Как получилось, что самозанятый дизайнер веб-сайтов и мать двоих детей пришла работать на одну из самых ненасытных киберпреступных группировок в мире, а затем оставила такой очевидный след улик, указывающих на ее причастность к банде? В этом посте рассматриваются ответы на эти вопросы, а также некоторые способы, которыми Trickbot и другие организованные киберпреступные группировки постепенно набирают, готовят и доверяют новым программистам.

Личный сайт Аллы Витте — allavitte[.]nl — примерно октябрь 2018 г.

Обвинительный акт, опубликованный Министерством юстиции (PDF), сильно отредактирован, и только один из обвиняемых назван: Алла «Макс» Витте , a 55-летний гражданин Латвии, арестованный 6 февраля в Майами, штат Флорида,

. Министерство юстиции утверждает, что Витте отвечал за «надзор за созданием кода, связанного с мониторингом и отслеживанием авторизованных пользователей вредоносного ПО Trickbot, контролем и развертывание программ-вымогателей, получение платежей от жертв программ-вымогателей и разработка инструментов и протоколов для хранения учетных данных, украденных и удаленных от жертв, зараженных Trickbot».

В обвинительном заключении также говорится, что Витте предоставил Trickbot Group код для веб-панели, используемой для доступа к данным жертв, хранящимся в базе данных. По данным правительства, эта база данных содержала большое количество номеров кредитных карт и украденных учетных данных из ботнета Trickbot, а также информацию о зараженных машинах, доступных в качестве ботов.

«Витте предоставил код в этот репозиторий, который показывал зараженный компьютер или статус «бота» разными цветами в зависимости от цветов светофора и позволял другим членам Trickbot Group знать, когда их сообщники работали на конкретной зараженной машине. “, – говорится в обвинительном заключении.

В то время как любые действия правоохранительных органов против преступной группировки, нацеленной на больницы, школы, коммунальные службы и правительства, являются хорошей новостью, обвинительный акт и арест Витте, вероятно, были неизбежны: новичок ошибается в оперативной безопасности, чем этот пенсионер из Латвии.

Начнем с того, что в какой-то момент в 2020 году Витте действительно разместила вредоносное ПО Trickbot на тщеславном веб-сайте, зарегистрированном на ее имя — allavitte[.]nl.

Хотя для киберпреступников, как правило, плохая идея смешивать личную жизнь с работой, в аккаунтах Витте в социальных сетях упоминается близкий член семьи (возможно, ее сын или муж) с именем «Макс», которое предположительно было ее хакерским псевдонимом.

В отличие от многих обвиняемых киберпреступников, родом из России или стран бывшего СССР, Витте не чувствовала себя обязанной избегать поездок в районы, где она могла находиться в пределах досягаемости правоохранительных органов США. Согласно обвинительному заключению, Витте жила в южноамериканской стране Суринам и была арестована в Майами, когда летела из Суринама. Неясно, где был ее предполагаемый пункт назначения.

Переведенный Google пост, который Витте сделала на своей странице Вконтакте за пять лет до того, как якобы присоединилась к группе Trickbot.

Алекс Холден , основатель компании Hold Security, занимающейся разведкой в ​​области кибербезопасности, сказала, что самая большая ошибка Витте произошла в период Рождества в 2019 году, когда она заразила один из своих компьютеров вредоносным ПО Trickbot, что позволило ему украсть и зарегистрировать ее данные. в интерфейсе ботнета.

«Помимо повторного использования пароля, данные показывают отличное понимание ее профессионального и личного использования Интернета», — написал Холден в блоге об аресте Витте.

«Многие в банде знали не только ее пол, но и ее имя», — написал Холден. «У нескольких членов группы были папки AllaWitte с данными. Они обращаются к Алле почти так же, как к своим матерям».

Так как же эта мамаша-хакер с нулевым чувством самосохранения попала на работу в одну из самых хищных киберпреступных группировок в мире?

В обвинительном заключении правительства несколько страниц посвящено описанию процессов найма в группу Trickbot, которая постоянно просматривала платные российские и белорусские сайты вакансий в поисках резюме программистов, ищущих работу. Тем, кто ответил, было предложено создать различные программы, предназначенные для проверки навыков решения проблем и кодирования заявителя.

Вот фрагмент переведенного текста мгновенного сообщения между двумя неназванными ответчиками Trickbot, в котором они обсуждают кандидата, который сразу понял, что его нанимают для помощи в борьбе с киберпреступностью.

Разговор между двумя членами группы Trickbot о потенциальном новом сотруднике. Изображение: Министерство юстиции.

Следующая беседа, состоявшаяся 1 июня 2016 года или около того, касалась потенциального нового сотрудника Trickbot, который успешно выполнил тестовое задание, связанное с изменением веб-браузера Firefox.

Другие фрагменты разговоров в обвинительном заключении предполагают, что большинство новобранцев понимают, что проекты и тестовые задания, которые им предлагается выполнить, связаны с киберпреступностью.

«Большинство понимает, что это афера и просит коммерческую цель», — написал ответчик, идентифицированный только как Сообщник 8 (CC8).

Но как насчет новых сотрудников, которые не в курсе, как именно используются программы, которые им предлагается создать? Другой источник в индустрии анализа угроз, который имел доступ к внутренней работе Trickbot, предоставил некоторый дополнительный контекст о том, как разработчики присоединяются к группе.

«Процесс найма состоит из двух этапов, и сначала вы можете не понимать, на кого работаете», — сказал источник. «Но этот период обычно довольно короткий, например, менее года».

После этого, если кандидат достаточно талантлив и трудолюбив, кто-то из группы Trickbot «зачитает» новобранца, т.е. объяснит простыми словами, как используется его работа.

«Если ты хорош, в какой-то момент тебя прочитают, и ты узнаешь, но если ты не хорош или тебя это не устраивает, они довольно быстро это сортируют, и твой услуги больше не потребуются», — сказал источник. «Но если вы пройдете этот первый год, шансы, что вы все еще не знаете, что делаете, очень малы».

По данным Министерства юстиции, Витте имел доступ к Trickbot в течение примерно двух лет с 2018 по 2020 год.

Следователи говорят, что до запуска Trickbot некоторые участники заговора ранее несли ответственность за распространение пароли, используемые в различных банках. Правительство заявляет, что члены Trickbot, включая Витте, регулярно использовали пароли банковских счетов, украденные их вредоносными программами, для опустошения банковских счетов жертв и отправки денег в сети денежных мулов.

Модель найма, принятая Trickbot, позволяет банде набирать постоянный поток талантливых разработчиков дешево и тайно. Но это также создает очень реальный риск того, что новобранцы могут предложить следователям способ проникнуть в деятельность группы и, возможно, даже выявить сообщников.

В наши дни почти все атаки программ-вымогателей совершаются аффилированными группами программ-вымогателей, которые постоянно вербуют новых членов, чтобы учесть истощение, конкуренцию со стороны других групп программ-вымогателей и случайных партнеров, которых арестовывают правоохранительные органы.

В рамках партнерской модели программ-вымогателей киберпреступник может заработать до 85 процентов от общей суммы выкупа, выплаченного компанией-жертвой, которую он или она несет ответственность за компрометацию и предоставление группе. Но время от времени плохая оперативная безопасность филиала раскрывает всю деятельность банды.

7 июня Министерство юстиции объявило о возврате биткойнов на сумму 2,3 миллиона долларов, которые Colonial Pipeline заплатила вымогателям-вымогателям в прошлом месяце.