Cerber är ett av de farligaste, mest expansiva och omtalade gisslanprogrammet som drar in hisnande summor till nätverket som ligger bakom. Enligt FBI:s beräkningar ligger Cerbers intäkter från lösesummor under årets tre första månader på 1,9 miljarder kronor.
Cerber sprids genom ett affiliateprogram. Den som hjälper till att sprida trojanen får 60 procent av vinsten, och ett tillägg på 5 procent för att rekrytera en ny medlem. Resten av vinsten går uppåt i pyramiden.
– Det behövs inga större tekniska kunskaper för att vara med. Till skillnad får annan ransomware, som sprids från en grupp, kan ransomware-as-a-service nå ut mycket långt. Nätverket tycks ha startats i Ryssland, då Cerber ännu inte angripit någon där eller i de forna Sovjetrepublikerna, berättar Avi Rembaum, ansvarig för Check Points utveckling av säkerhetslösningar.
Fram till nu har det svårt att förstå hur nätverken är uppbyggda. Cerber smittar genom e-postbilagor i eller infekterade webbplatser. Viruset använder krypteringsalgoritmen AES med 256 bitar för att koda offrets filer. Det ställer in sig för att köras automatiskt vid nästa datorstart. Då skickar trojanen slumpmässiga felmeddelanden och startar sedan om datorn i felsäkert läge med nätverk. Datorn startas igen och börjar kryptera filer. I alla mappar som smittats läggs det ett utpressningsbrev med titeln DECRYPT MY FILES. Ändelsen på filen kan vara html, txt eller vbs, som kan spela upp ett ljudmeddelande om hur lösesumman ska betalas.
Betalningen sker genom att koppla upp sig till en webbplats via Tor. Om man inte gör det inom en given tidpunkt hotar kaparna att höja lösesumman. Betalning krävs i kryptovalutan bitcoin. Plånboken för betalning är anonym, men transaktionen registreras och görs offentlig genom blockkedjan. För att sopa igen spåren går betalningen över tiotusentals plånböcker och kan delas upp på flera plånböcker i slutet av transaktionen.
Lösesummorna ligger i medel på en bitcoin. Check Point beräknade Cerbers vinst till 1,7 miljoner kronor i juli månad. Med 40 procent av vinsten ger det 8,5 miljoner kronor om året till skaparen.
Cerber behöver inte en ledningsserver för sitt angrepp. Däremot rapporterar det till en dedikerad server för att sammanställa statistik över smittor, lösesummor och betalningar. För att dölja sig sänder Cerber varje meddelande till en bred uppsättning ip-adresser över det förbindelselösa protokollet udp, som inte behöver ett svar från servern.
När data sänds från många adresser så kan det spåras och övervakas av varje server som finns i den uppsättningen. Det var så Check Point kunde avkoda sändningarna, samla tillförlitlig information och få god insyn i hur ransomeware as a service fungerar. De följde hur attackerna kom i vågor, för att spara angriparen tid och resurser, och kunde förstå smittornas spridning.
Cerber finns även i två nyare versioner. En del attacker använder de uppgraderade versionerna, men de flesta fortsätter använda den äldsta.
Check Point presenterade i augusti en gratis avkrypteringstjänst för Cerber 1 och 2. De hade behövt få tag i huvudkrypteringsnyckeln snarare än att ha använt ett säkerhetshål i krypteringsalgoritmen. På en dag kunde nätverket laga koden för Cerber 2, då det är lätt att rekonstruera en avkrypterare och hitta säkerhetshålet den använder. Dessutom lade de till ett robotfilter så att Check Point inte kunde automatisera säkerhetshålet.
– Ransomware kan stoppas, säger Avi Rembaum, med att parallellt förändra användarnas beteende och införa ny teknik. Problemet är de silos som finns inne i företagen för att uppdatera loggar och dela information.
Det tar för lång tid att få skydd av antivirusprogram med signaturbaserad skanning. Cerber visar att hoten har blivit decentraliserade och automatiserade, så sättet att möta dem är att automatisera svartlistningen och se till att skyddet är självlärande.