Vítima pagou 4 milhões de dólares para os criminosos após um ataque de Ransomware

Ataques de Ransomware é uma forma que o crime organizado encontrou para obter lucros altos. Através do serviço de Compromise Assessment (pontual, mensal ou trimestral), a Bunker Cyber Security consegue apoiar as organizações em detectar estes tipos de ataque, antes que isto se torne um problema sério.

Neste artigo, vamos compartilhar um diálogo real, entre um grupo de criminosos e uma vítima, para que você possa ter uma ideia de como isso funciona. Antes de qualquer coisa, a Bunker Cyber Security não recomenda aos clientes fazer o pagamento de nenhum resgate pois lembre-se que criminosos muitas vezes não cumprem a parte deles do acordo e você pode ficar na mão. Entretanto, negociar com os grupos criminosos muitas vezes é uma forma útil de validar se certos documentos ou informações foram realmente comprometidas, escopo do comprometimento, etc. Talvez faça sentido negociar, com as pessoas devidamente capacitadas para ganhar tempo.

Nesta negociação, a vítima decidiu pagar mais de 4 milhões de dólares americanos para não ter seus dados divulgados.

Detalhes abaixo:

Início da negociação: 22/10/2021
Data do pagamento: 04/11/2021
Link com a cópia desta negociação (inglês): https://ransomch.at/mount-locker-20201016
Tradução do chat original para português:

Vítima:
Como nós iniciamos a negociação?

Grupo Criminoso – Mount Locker:
Fico feliz em vê-lo, seu preço para descriptografia e remoção de dados é de $ 9.000.000 (dólares americanos). Temos cerca de 1 TB de relatórios financeiros, contratos, etc. baixados.

Vítima:
O preço está muito alto para nós.

Grupo Criminoso – Mount Locker:
Claro que o preço é alto, mas é muito, muito mais barato, do que pagar todas as ações judiciais que seus clientes vão enviar para você, porque você perdeu muitos dados deles. Empresas do seu porte podem perder dezenas de milhões nesses casos. https://www.zdnet.com/article/easyjet-faces-18-billion-class-action-lawsuit-over-data-breach/ este é um dos exemplos.

Também informamos que, antes do pagamento, você pode descriptografar qualquer arquivo que não exceda 5 MB como teste, também estamos prontos para fornecer uma pequena quantidade de dados baixados de sua rede. No futuro, após o pagamento, forneceremos a você uma árvore de log completa, informações sobre como o ataque foi realizado, bem como recomendações abrangentes de especialistas técnicos. Também garantimos a exclusão de todos os dados baixados e o fornecimento de chaves de descriptografia para toda a sua rede.

Em caso de recusa, todas as informações se tornarão públicas (incluindo confidenciais) http://mountnewsokhwilx.onion/, as chaves de recuperação serão excluídas. Lembramos também que seu tempo é limitado…

Vítima:
Queremos lidar com isso de maneira profissional. Para evitar confusão, comunique-se conosco apenas neste site e interrompa todas as outras comunicações fora deste bate-papo. O preço que você sugere é muito alto. Gostaríamos de chegar a um acordo para esclarecer isso rapidamente.

Grupo Criminoso – Mount Locker:
Agradecemos seu desejo de resolver esta situação rapidamente e estamos aguardando suas propostas específicas?

Vítima:
Obrigado por seu profissionalismo. Pesquisamos seu grupo e sabemos que vocês são pessoas sérias. Por favor, entenda que entre o COVID e os incêndios florestais na Califórnia, nossa receita já foi dizimada este ano. Isso só vai acabar conosco. Nossa equipe passou por muita coisa. Esperamos que você tenha isso em mente ao oferecer qualquer tipo de desconto. A quantia que você pediu é enorme. Não temos esse tipo de dinheiro disponível. Existe algo que possamos fazer para mudar isso para algo mais viável?

Grupo Criminoso – Mount Locker:
Infelizmente, o COVID-19 afetou todos os setores, mas esperamos sinceramente que você não apenas se recupere em um futuro próximo, mas também ganhe muito mais. Fizemos-te a melhor oferta, mas nunca ouvi de ti o contrário (tendo em conta todas as circunstâncias)…

Aqui preparamos algumas provas. https://privatlab.com/s/v/[redigido] pass: zxcffk)(&%$#!@#$%^&UH,;l;l

Apenas uma pequena quantidade de seus dados privados, incluindo reivindicações, informações pessoais, contatos com telefones celulares, endereços, data de nascimento, terapia e outros dados confidenciais. Chefe das empresas de seus parceiros, que certamente ficarão felizes com suas informações pessoais publicadas online. Todos eles têm advogados e gostam de tribunais, que gostam muito de multas legais.

A quantia de dinheiro que queremos é apenas uma pequena parte de suas possíveis perdas, incluindo, mas não limitando, despesas diretas, como pagamentos para recuperação de dados, queda dramática no fluxo de caixa, multas legais e governamentais, interesses de advogados e advogados, mas também impacto na reputação, resultando em longo prazo abandono do cliente.

Mas há outra opção. Após o pagamento, você obtém a ferramenta de descriptografia retornando aos negócios dentro de 1 a 2 horas (com instruções), relatório de segurança com conselhos sobre como evitar tais incidentes no futuro, listagem completa do diretório de suas informações privadas roubadas e exclusão completa dos dados. Nenhum dado será postado nunca. Tudo será mantido em segredo.

De acordo com seus relatórios financeiros, sua situação é muito melhor do que você diz. Como um grupo com uma receita anual estimada em aproximadamente US$ 1 bilhão, você tem dinheiro suficiente para nos pagar.

Vítima:
Pesquisamos seu grupo e suas capacidades. No entanto, seus números de receita para nossa empresa estão incorretos. Sim, todos foram atingidos pelo COVID, mas minha equipe foi forçada a evacuar devido a incêndios florestais e, mesmo depois, mal conseguimos respirar o ar lá fora por semanas. Pedimos que considere $ 900.000.

Grupo Criminoso – Mount Locker:
Não pensamos que nossas estimativas estejam incorretas. Seus relatórios financeiros são um pouco mais confiáveis do que sua palavra aqui e agora. E sua proposta aqui é apenas dos livros didáticos – dez vezes menos, do que nossa demanda inicial. Parece, que você não entende, como funciona o nosso grupo. Não pedimos $ 90 milhões, para receber nossa demanda de $ 9 milhões. A evacuação de sua equipe devido aos incêndios florestais e a reclamação de respiração não valem 90% da demanda. Por enquanto, não vale nem 5% da nossa demanda, antes de termos alguma proposta real. Portanto, você deve entender que nossa equipe tem muitos projetos em execução e o seu – apenas um de muitos. Se não chegarmos a um acordo, apenas reduziremos nosso lucro. E por outro lado, você estaria arruinado. Essa é uma ameaça muito mais séria do que os incêndios florestais. Aguardaremos sua proposta.

Vítima:
Obrigado por nos retornar tão rapidamente. Podemos dizer o quão profissional você é. Por favor, entenda que os números financeiros que você está vendo estão em rúpias indianas – NÃO em dólares americanos. Essa é uma grande diferença. Sua demanda atual não é algo que nossa empresa possa pagar. Estou tentando convencer meu conselho a fazer uma oferta melhor para você e estamos procurando fazer um acordo com você, com certeza, mas precisamos que você trabalhe conosco. Deve haver uma quantia menor que possamos pagar a você.

Grupo Criminoso – Mount Locker:
Claro, nós também queremos trabalhar com você. E claro, podemos falar de um valor menor. Mas, para começar a avançar rapidamente nessa direção, queremos ver uma oferta inicial boa e respeitosa de você. Por favor, entenda, essa soma de cerca de 1 milhão é considerada um insulto por meus chefes. Portanto, esperamos continuar nossas negociações em termos mais aceitáveis.

Vítima:
Obrigado por sua consideração por um valor menor. Por favor, deixe-me discutir com o conselho de administração para entender o que pode ser viável.

Grupo Criminoso – Mount Locker:
OK, vamos ver o que você pode oferecer. Sabemos que seus relatórios financeiros estão em [moeda editada] e conhecemos as taxas de câmbio. Também temos uma grande experiência nesse negócio e entendemos quanto custam seus dados privados, incluindo fontes de seu software que podem se tornar públicos via github. De qualquer forma, nós dois somos empresários e contamos dinheiro muito bem.

Vítima:
Estamos tentando reunir recursos para fazer uma oferta melhor, agradecemos sua paciência.

Discutimos isso com o conselho e nossa equipe financeira. Podemos pagar $ 1.746.800. Conseguir $ 846.800 extras não foi fácil. Exigiu a aprovação de todos os membros do conselho. Levamos tempo para convencer todos os membros. Acreditamos que é uma oferta justa e razoável e será muito difícil conseguir mais para você.

Grupo Criminoso – Mount Locker:
Obrigado por seus esforços, agora vejo que podemos começar a nos mover em sua direção. É uma PRIMEIRA oferta justa e razoável, e fico feliz por termos agora uma chance de negociar com sucesso. Estamos prontos para fazer um desconto de 1 milhão de dólares americanos, então seu preço agora é de $ 8.000.000. Claro, entendemos, que seu trabalho aqui não é fácil e requer esforços para convencer seus conselheiros. Mas ainda estamos longe de um acordo. Nossas estimativas ainda são muito maiores do que sua proposta. Esperamos que você nos dê um preço melhor. E como é nosso interesse mútuo acelerar nossas negociações o máximo que pudermos, tome medidas mais sérias em nossa direção. Seria muito mais fácil para nós dar passos em resposta a você.

Vítima:
Obrigado por sua resposta e sua vontade de negociar conosco. Tive muita resistência tentando encontrar mais fundos. Acabamos de descobrir que nosso seguro não cobre esse custo, então todo o dinheiro vem de nossas reservas. Já estávamos lidando com uma receita cada vez menor e os clientes não estão assinando novos contratos. Isto é muito difícil. Por favor, $ 2.350.000 e podemos fazer isso.

Grupo Criminoso – Mount Locker:
Discutimos sua proposta com a equipe e estamos prontos para fazer outro desconto. Entendendo que você tem alguns problemas com a assinatura de novos contratos, seu preço agora é de $ 7.500.000. Claro, estamos prontos para seguir em frente, dependendo de suas ofertas. O tempo é crucial aqui, então quanto mais passos sérios você der em nossa direção, mais rápido chegaremos a um acordo. Entendemos que qualquer tempo de inatividade do seu negócio não é do seu interesse, é bastante caro. Possíveis perdas, no entanto, são muito mais caras. Mas, na verdade, seu tempo de inatividade também não é do nosso interesse, posso garantir. Sabemos que você tem seguro, reservas e possibilidade de empréstimos. Sua reserva geral é muito melhor do que sua proposta. Faça uma oferta melhor e seguiremos em frente.

Vítima:
Obrigado pela sua resposta e seu preço mais baixo. Nós apreciamos o quão profissional você é. Estou voltando para o meu quadro agora, mas a última solicitação levou muito tempo e esforço. Você disse que tem 500 GB de nossos dados. Existe alguma prova que você possa me fornecer para que eu possa levar ao meu conselho para ajudar a tentar obter mais fundos?

Grupo Criminoso – Mount Locker:
25/10 – https://privatlab.com/s/v/[redigido] pass:[redigido] Obrigado por manter contato. Já lhe enviamos os comprovantes. Dados privados (como SSN, DOB) de sua equipe, dados de clientes, seus diagnósticos e dados de sua alta gerência, códigos-fonte de seus projetos não são suficientes? Entendemos perfeitamente que você está seguindo o tutorial, sem ofensa. Os dados da equipe não valem nada para você. Mas se você precisa de alguns pontos para o seu conselho… Você já tem problemas com sua receita cada vez menor e escassez de novos contratos. Mas se dissermos apenas por um momento, que há um anúncio em nosso site de notícias (e no restante dos sites de notícias do cartel), de que sua empresa perdeu dados privados de seus clientes nos EUA e códigos-fonte de seus clientes… Já fizemos essas coisas antes e nossos “clientes” foram forçados a enfrentar as terríveis consequências. Pensamos que não há sentido em esforços para exibir mais provas. A situação está perfeitamente clara e já estamos no meio das negociações. Claro, queremos apenas ganhar dinheiro e não destruir os negócios de nossos clientes. Esperamos que sua diretoria tenha senso comercial suficiente para fazer escolhas certas. Estamos esperando por outra boa oferta e estamos prontos para ir até você, se for bom o suficiente.

Vítima:
Obrigado por sua disposição em negociar e continuar trabalhando conosco. Isso é muito difícil para mim. Nunca estive sob tanto estresse. Por favor, estamos chegando ao ponto em que nossas finanças estão muito pressionadas com a perda de negócios. Nosso conselho está ansioso para fazer isso e aprovou até $ 3.095.400. Isso é um grande aumento e uma oferta muito boa para você. Podemos, por favor, resolver esse número?

Grupo Criminoso – Mount Locker:
Discutimos sua oferta com a equipe. Como sinal de respeito por seus esforços para avançar em nossas negociações, nosso chefe aprovou um grande desconto de $ 2.500.000 para acelerar nossa negociação. Sua resposta rápida tornou esses termos reais. Então, enquanto damos um passo sério para você, seu preço está agora em $ 5.000.000. Achamos que é uma oferta justa em comparação com suas possíveis perdas. Sejamos profissionais e nos contentemos com este número. Estamos ansiosos pela sua resposta.

Vítima:
Em primeiro lugar, muito obrigado por ser razoável. Acredito que estamos muito próximos aqui. Eu só tenho certa autoridade. Qualquer coisa a mais levará mais tempo e mais convencimento. Se pudermos chegar a $ 3.771.100 (a quantia exata de tudo que consegui localizar para você), podemos obter todo o dinheiro ou criptomoedas amanhã (segunda-feira). (hoje é domingo). Se precisar de mais, precisarei de mais tempo. Por favor, podemos fazer um acordo por $ 3.771.100?

Grupo Criminoso – Mount Locker:
Iremos fornecer-lhe uma carteira bitcoin aqui no chat. – Então você deve enviar 1 bitcoin para nossa carteira apenas para verificação. Depois de confirmarmos esta transação, você pode enviar o valor total. – Depois de receber a primeira confirmação sobre o blockchain, excluiremos permanentemente a Publicação de vazamento e forneceremos a você o software de descriptografia, guia de uso e acesso a um cofre de arquivos com todos os seus dados. Também daremos recomendações para melhorar as medidas de segurança.

Vítima:
Você pode confirmar que estamos liquidados em $ 4.110.500?

Grupo Criminoso – Mount Locker:
Sim, estamos acomodados neste número.

Vítima:
Obrigado, estamos trabalhando para obter os fundos transferidos.
A preços atuais de mercado, o valor será de 298,5 bitcoins. Você concorda com esse valor?

Grupo Criminoso – Mount Locker:
sim está certo. Vemos a primeira transação e confirmação. Não há problema em enviar o valor total agora.

Vítima:
OK. Pagamento enviado.

Grupo Criminoso – Mount Locker:
04/11/2020 00:14:13

Sim, vemos uma transação. Depois de obter as confirmações, você receberá o desbloqueador imediatamente.

Senhores, recebemos seu pagamento. Para desbloquear seus sistemas, enviamos a você um arquivo executável. Para uma operação correta, desative todos os antivírus, incluindo o Windows Defender, e execute-o em todas as máquinas bloqueadas. Um pouco mais tarde, o swami será contatado por nosso especialista técnico que fornecerá uma árvore de diretórios e dará conselhos.

Você liga para o desbloqueador: unlocker.zip

Aqui está uma conta Mega Cloud com seus dados privados: [redigido]@protonmail.com [redigido]

Você pode remover dados com segurança e baixar uma árvore de arquivos. Se precisar de algum suporte – avise-nos, iremos ajudá-lo com tudo.

Vítima:
Obrigado por trabalhar conosco. Recebemos a ferramenta e o link. Quando você acha que estará pronto para entregar a árvore de diretórios e nos aconselhar? Gostaríamos de aceitar sua oferta para nos apoiar.

Grupo Criminoso – Mount Locker:
Com a mensagem acima, você obteve acesso à sua árvore de arquivos. Repito, vá para mega.nz, use login [redigido]@protonmail.com e senha [removida] e exclua sua data com segurança. Um pouco mais tarde, você receberá um relatório sobre como ocorreu o ataque e recomendações para proteção. Por favor, seja paciente.

Você desbloqueou seus arquivos? Você abriu com sucesso a conta mega.nz? Você precisa de alguma outra ajuda? Em breve, excluiremos este bate-papo para sempre.

Vítima:
Por favor, confirme que você não publicou ou manteve nenhuma cópia de nossos dados. Além disso, você disse que nos contaria como entrou em nosso sistema. Como você nos violou?

Grupo Criminoso – Mount Locker:
Obviamente, confirmamos que não publicaremos ou manteremos nenhuma cópia de seus dados. Para o relatório de violação, aguarde nossa equipe técnica, eles responderão em 1 a 2 dias.