ФБР захватило домен подземного хакерского форума RAMP

Федеральное бюро расследований (ФБР) захватило домены явной сети (clearnet) и даркнета платформы RAMP. Платформа RAMP служит хакерским форумом и обслуживает несколько групп, участвующих в Ransomware-as-a-Service и других киберпреступников.

Хотя ФБР пока не выпустило официального заявления по этому поводу, домены, используемые форумом, теперь отображают баннеры с надписью «The Federal Bureau of Investigation has seized RAMP». На баннерах указано, что действие было выполнено ФБР в координации с офисом прокурора Южного округа Флориды и Секцией компьютерных преступлений и интеллектуальной собственности Министерства юстиции США.

ФБР прекращает работу подземного хакерского форума

RAMP, изначально расшифровывавшееся как Russian Anonymous Marketplace, было популярным форумом в даркнете, который в основном обслуживал русскоязычных клиентов, занимающихся киберпреступлениями. Среди них были группы RaaS (Ransomware-as-a-Service) и брокеры начального доступа. Снос также подтвердил пользователь по имени «Stallman», который, похоже, является одним из владельцев RAMP; пост о взломе XSS, переведённый с русского языка и опубликованный на платформе для блогов X.

«С сожалением сообщаю вам, что правоохранительные органы получили контроль над форумом Ramp. Это событие разрушило годы моей работы по созданию самого свободного форума в мире, и хотя я надеялся, что этот день никогда не наступит, глубоко внутри я всегда понимал, что это возможно. Это риск, которому мы все подвергаемся», — говорится в посте. Он также добавил, что, хотя он больше не будет контролировать Ramp, он не намерен создавать новую платформу с нуля.

Сталлман также добавил, что продолжит свой бизнес по покупке доступа, отметив, что его основной бизнес остаётся неизменным. «Если у вас есть что-то, что вы можете мне предложить, условия указаны в моей подписи. Напишите мне в личные сообщения, и мы обменяемся через Jabber/Tox», — добавил он. Помимо предоставления форума для деятельности по вымогательству, это место было платформой для таких известных групп, как LockBit, Qilin, RansomHub, ALPHV/BlackCat и DragonForce, для продвижения своих услуг.

На сайте также было несколько дискуссионных групп, где пользователи публиковали руководства по кибератакам. Говоря о силовой зачистке, Бен Кларк, менеджер SOC в CybaVerse, сказал, что успех платформы проистекал из предоставления хакерам всей цепи атакующего. Это означает, что пользователи могут получать доступ к услугам, ranging от покупки украденных учётных данных до продвижения вредоносного ПО и продажи и покупки других услуг.

Насколько эффективны эти силовые зачистки?

Кларк упомянул, что, хотя силовая зачистка повлияет на преступную деятельность на какое-то время, долгосрочное воздействие может быть минимальным. «Любое действие, направленное на прерывание этой деятельности, является положительным шагом для защитников. Но мы были бы наивны, если бы поверили, что это окажет ощутимое влияние на киберпреступность», — сказал он. «Будут созданы новые маркетплейсы, чтобы занять место RAMP, а злоумышленники перейдут на другие платформы для покупки и продажи услуг».

За последние годы правоохранительные органы демонстрировали смешанные результаты в ходе силовых зачисток. Хотя такие операции действительно происходят, эти платформы часто возрождаются, как в случае с ботнетом Emotet в 2022 году. Платформа вернулась с новой силой. Однако это не означает, что эти операции неэффективны, по мнению Дэниела Уилкока, аналитика угроз в Talion, который отмечает, что силовые зачистки остаются лучшей тактикой для правоохранительных органов, чтобы подавить деятельность киберпреступников и получить жизненно важную информацию.

«Хотя это не сигнализирует об окончании эпохи программ-вымогателей, правоохранительные органы смогут получить ценную информацию из захвата, касающуюся злоумышленников, использующих услуги, таких как их электронные адреса и IP-адреса, а также доступ к финансовым транзакциям, произошедшим на рынке», — сказал он. «Это может поддержать дальнейшие действия правоохранительных органов против злоумышленников, использовавших сайт, но, учитывая, что RAMP активно использовался российскими преступниками, маловероятно, что мы увидим много реальных арестов».