Η συμμορία πίσω από την επίθεση στο Ανοιχτό Πανεπιστήμιο- Απειλές και λύτρα

Η συμμορία ransomware Medusa βρίσκεται πίσω από την κυβερνοεπίθεση στο Ανοικτό Πανεπιστήμιο Κύπρου (OUC), αναφέρει δημοσίευμα της ιστοσελίδας Bleeping Computer.

Η κυβερνοεπίθεση σημειώθηκε την Τρίτη (28/3), με το Ανοικτό Πανεπιστήμιο να αναφέρει σε ανακοίνωση ότι «ο ιστοχώρος, η πλατφόρμα τηλεκπαίδευσης, οι διαδικτυακές πύλες και το σύστημα υποβολής αιτήσεων υποψηφίων φοιτητών/τριών ΔΕΝ λειτουργούν μέχρι νεοτέρας λόγω περιστατικού κυβερνοεπίθεσης».

Την Πέμπτη, σύμφωνα με το ίδιο δημοσίευμα, η Medusa δημοσίευσε

στον ιστότοπο διαρροής δεδομένων της ότι δίνει στο Ανοιχτό Πανεπιστήμιο Κύπρου διορία 14 ημερών για να ανταποκριθεί στις απαιτήσεις της για λύτρα. Οι χάκερ ζητούν 100.000 δολάρια.

Ωστόσο, η ομάδα όρισε την ίδια τιμή τόσο για τη διαγραφή των δεδομένων όσο και για την πώλησή τους σε ένα ενδιαφερόμενο μέρος. Για 10.000 δολάρια, οι χάκερ λένε ότι θα καθυστερήσουν τη δημοσίευση των δεδομένων κατά μία ημέρα.

Έχουν επίσης δημοσιεύσει μέρος των δεδομένων που έχουν πάρει για να αποδείξουν ότι οι ισχυρισμοί τους είναι αληθείς. Τα αρχεία περιλαμβάνουν λίστες φοιτητών με προσωπικά στοιχεία, οικονομικά δεδομένα αναδόχων έρευνας και άλλα.

Σε αντίθεση με άλλους φορείς ransomware, η Medusa δεν εξαιρεί τους εκπαιδευτικούς οργανισμούς. Στις αρχές Μαρτίου, η συμμορία κτύπησε τη σχολική περιφέρεια Minneapolis Public Schools (MPS) και μοιράστηκε ένα βίντεο με τα κλεμμένα δεδομένα.

Υπενθυμίζεται ότι πρόκειται για τη δεύτερη σημαντική κυβερνοεπίθεση το τελευταίο διάστημα στην Κύπρο, αφού προηγουμένως θύμα είχε πέσει το Τμήμα Κτηματολογίου και Χωρομετρίας.

Το προφίλ της συμμορίας Medusa

H επιχείρηση γνωστή ως Medusa έχει αρχίσει να απογειώνεται το 2023, στοχεύοντας εταιρικά θύματα σε όλο τον κόσμο με αιτήματα για λύτρα εκατομμυρίων δολαρίων.

Σύμφωνα με το beepingcomputer, η επιχείρηση Medusa ξεκίνησε τον Ιούνιο του 2021 αλλά είχε σχετικά χαμηλή δραστηριότητα, με λίγα θύματα. Ωστόσο, το 2023 η δραστηριότητα της συμμορία ransomware αυξήθηκε και κυκλοφόρησε ένα «Blog Medusa» που χρησιμοποιείται για τη διαρροή δεδομένων για τα θύματα που αρνούνταν να πληρώσουν λύτρα.

Η Medusa κέρδισε την προσοχή των μέσων ενημέρωσης αφού ανέλαβε την ευθύνη για μια επίθεση στην περιοχή των Δημόσιων Σχολείων της Μινεάπολης (MPS) και μοιράστηκε ένα βίντεο με τα κλεμμένα δεδομένα.

Πολλές οικογένειες κακόβουλων προγραμμάτων αυτοαποκαλούνται Medusa, συμπεριλαμβανομένου ενός botnet που βασίζεται στο Mirai με δυνατότητες ransomware, ενός κακόβουλου λογισμικού Medusa Android και της ευρέως γνωστής λειτουργίας ransomware MedusaLocker.

Λόγω του κοινώς χρησιμοποιούμενου ονόματος, υπήρξαν ορισμένες συγκεχυμένες αναφορές σχετικά με αυτήν την οικογένεια ransomware, με πολλούς να πιστεύουν ότι είναι το ίδιο με το MedusaLocker.

Ωστόσο, οι λειτουργίες ransomware Medusa και MedusaLocker είναι εντελώς διαφορετικές.

Η τακτικές εκβιασμού

Η λειτουργία MedusaLocker ξεκίνησε το 2019 ως Ransomware-as-a-Service, με πολυάριθμες θυγατρικές, ένα σημείωμα λύτρων που συνήθως ονομάζεται How_to_back_files.html και μια μεγάλη ποικιλία επεκτάσεων αρχείων για κρυπτογραφημένα αρχεία.

Ωστόσο, η λειτουργία ransomware Medusa ξεκίνησε γύρω στον Ιούνιο του 2021 και χρησιμοποιούσε μια σημείωση λύτρων με το όνομα !!!READ_ME_MEDUSA!!!.txt και μια στατική κρυπτογραφημένη επέκταση αρχείου .MEDUSA.

Πώς κρυπτογραφεί η Medusa συσκευές Windows

Το BleepingComputer μπόρεσε να αναλύσει μόνο τον κρυπτογραφητή Medusa για Windows και δεν είναι γνωστό αν έχει για Linux αυτήν τη στιγμή.

Ο κρυπτογραφητής των Windows δέχεται επιλογές γραμμής εντολών που επιτρέπουν στον παράγοντα απειλής να διαμορφώσει τον τρόπο με τον οποίο θα κρυπτογραφούνται τα αρχεία στη συσκευή, όπως φαίνεται παρακάτω. Σε κάθε φάκελο, το ransomware θα δημιουργήσει μια σημείωση λύτρων με το όνομα !!!READ_ME_MEDUSA!!!.txt που περιέχει πληροφορίες σχετικά με το τι συνέβη στα αρχεία του θύματος.

Όπως οι περισσότερες λειτουργίες ransomware που στοχεύουν σε επιχειρήσεις, η Medusa διαθέτει έναν ιστότοπο διαρροής δεδομένων με το όνομα "Medusa Blog". Αυτός ο ιστότοπος χρησιμοποιείται ως μέρος της στρατηγικής διπλού εκβιασμού της συμμορίας, όπου διαρρέουν δεδομένα για θύματα που αρνούνται να πληρώσουν λύτρα.

Όταν προστίθεται ένα θύμα στη διαρροή δεδομένων, τα δεδομένα τους δεν δημοσιεύονται αμέσως. Αντίθετα, οι φορείς απειλών δίνουν στα θύματα επιλογές επί πληρωμή για να παρατείνουν την αντίστροφη μέτρηση πριν από την κυκλοφορία των δεδομένων, να διαγράψουν τα δεδομένα ή να κατεβάσουν όλα τα δεδομένα. Κάθε μία από αυτές τις επιλογές έχει διαφορετικές τιμές, όπως φαίνεται παρακάτω.

Διαβάστε επίσης: 

Κτηματολόγιο: «Δεν δεχθήκαμε στο παρελθόν τέτοια επίθεση - Είναι εφιάλτης»

Το Ανοικτό Πανεπιστήμιο Κύπρου δέχτηκε κυβερνοεπίθεση