I fredags stängde amerikanska Colonial Pipeline av sina oljeledningar efter att ha drabbats av en ransomware-attack. Attacken uppges vara den största cyberattacken som USA:s energisektor har blivit utsatt för. FBI bekräftar nu att hackergruppen Darkside ligger bakom attacken.
Säkerhetsforskare hos IT-säkerhetsföretaget Check Point Software Technologies har undersökt det inträffade och sammanställt den information de har i dagsläget. Darkside upptäcktes första gången i augusti 2020 och har specialiserat sig på Ransomware as a Service (RaaS). De använder sig av ett partnerprogram där aktören bakom attacken bara behöver hacka sig in i ett företag, kryptera informationen de kommer åt och sen läcka data, samt i vissa fall även förhandla med de drabbade om betalning. Darkside står för själva ransomware-koden. Eventuella förtjänster delas mellan parterna. Darkside använder sig också av double ransomware, eller dubbel-utpressning, och pressar på så sätt offren hårdare. Målen för attackerna är oftast icke rysktalande länder.
- Vi vet just nu ganska lite om aktörerna bakom attacken mot Colonial, eftersom det kan vara någon av Darksides partner, säger Lotem Finkelsteen, Head of Threat Intelligence, Check Point Software. Vi vet dock att det krävs en sofistikerad och välutformad cyberattack för att slå ut Colonials verksamhet. Attacken kräver också tillräckligt med tid för att möjliggöra rörelser i sidled och att komma över stora datamängder. Darkside är en del av trenden med ransomware-attacker som involverar system som IT-branschen sällan ser i infekterade nätverk, såsom ESXi-servrar. Detta för tankarna till andra attacker som riktats mot kritisk infrastruktur.
Antalet ransomware-attacker har enligt Check Point Research ökat med 300 procent i USA de senaste tre månaderna. Sjukvård, myndigheter och utbildningssektorn hör till de mest utsatta branscherna. Vi ser en liknande trend i Sverige där antalet ransomware-attacker har fördubblats mellan perioderna nov-dec 2020 och mar-apr 2021. I ransomware-attacken mot Colonial Pipeline har det spekulerats om att ransomware-typen som användes var Ryuk. Ryuk är en av de mest sofistikerade ransomware som finns och även den som orsakat den största finansiella skadan.