapłacony w określonym terminie. Cyberprzestępcy twierdzili, że w przypadku braku reakcji ujawnią poufne dane.
Hakerzy powiedzieli przedstawicielom firmy, że zaszyfrowali 500 głównych serwerów oraz setki serwerów zapasowych, co było sztuczką, która miała na celu zobrazowanie potężnej skali ataku. Po czterech dniach negocjacji poszkodowana firma zgodziła się zapłacić ponad 14 mln USD.
Wizerunek Robin Hooda
Niektóre grupy ransomware mają wyjątkowo złą reputację i uciekają się np. do cyberataków na szpitale w trakcie trwania pandemii. DarkSide od początku dba jednak o „profesjonalny” wizerunek, a nawet stara się kreować jako organizacja, której bliskie są wartości humanitaryzmu.
Analiza wykonana przez zajmującą się cyberbezpieczeństwem firmę eSentire wykazała, że oficjalnie grupa nie zezwala na używanie stworzonego przez siebie oprogramowania przeciwko służbom medycznym i organizacjom non profit. Jej liderzy twierdzą też, że przekazywali pieniądze na rzecz fundacji wspierających dzieci w trudnej sytuacji życiowej.
W pewnym momencie grupa zaproponowała, że udostępni inwestorom giełdowym poufne informacje wykradzione poszkodowanym spółkom, które będą mogli wykorzystać do zarabiania pieniędzy na rynku kapitałowym. Posunięcie to wydawało się próbą nawiązania do legendy Robin Hooda, który odbierał kosztowności bogatym i oddawał je biednym.
„Naszym celem jest zarabianie pieniędzy, a nie stwarzanie problemów społeczeństwu. Wprowadzamy moderację i sprawdzamy każdą firmę, którą nasi partnerzy chcą zaatakować, aby uniknąć konsekwencji społecznych“ — napisała grupa DarkSide w jednym z wydanych oświadczeń.
Adrian Nish twierdzi, że starannie pielęgnowany wizerunek to tylko chwyt marketingowy. „To są przestępcy i działają racjonalnie — robią to, czego potrzebują, aby osiągnąć swój cel” — podsumował ekspert BAE.