Det är ingen tillfällighet att statyer av flera svenska kungar pekar österut. Det är därifrån fienden förväntades att komma från och läget är detsamma när det ransomware – brottslingarna sitter i eller har kopplingar till Ryssland. Microsoft har analyserat en stor mängd attacker och följt alla många av de grupper som finns med bland de som attackerar andras datorsystem – över hälften av dem och attackerna kommer från Ryssland.

Rapporten, från oktober 2021, så konstateras att inom den här delen av den brottsliga verksamheten så finns en rad olika grupper och sammanslutningar som tillsammans utgör det som kallas ransomware-echonomy.

Ur Microsoft Digital Defense Report OCTOBER 2021

Grupperna har kontakter med varandra, använder flera olika skadliga program, utvecklar nya samtidigt som gruppmedlemmar byter tillhörighet och i toppen finns även kopplingar till stater, ryska underrättelsetjänst, eller så har grupperna statsstöd på andra sätt. Förutom Ryssland så finns pekas Kina, Nordkorea och Iran ut i Microsofts rapport.

Digitala spår

Förutom var grupperna hör hemma så kan pengaströmmarna spåras – även om kryptovalutor används för att försvåra spårningen av de skyldiga. Det går att kartlägga hur grupperna och enskilda medlemmar kommunicerar med varandra, hur attackerna genomförs och det finns digitala spår som lämnas ute på nätet som kan analyseras. Chainalyses har följt hur kryptovalutor hanteras och deras slutsatser pekar också österut, i många fall, mot Ryssland.

När det gäller de enskilda programmen så är det en massa olika namn som florera liksom namn på de grupper som ligger bakom attackerna.

Källa: Norton 

Ransomware som en tjänst

Ransomware har också fött en ny obskyr affärsverksamhet – som en tjänst där du köper ett program, spridningen av programmet och hur du, utan djupare kunskaper, kan rikta en attack mot utvalda offer. Flertalet av de som erbjuder den här typen av tjänster sitter i skyddade av den ryska regimen och i takt med den ökande polariseringen mellan Ryssland och resten av omvärlden så minskar de ryska myndigheternas vilja att ingripa mot verksamheten – i den mån den inte har ett mera direkt stöd av ryska organisationer som ingår i den ryska underrättelsetjänsten.

Den här delen av verksamheten gör det också svårt att med säkerhet peka ut en enskild grupp – även om gruppens mjukvara (det skadliga programmet som används). Det kan finnas en annan grupp, en annan organisation bakom attacken som beställts och köpts nästan som vilken annan produkt och tjänst som helst.

Ryssland

I den nu pågående attacken mot Titoevry så har Titoevry själva bekräftat att spåren pekar mot Ryssland –  SVT och Svenska Dagbladet. Omfattningen är inte helt enkel att skaffa sig en samlad bild av, men det är en av de större och mer omfattande attackerna på mycket länge.

• 120 myndigheter är drabbade i varierande grad
• Lönesystemet för  60 000 anställda i offentlig verksamhet ligger nere
• Region Västerbotten, Lunds universitet, Karlstad universitet, Region Uppsala, Region Blekinge, Högskolan Dalarna och Vellinge kommun tillhör dfe som drabbats och flera av regionerna har gått upp i stabsläge.
• Granngårdens butiker hålls stängda
• Rusta och Filmstaden har stora problem med sina datorsystem och har fått gå över till manuell hantering – i den mån det går.
• Systembolaget har drabbats av problem och störningar liksom ICA

I skrivande stund pågår ett stor arbete med att försöka att återställa drabbade system.