黑色产业链的角色分工

admin 2022年5月3日00:40:42安全闲碎评论3 views2620字阅读8分44秒阅读模式

黑色产业链的角色分工


我们正处在这样一个时刻:包括勒索软件团伙在内的网络犯罪分子,已经建立起组织化的机构,进行非法的业务活动,而不是一个人单打独斗。


勒索软件团伙、敲诈勒索组织和DDoS攻击者的日益成功绝非偶然。在一个个奇幻的名字背后,是组织化的机构,由不同层次的参与者组成,他们同步工作,瓜分利益,以实现最终目标。


以下是几种典型的网络犯罪角色:


1、入口访问经纪人(IAB)


IAB(Initial access brokers)是指将企业的网络访问权限出售给买家的人,主要通过地下数据交易市场、论坛或是即时通信工具、聊天组来完成交易。然后购买访问权限的人,得以进入受害者的网络,再安装间谍软件、窃取商业秘密,或者安装勒索软件、拖走数据等。IAB本身一般不会去做这些事情。


在以往,网络犯罪对IAB的需求并不很高,大部分是商业竞争对手雇佣从事间谍活动和盗窃的需求。但勒索软件时代导致了对IAB的需求“指数级增长”,成为网络犯罪产业链的“入口”角色。


2、一切即服务(XaaS)


在网络犯罪的语境下,一切即服务(XaaS)通常是指勒索软件即服务(RaaS)或恶意软件即服务(MaaS),甚至是犯罪即服务(CaaS),这些平台构成了网络犯罪的新商业模式。与软件即服务(SaaS)的提供模式非常类似,这些aaS是一种专门为具体实施攻击的网络犯罪分子,提供勒索软件工具、网络钓鱼工具的平台,使用这些工具即可实施网络犯罪,而不用掌握高深的技术。当然,这是收费的。


作为这种服务提供商,无论他的客户攻击是否成功,都会获得一定的收益。不仅如此,在这种XaaS的模式下,意味着可能在法律上还是安全的。他们只负责提供工具,拿工具干什么用是客户的事情。


在勒索软件时代之前,网络罪犯一般都会是技术熟练的黑客,独自进行寻找目标、入侵网络、窃取数据、自行交易。但XaaS模式则降低了黑客攻击并获益的技术门槛,包括IAB、RaaS、MaaS等服务,网络罪犯只需精通一个领域,甚至无需精通任何领域,就能够实施网络攻击。因此,勒索软件事件才得以愈演愈烈。


3、勒索软件附属


勒索软件附属可以被视为勒索软件组织雇来执行操作任务的综合“承包商”,从IAB购买网络的初始访问权,到获取可能有助于攻击的凭证、数据等,再到发起攻击。


在执行成功的攻击和勒索后,勒索软件附属从受害者支付的勒索金额中提取佣金。为了加快攻击速度,勒索软件附属可能会租用RaaS平台,用“租用的勒索软件”加密文件,或是使用任何现有的工具、服务和漏洞,以实现攻击并获利的目的。正是因为这些XaaS的出现,降低了攻击的技术门槛,无需自行开发工具,只需专注于攻击活动的组织运营。


4、恶意软件开发者


恶意软件最为核心的组成是针对零日漏洞或已知漏洞的EXP(漏洞利用),可攻击存在相应漏洞的各种网络设备、应用程序,甚至是嵌入应用程序中的某个组件,如Log4j。


在早期,恶意软件和漏洞利用的开发者各种各样,从最普通的“脚本小子”到黑客高手,但随着黑色产业的形成,网络犯罪分子的分工合作,许多复杂的恶意软件开发团队已经成为“正规部队”,甚至有着软件开发生命周期和编程文档,与合法的软件开发流程一样。


去年发生的一起勒索软件团伙(Conti)的泄密事件,对其不满的合作者(勒索软件附属)泄露了该团伙的数据,包括渗透测试工具、手册、培训材料,以及提供给该附属的文件。另外一起类似的事件中,一名自称Babuk勒索软件管理员的人,则放出了该组织的Visual Studio项目文档和源代码。从这些文档和代码可以看出,Babuk的开发流程与合法软件公司无异,遵循同样的规范和结构。


另一方面,加密货币的流行,令其交易平台成为网络攻击的重灾区。精通密码学并对区块链协议有深入了解的恶意软件开发者,利用这些平台中的零日漏洞或未修补的漏洞,盗取巨大价值的加密货币。


今年2月,Wormhole价值3.26亿美元的加密货币被盗,源于GitHub平台上公开的一个未修补漏洞。去年Poly Network遭受了“史上最大的DeFi黑客攻击”,一名白帽黑客通过平台的漏洞转移了价值6.11亿美元的加密货币,但事后几乎全部退回。


5、APT组织


APT(高级持续威胁)之前大多是指有着国家资源支持的网络犯罪集团采取的攻击策略,目标是进行破坏、间谍活动,或者攫取经济利益。但现在,APT所使用的战术也被一些非国家支持的网络攻击者采用。


史上最著名的APT攻击事件是震网(Stuxnet)事件,该事件利用多个Windows零日漏洞感染计算机并进行传播,最终对核电站的离心机造成损坏。这种“极其复杂的电脑蠕虫”据传是美国和以色列情报机构合作开发的。


另一起针对工业控制系统的例子是TRITON。该恶意软件于2017年入侵了沙特的一家石化厂,并试图引发爆炸。幸运的是,TRITON代码中自身存在的一个漏洞触发了关键系统的拦截,攻击未能得逞。


APT最主流的手法是通过鱼叉式网络钓鱼进入网络,悄悄传播有效负载,拖走数据,并植入持久后门,对受害者进行秘密监视。


与之前相比,现在的APT更加隐蔽、更具战略性。如将后门植入上游软件或源代码,或入侵第三方供应商。SolarWinds就是一起典型的供应链攻击事件。


6、数据或信息掮客


“数据经纪人”或“信息经纪人”(IB)即可以指合法的服务商也可以是非法的攻击者。


前者从公共来源获取数据,如法庭记录、社交媒体档案、联系方式、企业注册记录,并进行数据聚合。然后,这些信息可以合法地与营销人员、研究人员和企业共享,并收取一定费用。后者则是非法的数据经济人。例如,在暗网和数据泄露市场上出售黑客盗取的资料或机密数据。这些数据包括但不限于账户凭证、信用卡信息、购物历史、企业通讯录,以及个人信息等。


结语


从开发者到XaaS,再到IAB、IB,这些分工都是黑产链各个环节的货币化,各自出售攻击链的一部分或向更广泛的买家出售相同的恶意软件(配置不同)来成倍地增加利润。通过这种模式,能够赚更多的钱,同时做更少的工作。


黑色产业链俨然已经是一个“自然竞争的商业环境”,形成了竞争群体和一个真正的市场。这些市场随之带来的,则是网络攻击门槛的降低,攻击者无需精通各个方面的技术,就能够有效开展网络犯罪活动。



参考阅读

勒索软件眼中最完美的受害者

上市公司财报披露勒索软件成本

蠢贼记录:五起令人啼笑皆非的勒索软件事件

价值52亿美元的比特币交易与十大勒索软件有关

原文始发于微信公众号(数世咨询):黑色产业链的角色分工

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月3日00:40:42
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  黑色产业链的角色分工 http://cn-sec.com/archives/969642.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: