Conti于2019年首次被发现,现已成为网络世界中最危险的勒索软件之一,并以其在目标系统中加密和部署的速度快而闻名。Conti被认为是流行的Ryuk勒索软件家族的变种。据FBI统计,Conti针对全球发起了400多次网络攻击,其中四分之三的目标位于美国,勒索金额高达2500万美元。由此可见,Conti也是当前最贪婪的勒索团伙之一。原本Conti和REvil都是俄罗斯勒索软件团伙的主力军。但是2022年1月11日,在美国当局对俄罗斯施加压力后,俄罗斯采取行动逮捕了REvil勒索团伙的成员。这使得Conti成为俄罗斯软件团伙中的“牛耳”。

2月27日,Conti勒索软件团伙的内部聊天记录因俄乌克冲突而遭到泄露。事件的基本过程如下:在聊天记录披露之前,Conti承诺在俄罗斯入侵乌克兰后支持俄罗斯政府;然而,其中一些成员选择支持乌克兰,导致该组织内部发生冲突;两天后,Conti发布了第二条消息,修改了此前的声明,并且Twitter账号@ContiLeaks发布了勒索软件组织Conti的大量聊天记录,其中包含Conti用于内部交流的数十万条Jabber和Rocket.Chat消息。

以下内容是根据泄露的聊天记录获得的分析结果,由于泄露文件使用了加密服务,所以部分信息可能缺失。

Conti团伙的组织架构

Conti团伙的核心成员

成员Stern :大boss,负责集团运营和与附属公司合作,并直接和间接地管理许多人员和项目。

成员Bentley:技术负责人,负责测试和防御规避。

成员Mango:主要协调解决负责攻击人员和开发人员之间的问题。

成员Buza:是一名技术管理者,负责开发和产品,在开发团队中策划加载器和bot的开发。

成员Target:负责管理黑客团队,他还负责管理所有线下办公场所。

成员Veron:与Emotet合作的枢纽,Veron正在与相关的Conti成员管理Emotet活动的所有资源,包括基础设施。

Conti 的运营团队几乎符合一个经典的科技公司层次结构。环环相扣,各尽其责。Conti团伙拥有多个实体办公室,这些由Stern的合伙人兼有效的办公室主管Target运营,并且2020年线下办公主要供测试人员、进攻团队和谈判人员使用。Target 还提到了2个专门为与受害者代表直接对话的办公室。泄露的Rocket.Chat消息包括了在实体办公室工作的攻击团队成员的通信,这表明Rocket.Chat很可能就安装在Conti成员个人的移动终端上。

成员招募途径

(1)猎头网站headhunter.ru和superjobs.ru

因招聘目的通过第三方工具访问 headhunter.ru 简历数据库

(2)员工内部推介

根据stern的聊天截图,Conti成员内部推荐可以获得内推奖金。

(3)暗网论坛寻找人才

REvil团伙曾经做了一个宣传噱头,将 100万美元的比特币存入了一个账户,然后在讨论该噱头活跃度高的论坛帖子中发布招聘广告。招聘广告收到了许多带有联系方式的回复,且所有回复都是公开的,因此Conti团伙的HR可以从中筛选出一批高质量的候选人,并向他们发送提供工作机会的邮件。

团伙未来的发展计划

(1)推出加密系统

Conti 团伙的管理团队不断寻求新的方式来扩展业务,其中一个想法是在组织内部建立一套私有密钥交换系统。

(2)暗网社交网络

“暗网社交网络”(又名:“VK for darknet”或“Carbon Black for hackers”),这是一个受Stern启发并由Mango实施的项目,计划作为商业项目开发。

后记

从目前的情况看,在的敏感信息被泄露之后,Conti团伙清理了虚拟机并转移到其他渠道进行沟通,并且团伙内部似乎也遇到了诸如大boss缺席和薪酬支付困难等问题。尽管如此,Conti泄密网站 (ContiNews) 仍在运行,并不断更新着受害者的数据。

参考链接:

https://research.checkpoint.com/2022/leaks-of-conti-ransomware-group-paint-picture-of-a-surprisingly-normal-tech-start-up-sort-of/

https://www.rapid7.com/blog/post/2022/03/01/conti-ransomware-group-internal-chats-leaked-over-russia-ukraine-conflict/

https://research.checkpoint.com/wp-content/uploads/2022/03/map_index_v2.html

声明:本文来自白泽安全实验室,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。