Băng nhóm ransomware Conti tan rã thành nhiều nhóm nhỏ

Các nhà nghiên cứu của AdvIntel cho biết nhóm tội phạm mạng khét tiếng Conti, từng đe dọa lật đổ chính phủ Costa Rica, đã chính thức tan rã để chuyển sang hoạt động dưới dạng các nhóm nhỏ hơn, bao gồm Karakurt và Nintyyte.

“Cơ sở hạ tầng (các máy chủ, proxy, kênh trò chuyện,…) của Conti đang ngừng hoạt động”. "Tuy nhiên, điều này không có nghĩa là những thành viên trong nhóm sẽ chấm dứt các hành động gây hại."

Sự việc này được cho là xảy ra vào ngày 19 tháng 5 năm 2022, khi một cuộc điều chỉnh tổ chức được diễn ra để đảm bảo quá trình chuyển đổi suôn sẻ của các thành viên nhóm ransomware.

AdvIntel cho biết Conti, còn có biệt danh là Gold Ulrick, đã tự dàn xếp sự sụp đổ này bằng cách sử dụng các kỹ thuật information warfare (chiến tranh thông tin).

Conti được cho là đã tách ra thành các nhóm nhỏ trong suốt hai tháng qua. Song song với đó, nó cũng thực hiện các hành động để tỏ ra như nhóm vẫn đang hoạt động.

Các nhà nghiên cứu cho biết: “Cuộc tấn công vào Costa Rica đã đưa Conti trở thành tâm điểm chú ý và giúp chúng duy trì cảm giác về sự tồn tại lâu hơn một chút, trong khi quá trình tái cấu trúc thực sự đang diễn ra”.

"Mục đích duy nhất Conti muốn đạt được sau cuộc tấn công cuối cùng này là quảng bá sự sụp đổ của nó, sau đó ‘tái sinh’ theo cách hợp lý nhất mà nó có thể."

Mặc dù cái tên Conti có thể không tồn tại, nhưng nó đã hoàn thành việc phân cấp hệ thống thành nhiều nhóm con với các động cơ và mô hình hoạt động khác nhau.

Các thành viên trong nhóm Conti được cho là đã liên kết với các nhóm ransomware khác như BlackCat, AvosLocker, Hive, và HelloKitty.

Việc tan rã, diễn ra sau khi Conti hỗ trợ Nga trong cuộc xâm lược Ukraine của đất nước, đã làm rò rỉ hàng nghìn nhật ký trò chuyện bí mật cũng như các công cụ của nhóm.

Thông tin liên lạc nội bộ bị lộ cho thấy các cơ quan thực thi pháp luật của Nga đã gây áp lực buộc Conti phải dừng hoạt động sau khi quốc tế tăng cường giám sát các hoạt động của nhóm.

Việc Conti liên kết với Nga cũng gây ra những hậu quả không mong muốn, chủ yếu trong đó là việc không thể thu các khoản tiền chuộc từ nạn nhân do bị phương Tây áp đặt các lệnh trừng phạt kinh tế nghiêm trọng đối với quốc gia này.

Đây không phải lần đầu tiên Gold Ulrick tân trang lại hoạt động bên trong của chúng. Trước đó, Conti cũng đã mua lại TrickBot hay tiếp quản BazarLoader và Emotet.

AdvIntel cho biết "Việc đa dạng hóa các danh mục tội phạm của Conti cùng với việc giải thể nhanh chóng đáng kinh ngạc của nó đặt ra câu hỏi liệu mô hình hoạt động của nó có được lặp lại giữa các nhóm khác hay không".

Nguồn: thehackernews.com