Conti leaks. Gdy grupa ransomware wycieka sama na siebie

W lutym 2022, tuż po rosyjskiej inwazji na Ukrainę, grupa ransomware Conti opublikowała stanowisko wspierające rosyjski rząd. W odpowiedzi ktoś z wewnątrz albo z kręgu bliskiego grupie zaczął wylewać na zewnątrz materiały: logi czatów, dokumenty, elementy zaplecza. Badacze i dziennikarze dostali coś, czego zwykle nie dostają przy RaaS: wgląd w codzienną organizację przestępczą, nie tylko w notę o okupie na blogu wyciekowym.

Nie opisuję, jak zostać afiliantem. Opisuję, dlaczego Conti leaks weszły do kanonu threat intelligence i czego nauczyły o firmie bez firmy.

Conti jako marka i jako maszyna

Conti działało w modelu ransomware as a service. Rdzeń budował i utrzymywał narzędzia, panel, negocjacje na wysokim poziomie, infrastrukturę wycieków. Afilianci prowadzili włamania i dzielili się zyskiem. Z zewnątrz widać było stronę z nazwami ofiar i komunikaty. Od środka, jak pokazały wycieki, było to bliższe przedsiębiorstwa z ticketami, targetami, kłótniami o kasę i hierarchią niż filmowego „kolektywu w kapturach”.

Przed 2022 Conti należało do najczęściej omawianych marek ransomware w raportach firm security i w komunikatach organów. Ataki na szpitale, samorządy i firmy prywatne budowały reputację brutalnej skuteczności. Szczegółowych list kampanii tu nie potrzeba. Ważny jest fakt: to był duży, rozpoznawalny szyld.

Luty 2022

Po publicznym opowiedzeniu się Conti po stronie Rosji część społeczności hakerskiej i ukraińskich badaczy zareagowała ostro. Wkrótce w obiegu pojawiły się archiwa czatów i inne materiały przypisywane zapleczu grupy. Datowanie i zakres wycieków omawiano w kolejnych dniach w analizach firm DFIR i w relacjach branżowych. Sens jest ustalony w publicznym obiegu: wyciek był masowy, dotyczył komunikacji wewnętrznej i pozwolił mapować role, narzędzia oraz sposób pracy.

Dla threat intel to był prezent i jednocześnie bałagan. Trzeba było oddzielić złoto od szumu, nicki od osób, boasting od faktów. Mimo to skala była bezprecedensowa jak na grupę tego kalibru.

Czego nauczyły badaczy

Conti nie było „jednym gościem w piwnicy”. Były role: dostęp początkowy, ruch boczny, negocjacje, rozwój, administrowanie panelami. Wyciekające rozmowy pokazywały napięcia między afiliantami a core, spory o wypłaty, procedury wobec ofiar.

Analizy wskazywały na silne powiązania z rosyjskojęzycznym środowiskiem przestępczym. To nie jest to samo, co oficjalny etat w agencji. To kontekst kulturowy i operacyjny, który pomagał w atrybucji i w przewidywaniu zachowań po kryzysie politycznym.

Wyciek pokazał też kruchość zaufania w RaaS. Kiedy marka zajmuje stanowisko polityczne, część ludzi wewnątrz może uznać to za zagrożenie dla biznesu albo za zdradę własnych motywacji. Zemsta albo akt oporu wpisuje się w to pęknięcie. Ransomware as a service żyje z reputacji wobec afiliantów. Conti pokazało, że reputacja pęka też od środka.

Do tego materiał pod OSINT i pod sprawy karne. Fragmenty czatów, wskaźniki infrastruktury, metody negocjacji: to wszystko karmiło kolejne raporty i, pośrednio, kolejne śledztwa. Nie twierdzę, że każdy akt oskarżenia wziął się z jednego ZIP-a. Twierdzę, że threat intel po lutym 2022 mówił o Conti dokładniej niż przed.

Po Conti

Marka Conti jako szyld osłabła i rozeszła się po innych projektach. Ludzie i narzędzia rzadko znikają wraz z logo. Migrują. To ten sam wzorzec, który widać przy innych grupach: operacja służb albo kryzys wewnętrzny zwija brand, niekoniecznie całą kompetencję.

Późniejsza operacja Cronos wobec LockBit to inna historia: uderzenie z zewnątrz w infrastrukturę, nie wyciek z zemsty. Porównanie jest jednak użyteczne. Conti leaks pokazały, jak wygląda RaaS od kuchni. Cronos pokazał, jak służby wchodzą do kuchni siłą nakazu. Oba zdarzenia podważyły mit niezniszczalnej marki.

Co wyciek nie zrobił

Nie zatrzymał ransomware jako fenomenu. Nie sprawił, że szpitale przestały być celami. Dał mapę jednego organizmu w jednym momencie. Po Conti inne marki uczyły się ciszy politycznej albo lepiej chroniły czaty. Część ludzi z ekosystemu poszła dalej pod innymi szyldami. Threat intel zyskał materiał porównawczy na lata. Obrońcy mogli zyskać wskaźniki i zrozumienie negocjacji. Przestępczość jako rynek zaadaptowała się, jak zwykle.

Po co o tym pisać w dzienniku

Bo ransomware w mediach ogólnych to często tylko „hakerzy zaszyfrowali szpital”. Conti leaks pozwoliły zobaczyć biurokratyczną nudę zła: targety, procenty, dyżury, kłótnie. To nie usprawiedliwia ofiar. To tłumaczy, dlaczego te grupy są odporne na jedną aresztowaną osobę i kruche na zdradę wewnętrzną.

Instrukcji afiliacji ani listy aktualnych paneli tu nie znajdziesz. Znajdziesz przypomnienie, że organizacje przestępcze też mają OPSEC, politykę i momenty, w których polityka je zabija od środka. W lutym 2022 Conti wybrało stronę w wojnie. Potem ktoś wybrał stronę przeciwko Conti. Threat intel dostał archiwum. Ofiary dostały tylko kolejny rozdział tej samej epidemii szyfratorów, tylko pod nowymi nazwami.