En russisk hackers bekjennelser

Onsdag 29. juni gikk alarmen.

Et stort dataangrep rammet Norge.

Det er verken første eller siste gang ubudne gjester banker på de digitale dørene.

Denne gang gikk en rekke sider ned for telling. Også VG og NRK ble rammet.

Justisministeren gikk langt i å antyde at det var et russisk, kriminelt miljø som sto bak.

Russiske myndigheter avviste på sin side at de var involvert i angrepet.

Men Nasjonal sikkerhetsmyndighet (NSM) sa at de har sett lignende angrep i andre land.

Nå skal du få vite mer om hvordan ett kriminelt hackernettverk er organisert.

Vi tar utgangspunkt i en organisasjon som har gjort stor skade på norske virksomheter tidligere.

Ble truet med ødeleggelse

Denne historien starter 1. desember i fjor.

Da rammet krisen Nordic Choice.

Hotellkjeden var utsatt for et alvorlig dataangrep.

En ansatt hadde blitt lurt til å åpne en fil med ondsinnet kode.

Mange systemer gikk ned for telling. Konsekvensene var store:

• Gjester måtte låses inn manuelt.
• Bookinglister ble skrevet med tusj på tavler.
• Betalinger gikk via Vipps.

Noen uker senere skjedde det samme hos Nortura.

Hackerne forsøkte å tanke ut 31 GB med data da alarmen gikk.

Angrepet kostet Nortura minst 40 millioner, fortalte DN.

Flere har studert lekkasjen.

Noen sammenligner den med hackerverdens svar på «Panama Papers» (ekstern lenke).

Sist i rekken er en rapport laget av Crystal Blockchain.

– Fra loggene ser vi at Conti planla å angripe 20–30 selskaper om dagen, forteller Nicholas Smart på e-post til NRK.

Han er leder for etterretning i selskapet.

– Hvis en virksomhet ikke betalte, ble de truet med ødeleggelse.

Slik skjedde det

Rapporten deres baserer seg på en ny gjennomgang av datalekkasjen.

En lekkasje som fant sted i vinter. Kort tid etter at krigen i Ukraina var et faktum.

Personen bak var trolig en ukrainsk sikkerhetsarbeider.

Han eller hun likte dårlig at Conti tok side med Russland.

– Jeg kan ikke skyte noe. Men jeg kan kjempe med tastatur og mus, sa personen i et eksklusivt intervju med CNN.

Vedkommende endte med å lekke mange tusen chatmeldinger.

De gir et unikt innblikk i gruppas indre liv.

Gjennomgangen Crystal Blockchain har gjort, samt NRKs egne undersøkelser av deler av materialet, viser hvordan hackernettverket tenker og jobber.

– De har angrepet både sykehus og eldrehjem, sier Smart.

Dette er bare et lite utdrag av de mange chatmeldingene.

En annen dialog er den du kan lese under.

Her diskuteres det et pågående hackerangrep.

Offeret fremstår her å være et forsikringsselskap:

Beryktet

Conti har lenge vært ansett som en av de største globalt.

Altså – i «bransjen» løsepengevirus.

Målet deres er å lure offeret til å laste ned kode, slik at de slipper inn i nettverket.

Der krypterer de dataene, og låser deg og bedriften ute av systemene.

For å få tilgang til nøkkelen må du bla opp. Gjerne flere titalls millioner kroner. Dette vil de ha overført i form av bitcoin.

I Irland er Conti eksempelvis mistenkt for å stå bak angrepet mot Health Service Executive. Det største kjente angrepet mot et helsevesen.

Skadevare som dette har blitt en så alvorlig trussel at det kan true demokratiet og gjennomføringen av valg, mener noen eksperter.

Alt dette gjør at FBI er bekymret.

FBI sier Conti står for «den dyreste formen for løsepengevirus som noen gang er dokumentert».

Etaten anslår over 1000 ofre som har betalt inn over halvannen milliard kroner. Amerikanerne har utlovet 15 mill. dollar i dusør.

De er svært interessert i informasjon om dem som står bak.

Kanskje kan denne store lekkasjen bidra med ny informasjon om skurkene?

Meyers er en av sjefene hos CrowdStrike.

– Blant annet ser vi at de har flere operasjoner, og også har samarbeid med en annen stor aktør.

Lekkasjen viser hvor store disse organisasjonene er.

En gruppe som Conti har alene hundrevis av medlemmer, sier Meyers til NRK.

Andre eksperter har pekt på at sporene – så som bitcoin- og e-postadresser, kan gi viktige ledetråder til politi og myndigheter.

Får lønn i form av bitcoin

For å skjønne litt mer av hvordan disse folka jobber og kommuniserer, har også NRK lastet ned og studert deler av materialet.

I meldingene diskuteres det blant annet lønn og arbeidstider.

Lønn utbetales vanligvis to ganger i måneden: På den 1. og 15.

Ved å studere adressen over, kan NRK for eksempel se at et medlem mottok cirka 35.000 kroner i juni i fjor.

Noen ganger ber ansatte om ekstra penger. En skriver at vedkommende trenger litt ekstra etter at et familiemedlem fikk hjerteinfarkt.

Men av meldingene leser vi også at utbetalingene ikke alltid skjer smertefritt.

– Vi må snakke om lønn igjen. Det er så mye rot. Har du et minutt?, skriver «Mango» til lederen «Stern».

– Jeg kan gi deg et oppdatert liste over lønn og betalinger. Det ville vært fint om du kunne sett på dette i dag, skriver han videre.

«Stern» er altså han som er pekt ut som sjefen.

Men han er bare én av flere som utgjør ledelsen i Conti.

Oversikten over baserer seg på en grundig jobb fra Check Point.

Den viser at Conti er satt opp som et vanlig teknologiselskap:

• Et klassisk organisasjonshierarki, med teamledere som rapporterer oppover.
• En egen HR-avdeling med ansvar for rekruttering.
• Den som presterer best er vinner tittelen «månedens ansatt».
• De som presterer dårligst får bøter og kjeft.

De skal også ha fysiske kontorer.

Ifølge CNBC skal flere av disse befinne seg i Russland. Moskva har selv tidligere avvist at de er delaktig i dataangrep, skriver kanalen.

– Jeg tror det er ekstremt lite sannsynlig at du tjener millioner av dollar i Russland, uten at russiske myndigheter vet hvem du er, sier Meyers hos CrowdStrike.

Det kan være en ren informativ relasjon, eller noe mer formelt, tror han.

– Jeg ser uansett for meg at de vet hvem denne gjengen er, og at de har snakket med dem.

Ansatt: – Trenger ferie

I en melding fra juni i fjor, kan NRK lese hvordan Stern jobber med en ansettelse.

Det kommer også fram at opptil 15–20 personer jobber med enkeltprosjekter.

Det resulterer i vellykkede angrep.

Ulike deler av organisasjonen har ansvar for ulike deler av operasjonen.

Her er en oversikt:

Av loggene får vi også innsyn i arbeidstidene.

En person skriver at han jobber mellom 09.30 og 16.00.

Andre gir uttrykk for en løsning med fleksitid.

Flere jobber kveld og helger.

– God helg! Og god ferie, skriver en person på en fredag – glad over å få en pust i bakken.

Men helt fri virker det til at man egentlig aldri har.

Det er forventet at de ansatte trår til når det ligger an til et vellykket angrep.

Flere gir uttrykk for at de er slitne, viser søk som NRK har gjort i loggene:

Og som i andre firmaer, hender det at ansatte må melde seg syk.

Loggene inkluderer også, ifølge The Intercept, en god dose kvinnehat.

Det er diskusjoner om seksuelt misbruk av barn. Vitser om voldtekt.

Og antisemittiske kommentarer rettet mot Ukrainas president Volodymyr Zelenskyj.

Analyser gjort av Crystal Blockchain avdekker dessuten nye koblinger mellom Conti og andre kriminelle grupper.

– Det er sannsynlig at personer assosiert med Conti var involvert i hackingen av kryptobørsen Liquid i august 2021, sier Smart.

Krangling

Samtidig skinner det også gjennom at de har sitt å stri med.

• Det er problemer med å koordinere prosjekter.
• Med å få samlet inn pengene til riktig sted.
• Og det krangles tidvis om hvem som har siste ord.

Siste punkt illustreres blant annet med denne meldingen fra en oppgitt person med kallenavnet «Driver»:

Det er også eksempler på det som tyder på dårlig intern organisering.

Ett eksempel handler om en senior i Conti.

Vedkommende går under navnet «Tramp».

Han står for mye av forhandlingene med ofrene.

Da han ikke var på jobb, gikk mye i stampe.

Straumsheim leder den norske avdelingen i PWC.

Som sikkerhetsfolk flest, kjenner han godt til Conti-navnet.

– Vi ser at Conti har medlemmer på tvers av tidligere Sovjetland. Inkludert Ukraina.

– Det er påståtte koblinger med russiske myndigheter, men det vet vi ikke sikkert.

– Hva er spesielt med disse chatloggene?

– De er interessante fordi de gir et sjeldent innblikk i en moderne cyberkrimorganisasjons indre liv.

– Ikke ulikt legitime virksomheter har de ansatte med ulike roller og ansvar. Men de møter også på utfordringer som ferieavvikling, personalkonflikter, og suboptimale arbeidsprosesser.

Et betimelig spørsmål er om det er grunn til å tro at loggene er falske.

NRK har snakket med flere eksperter som mener de ikke er det.

– Vår vurdering er at det er overveiende sannsynlig at loggene er ekte. Det er et omfattende datamateriale, som også fremstår veldig «menneskelig», sier Straumsheim.

Men nå kan Conti være i gang med å endre seg, etter lekkasjen.

En endring som ingen egentlig helt vet hva innebærer.

Men som kan bety at Conti som merkevare er historie.

For å forklare dette, må vi ta det stegvis.

Tok side med Russland

La oss først spole tilbake til krigen i Ukraina, og måten lekkasjen skjedde på.

Flere eksperter mener medlemmer i Conti gjorde en skikkelig blemme da de ga sin støtte til Russland.

25. februar kunne man nemlig lese følgende i en bloggpost:

Den beskjeden skapte furore, også internt.

Husk at Conti har medlemmer både i Russland og Ukraina. Sistnevnte var ikke veldig begeistret over å lese en slik beskjed.

Kort tid etter ble ordlyden mildere. Teksten ble endret slik at Conti ikke tok tydelig side i konflikten.

Men da var det for sent. Lekkasjen ble kort tid etter et faktum.

Ved å antyde bånd til Russland, kan det rett og slett ha blitt vanskelig for dem å tjene penger. Og hvorfor det?

Det amerikanske cybersikkerhetsfirmaet AdvIntel er i alle fall tydelige på det.

De mener Conti faktisk knapt har mottatt løsepenger siden februar.

Om det er riktig, er vanskelig å bekrefte.

Men analysen deres har i alle fall blitt en slags snakkis på nettet.

Dette, sammen med at programvaren til Conti har blitt lettere å oppdage etter lekkasjen, kan ha gjort at de har blitt tvunget til å tenke nytt.

Et spørsmål noen da har stilt seg, er om de har gjennomført en avledningsmanøver for å skape seg et etterlengtet pusterom.

Til å få samlet kreftene sine.

Dette bringer oss over til neste punkt: Angrepet på Costa Rica.

Brøt seg inn i Costa Rica

Landet i mellom-Amerika har stått i en tøff kamp de siste månedene.

Det etter at to store løsepengevirus-angrep tok ned viktige tjenester.

– Dette er muligens den mest betydelige løsepengevirus-hendelsen til dags dato, sier trusselanalytiker Brett Callow i Emisoft til Wired.

– Jeg kan ikke huske noe lignende. At en hel regjering har blitt holdt mot løsepenger på denne måten. Det er ganske enestående.

Hackerne krevde landet for 20 mill. dollar i løsepenger.

Det ble ikke innfridd.

Da begynte hackerne å dele 972 GB med filer.

Det er dette angrepet AdvIntel peker på kan ha vært en avledningsmanøver.

– Angrepet brakte Conti i søkelyset, mens de gjorde en stor omstrukturering internt, hevder de.

En analyse som har skapt diskusjon. For slett ikke alle er enige.

– Jeg kjøper det ikke. Jeg tror det var en bruker av Conti-plattformen, med fokus på Latin-Amerika, som stod bak, sier Meyers i Crowdstrike.

– Er Conti død?

– Conti stenger ikke ned. Det er for mye penger involvert.

Han tror de vil dukke opp igjen under et annet navn.

Det har man sett før, når myndighetene begynner å puste en i nakken.

At man «re-brander».

– De vil nok se over sin interne struktur og øke sikkerheten.

Selv om meningene er flere, finner påstandene om at Conti kan ha tatt seg en lengre «ferie» gjenklang i chatloggene.

Lekkasjene fortsatte nemlig også etter den første dumpingen av lekkede data.

Dermed fikk man en unik anledning til å studere de interne reaksjonene på lekkasjen.

Check Point oppsummerer det slik:

• Storsjefen Stern ble stille i midten av januar.
• Utover i februar ble det observert problemer med å utbetale lønn.
• Deretter sa en av lederne, «Frances», at alle måtte ta seg en pause på to-tre måneder slik at de fikk tid til å omorganisere.

Her er et utdrag av beskjeden som gikk ut fra Frances:

Slik kan Conti gjenoppstå

Ok – så hva skjer egentlig med Conti nå?

I perioden denne saken ble skrevet gikk Contis nettsted på Tor-nettverket i svart. Det mener noen tyder på at en «re-branding» er i anmarsj.

AdvIntel mener «nye» Conti vil ta i bruk en ny struktur. Som er mer horisontal og desentralisert enn det tidligere rigide hierarkiet.

Straumsheim hos PWC er ikke helt sikker på hva som er i gjære.

– Om de reorganiserer seg, eller tar en pause for så å komme tilbake igjen.

Det kan godt hende at Conti-organisasjonen, slik vi har kjent den, er i ferd med å bli splittet opp. Men det er vanskelig å fastslå noe sikkert, sier han.

– Men det vi har sett, er at det har vært en oppsving i aktivitet fra andre trusselaktører.

Den delen av «markedet» Conti har betjent, for å bruke det uttrykket, betjenes nå av andre.

– Så det er ikke slik at trusselen har blitt mindre.

AdvIntel har ikke svart på NRKs forespørsel om et intervju.

Økning

Per mai 2022 hadde PWC registrert 1022 ofre på ulike «leaksites».

Det er en liten økning fra samme tidspunkt i fjor, hvor det ble registrert 2435 året sett under ett (opp fra 1300 lekkasjer i 2020).

PWC ser også at det er en økende grad av spesialisering.

Noen utvikler skadevaren, andre sørger for selve det å bryte seg inn.

Mens atter andre er forhandlingseksperter.

– Norge er ikke forskånet mot utviklingen. Tvert imot.

– Vi gjorde en nylig undersøkelse, som viste at norske toppsjefer rangerer cybertrusler som sin største bekymring. Høyere enn pandemi og klimaendringer.

Deler seg i mindre grupper

Allan Liska hos Recorded Future peker på den større trenden:

– Store cyberkrimgrupper tiltrekker seg mye oppmerksomhet fra politiet. Så mange grupper ser ut til å dele seg opp i mindre grupper, sier han til NRK.

Bare det siste halve året har de registrert 60 nye grupper som driver på med løsepengevirus. Det høyeste tallet siden 2015.

– De fleste av disse gruppene bruker ikke ny kode. De gjenbruker kode fra Contis, REvils, Chaos med flere. Så trusselen inkluderer ikke bare Conti-tilknyttede selskaper, sier Liska.

Han peker på at mange forlater større enheter og starter opp for seg selv.

Uansett hvilken form Conti inntar, er ekspertene enige om en ting:

Det er utopisk å tro at medlemmene ikke vil fortsette sine lyssky aktiviteter i den ene formen eller den andre.

– Til det tjener de tjener for mye penger, samstemmer Sergey Shykevich. Gruppeleder for etterretning hos Check Point.

NRK har også spurt amerikanske FBI om hva de vet om Conti per nå.

– Vi ønsker ikke å kommentere saken ytterligere, er den korte kommentaren fra en talsperson for FBI i en e-post til NRK.

Heller ikke Kripos ønsker å besvare NRKs spørsmål, utover at «de er kjent med Conti-nettverket og trusselen som løsepengevirus utgjør».

• LES OGSÅ: