DarkSide

属于被指控攻击Colonial Pipeline的勒索软件组织的暗网页面已经关闭。 涉嫌攻击的DarkSide组织已经告诉其他黑客，它在执法压力下关闭了。去年年底才浮出水面的Darkside是攻击Colonial Pipeline的幕后黑手，该公司被迫关闭了在美国东半部大部分地区运送汽油、柴油和航空燃料的网络，引发了美国部分地区的燃料短缺。一些证据将DarkSide的行动与俄罗斯和其他东欧国家联系起来。 美国网络安全公司“FireEye”公司旗下的“Mandiant”金融犯罪分析高级经理Kimberly Goody称，多名黑客引用了5月13日与DarkSide关联公司共享的一份公告，称该组织失去了对其博客和支付服务器的访问，并将关闭。 美国网络安全公司“Recorded Future”的威胁情报分析师Dmitry Smilyanets表示，他在勒索软件网站上发现了一条来自“Darksupp”的俄语评论。评论写道，“几个小时前，我们无法访问我们基础设施的公共部分，即博客、支付服务器以及CDN服务器”。“Darksupp”被描述为“DarkSide”的运营者。与此同时，已无法通过TOR访问暗网上的“DarkSide”网址，显示的通知称找不到。“Recorded Future”称，“DarkSide”的运营者还说其加密货币赎金已被从它的服务器中取走。 另一篇发表在网络犯罪情报公司Intel471的博文称，“DarkSide”在周四向其勒索软件业务伙伴发布的信息中称，“鉴于上述情况和来自美国的压力，成员计划被关闭。保持平安并祝你好运”。 Kimberly Goody称，目前尚未独立证实这些说法，其他一些人也有一些猜测，认为这可能是一场退出骗局。不过一些安全专家警告称，该组织可能只是试图拿钱逃跑，消失在公众视野。 目前猜测的焦点是谁关闭了“DarkSide”的服务器。一些人怀疑是美国军方的网络司令部。因为美国第780军事情报旅在“记录未来”的报告出炉后不久就在Twitter上进行了转发。此前周五的国会听证会上，在被问及是否会对“阴暗面”采取行动时，网络司令部司令保罗·中曾根表示不会讨论该部门的行动。 此外，根据数字风险保护公司“数字阴影”（Digital Shadows）的一份研究报告，在网络犯罪分子中很受欢迎的俄语论坛XSS的版主在一篇帖子中表示，他们将删除所有提到勒索软件的内容。另外两个勒索软件组织Avaddon和Sodinokibi在另一个论坛上表示，他们将限制黑客使用他们的服务可以攻击的内容。根据“数字阴影”的报告，Avaddon表示，它将不再允许针对医疗组织、公共教育或慈善机构的攻击。 DarkSide在暗网上至少有八个域名或网站。其中一个是面向公众的网站，由DarkSide及其雇佣的黑客用来羞辱那些无视或拒绝该组织赎金要求的受害者，其他七个网站被该组织用来托管他们所窃取的数据。这七个域名中有四个也被关闭了，另外三个正在加载空白的白页，其中一个只是写着：”Darkside CDN”。CDN是指内容分发网络。 暗网研究人员推测，鉴于这次攻击造成了国际社会的轰动，关闭网站可能是DarkSide为躲避执法部门而做出的努力。 暗网和网络研究公司DarkOwl的联合创始人Mark Turnage说：”DarkSide很可能会安静下来，重新塑造自己，正如我们在过去观察到的其他暗网勒索软件运营商，当他们成为执法部门的目标后都会暂时停止行动。“ “我们是非政治性的。我们不参与地缘政治”，DarkSide表示，”我们的目标是赚钱，而不是为社会制造问题。从今天起，我们引入节制，检查我们的合作伙伴，想要加密的每家公司，以避免未来的社会后果。” DarkSide的暗网网址有： http://darksidedxcftmqa.onion http://darksidfqzcuhtk2.onion

在遭受网络攻击后，Colonial表示正在逐步重新开放其管道系统-德克萨斯州和纽约之间最大的燃料网络 根据彭博社的报道，因勒索软件攻击而被迫关闭运营的Colonial Pipeline公司向黑客组织支付了近500万美元，以重新启动其燃料管道。 Colonial Pipeline公司经营着美国最大的汽油管道，在攻击发生后几个小时就用加密货币支付了赎金，这一点后来也得到了多家媒体的证实。勒索组织DarkSide被认为是这次黑客攻击的罪魁祸首，并被推到了国际聚光灯下。 2021年5月10日，联邦调查局宣布对Colonial管道的攻击是由DarkSide勒索软件变体引起的，这迫使该公司停止了管道的运作，以便Colonial能够对该事件进行全面调查。虽然一般人可能是第一次听到DarkSide的名字，但威胁情报公司英特尔471自去年首次向地下网络犯罪宣布其产品以来，一直在追踪与该黑客组织有关的人。 虽然早在2020年8月就被发现在野外，但DarkSide的开发者于2020年11月在流行的俄语黑客论坛XSS上 “首次亮相 “该勒索软件，宣传他正在寻找合作伙伴，试图采用联盟 “即服务 “模式。不久之后，该勒索软件被发现是众多攻击的幕后黑手，包括针对欧洲和美国的制造商和律师事务所的几起事件。 英特尔471分析出的一些攻击手法、技术和程序来自DarkSide家族，攻击方式存在相似性，首先通过利用Citrix、远程桌面网络（RDWeb）或远程桌面协议（RDP）等脆弱软件获得初始网络访问权限，进行横向移动并窃取敏感数据，最终部署勒索软件；或者在地下论坛上购买访问凭证，进行暴力破解，利用垃圾邮件活动传播恶意软件或购买流行的僵尸网络，如Dridex、TrickBot和ZLoader，利用PowerShell后门在企业网络中进行侦察和持久化，武器库通常包括Cobalt Strike和Metasploit框架、Mimikatz和BloodHound。 DarkSide组织没有宣布对Colonial Pipeline的攻击负责，也没有公开泄露属于该公司的任何数据。然而，在2021年5月10日，该组织发布了一份公告，暗示其可能参与了这次攻击。运营商在公告中承诺，他们将在未来引入 “节制”，仔细检查每个DarkSide附属公司想要加密的公司，”以避免未来的社会后果”。运营商还声称，该组织严格受金钱驱使，不隶属于任何政府机构。 这不是DarkSide运营商第一次试图为他们的行动进行公关宣传。10月，该组织在其博客上宣布，它将把收集到的部分赎金捐给国际儿童组织（致力于消除贫困的非营利性儿童赞助组织）和水项目（旨在向撒哈拉以南非洲国家提供清洁水的非营利组织）。 “我们认为，他们所支付的一些钱将用于慈善事业是公平的，”博客网站上的文章写道。”无论你认为我们的工作有多糟糕，我们很乐意知道我们帮助改变了某些人的生活。” 目前还不知道DarkSide是否在最初的捐款之外继续资助慈善机构。 勒索软件的普及和日益成熟与能源控制系统的老化相结合，是一个复杂的问题。随着黑客们通过勒索软件的运作成功，更多的网络犯罪分子可能会想加入这一行动，因为网络安全行业蓬勃发展，与其他犯罪（即针对银行账户）相比，回报更高。负责关键基础设施的公司必须明白，不安全的系统对地下网络犯罪分子来说是一个诱惑的勒索目标，而积极主动的防御措施将大大有助于防止未来发生类似Colonial Pipeline的事件。