LockBit-hackers bieden gratis ransomwaredecryptor aan voor kinderziekenhuis

De bende achter de LockBit-ransomware heeft zijn verontschuldigingen aangeboden voor het hacken van een Canadees kinderziekenhuis. De criminelen hebben daarnaast gratis een decryptor afgegeven. LockBit heeft het 'beleid' geen zorginstellingen aan te vallen.

Een securityonderzoeker spotte het bericht op de website van LockBit. Daarin schrijven de hackers dat ze 'hun formele excuses aanbieden' voor de aanval en dat ze de decryptor gratis aanbieden. Met die decryptor kan het ziekenhuis alle netwerken weer ontsleutelen. Dat proces kost waarschijnlijk alsnog veel tijd en geld, waarover de criminelen niets zeggen. Ook zeggen de hackers niets over de data die mogelijk is gestolen bij de aanval. Datadiefstal is inmiddels de standaard bij ransomware-infecties, zodat een slachtoffer dubbel kan worden afgeperst met de dreiging de data openbaar te maken. LockBit is daarin een voorloper, maar de criminelen schrijven niet of ze de data ook weer verwijderen.

LockBit verwijst naar een derde partij die het kinderziekenhuis zou hebben getroffen. Dat is een affiliate die gebruikmaakt van LockBit. LockBit is een ransomware-as-a-service, waarbij andere criminelen de dienst kunnen gebruiken en vervolgens een percentage van de afpersinkomsten afdragen aan de originele makers.

Het gaat om een aanval op het Canadese Hospital for Sick Children. Dat werd op 18 december getroffen door ransomware. Aan het eind van de maand meldde het ziekenhuis dat de helft van de belangrijke systemen weer werkten, waaronder systemen die nodig waren voor behandelingen. Het ziekenhuis waarschuwde toen nog dat veel behandelingen vertraagd zouden worden.

Steeds meer ransomwaregroepen zeggen zichzelf aan 'ethische regels' te houden. Ze zeggen vaak geen ziekenhuizen te treffen, ondanks het feit dat die vaak gebrekkige beveiligingsmaatregelen hebben en makkelijke slachtoffers zijn. LockBit loopt daarin voorop; het is een van de eerste bendes die met dat beleid kwam. LockBit geeft zijn affiliates die regels ook mee. De criminelen zeggen op hun forumpost de derde partij te hebben verbannen uit het affiliate-programma, maar het is onduidelijk of zo'n ban in de praktijk wordt gehandhaafd.

Reacties (120)

Ach ja, criminelen hebben allemaal wel ergens hun grenzen die dan indruisen tegen hun objectief van 'moraliteit'. Bij de een is een ziekenhuis platleggen net iets te ver, en bij de ander maakt het geen donder uit.

Och kijk er zit toch nog een peperkoeken hartje onder al dat vlees daar.
Van mij mogen ze echt keihard optreden tegen dit soort bendes vast zetten en opsluiten en dan voor 10 jaar ofzo. Ik vind dti echt cyber terrorisme.

Schattig hoor.

Pardon? Affiliate-programma? Beseffen die lui wel dat ze gewoon een smerige criminele organisatie zijn en op geen enkele manier het recht hebben om "bedrijfje" te spelen? Zelfs het publiceren van dit bericht met als "positieve noot" het verstrekken van een decryptor is wat mij betreft op zijn minst discutabel.

Het leed dat dit soort crimineeltjes veroorzaken is namelijk enorm. Niet alleen voor de eigenaren of aandeelhouders van een bedrijf, maar ook voor alle medewerkers die het eerste slachtoffer zijn bij zo'n enorme financiele klap op het bedrijf.

Inderdaad, ze hebben een affiliate programma. RaaS aanbieders zijn inmiddels goed georganiseerde bedrijven, ze hebben vaak financiële afdelingen, marketing, sommige zelfs een medewerker van de maand…

Het klinkt te gek voor woorden, maar het is een zeer lucratieve business dat sterk lijkt op een ‘gewoon’ bedrijf.

Dit zijn dus niet echt crimineeltjes meer te noemen hoor. Dit is gewoon een bedrijf. Georganiseerde misdaad.

Het is gewone een nieuwe stijl mafia. Afpersingen, chantage, handje-klap met andere organisaties die hetzelfde willen doen. Noem het e-mafia of iets dergelijks. En ja de oude mafia had ook morele codes, maar dat maakte niet dat het lieverdjes waren. De personen in deze criminele organisaties mogen wat mij betreft ook zo zwaar mogelijk bestraft worden als ze gepakt worden.

Wel, niet om goed te praten wat deze partijen doen, maar ik vind zelf de bedrijven die zeer gebrekkige beveiliging hebben net zo crimineel?

Als ik kijk naar mijn klanten en hoe die reageren op mijn adviezen als IT consultant dan ga ik toch stiekem advocaat van de duivel spelen.
Als je je beveiliging zo krakkemikkig hebt ingericht dat mensen met een beetje besef van beveiliging er vandoor kunnen gaan met je data (of erger de data van je klanten/patienten) dan is dit een wake-up call.

bijna 90% van m`n klanten praat alleen over het hebben van antivirus en firewalls, heden te dage moet je een goede cyber reseliency strategie hebben.
Wat het vooral is is kosten van een dergelijke oplossing, die anti ransomware software is duur, dit uiteraard om logische redenen.

inmiddels is het lijstje van klanten van me dat terug is gekrabbeld ook al lang aan het worden, meestal nadat ze zijn gehackt/geëncrypt., schade komt na de schande dus?

Met alle respect, maar dat is de wereld volledig omkeren. In de basis zou het niet nodig moeten zijn om je fiets op slot te zetten en is het feit dat de fiets is gestolen nooit de "schuld" van de eigenaar. Daarmee geef je de dief namelijk een legitieme reden om de fiets mee te nemen en praat je crimineel gedrag goed.

Maar dat is in een ideale wereld die niet bestaat, want mensen. In het geval van IT hebben je klanten niet veel aan avies op gebied van techniek, daar snappen ze niets van. Techniek zoals 2factor moet je daarom gewoon doordrukken op straffe van het beeindigen van je zakelijke relatie. Daarnaast zou voor wat consutancy betreft de focus vooral moeten liggen op security awareness voor de medewerkers.

Hoe goed je de techniek ook inricht, als medewerkers hun wachtwoorden op post-it's schrijven of een USB stick van Ali-Express aansluiten, kan de beste firewall dat niet tackelen.

Nee precies, ben ik helemaal met je eens en daarom is het belangrijk goed te kijken naar je omgeving en herkenningsalgoritmen toe te passen, maar dat is een dure exercitie en slaan bedrijven liever over ten faveure van hun achterhaalde IT-Strategie.

Ik ben het helemaal met je eens dat het omgedraaid is, maar als system engineer is het mijn taak om dat te vanuit die optiek te bekijken, en zo zie je dat er al meteen een fikse emotionele uiting plaatsvind.

Mee eens dat je je fiets ergens neer moet kunnen zetten zondar dat die verdwijnt, maar we leven nou eenmaal niet in een utopie vandaar ook m`n initiële post. ik zie overigens alweer dat die weggemod word als irrelevant, heel raar want m`n opmerking is net zo relevant als het artikel...jammer weer.

En daarom is het dreigen met beeindiging van een professionele samenwerking een goede optie. De klant kan initieel gaan steigeren maar komt vaak wel tot inkeer, vooral als je hem/haar wijst op de risico's en backlash voor je eigen organisatie als het fout gaat.

Want zelfs als je met betrekking tot verantwoordelijkheid zaken zwart op wit zet, krijg je als consultant of IT-partner de backlash als het fout gaat. Is het niet juridisch/financieel zal het jouw naam zijn die veelvuldig zal klinken als oorzaak van de breach. En dat wil je niet :-)

Je hebt een punt, hoewel mijn werkgever daar toch helaas anders over denkt

Om toch even hier serieus op in te gaan: de "dief" is de eigenaar van de portemonnee. Maar realistisch gezien stuur je zo iemand al snel de laan uit wegens wanprestatie.

Wie stuur je weg? Welke beslissing op welk niveau heeft tot het probleem geleid? Wellicht waren er genoeg aanbeveilingen gedaan maar waren bepaalde oplossingen te duur volgens management, of te ingrijpend voor de organsiatie / het personeel. Dit heeft vaak een erg lastige root cause....

Walgelijke reactie....

Klopt maar wel iets om ook over na te denken. Tuurlijk zijn de boeven de slechterik maar die mensen in het ziekenhuis krijgen wel betaald om dit te voorkomen en krijgen daar heek goed voor betaald (terwijl ze dus gratis geld krijgen want ze zitten er alleen)

Wie was er dan fout? De expert die iets gemist heeft? Of wel gezien heeft maar management die er niets mee gedaan heeft? Of bestuur die een oplossing / aanpassing te duur / ingrijpend vondt?

Dus iedereen was onderdeel van het probleem. Dan iedereen maar ontslaan omdat ze hun geld niet waard zijn? Ik denk dat heel NL dan wel weg kan.... iedereen maakt wel eens fouten.

Sorry maar

Het is nooit 100% sluitend dat geef ik toe

en

maar zoals iemand anders hier al aangaf er zijn fouten gemaakt door duur betaald mensen

Kun je niet tegelijk beweren. als je iets nooit 100% sluitend krijgt kun je niet zonder alle informatie te kennen concluderen dat er fouten zijn gemaakt op het moment dat ondanks alle maatregelen toch ingebroken wordt op een systeem. Ook op een systeem waar expert 100% volgens het boekje werken is het niet ondenkbaar dat er toch ingebroken wordt.

Nee, ik wil dat er niet zonder enige kennis van wat er gebeurt conclusies worden getrokken.

Natuurlijk is het mogelijk dat de beveiligingsexperts een stelletje oelewappers zijn, maar het kan net zo goed zijn dat het management niet voldoende geld of prioriteit voor security heeft vrijgemaakt, of dat beide partijen wel goed hebben gehandeld maar dat dit een hack toch niet heeft kunnen voorkomen.

Het is niet meer dan stemmingmakerij. Jij bent jaloers op een dergelijk salaris blijkbaar. Maak jij nooit fouten? Dat doet iedereen. Ik voel me zeker niet aangesproken, jij blijkbaar wel.

Ik zit niet in die branche en dus niet jaloers of aangesproken.
Maar we praten hier over mensen die ergens voor betaald worden en schijnbaar hun werk NIET goed doen.
Je hebt geen (grote) bedrijven meer zonder een IT afdeling en dat kost flink wat geld. Daar mag je ook veiligheid voor terug verwachten.

Bij grote bedrijven gaan zaken vaak log en traag (dat is niet goed maar wel een feit). Daar kan best een goed betaalde beveiliging expert rondlopen die alles snapt en ziet en aankaart bij het bestuur, die daar deels wat mee doet. Bestuur vindt bv fisieke 2fa tokens niet handig voor het personeel een te grote uitgave, dus het gebeurd niet. Wie is er dan fout? Roepen dat de beveilings experts onbekwaam zijn is dan gewoon wagelijk. Dat is net zo fout als roepen dat een arts zijn werk niet goed doet omdat een patient overlijdt. Zo zwart wit zijn zaken niet.

Verdiep je zelf eens en dat zie je dat veel hacks gebruik maken van exploits die allang gepatched kunnen zijn.
Oftewel je betaald voor beveiliging in een pand maar de bewakers laat ondertussen deuren open staan.

Omdat je niet in de branche zit vind ik dat je kort door de bocht reageert. @Tadango geeft gewoon valide argumenten waarom iets niet is zoals het moet zijn, probleem is gewoon vaak geld. Dat heeft niets te maken met onkunde. Uiteindelijk is vaak degene met de minste kennis eindverantwoordelijk en niet de expert.

Waarschijnlijk kan er gepatched worden omdat er nog software verouderd is, of aangepast voor de klant waarna het niet meer standaard is en er eerst getest moet worden of nog langer over vergaderd.
Verder durft niemand meer een beslissing te nemen omdat we in een keiharde afreken cultuur leven, dus iedereen wil eerst alles zeker weten voordat de go gegeven mag worden.
Dat is waar deze criminelen gebruik van maken. Verder ben ik wel van mening dat er door beveiligingsbedrijven schandalige prijzen worden gevraagd voor onder presterende producten, vaak verkocht door sluwe verkopers. Maar dat geld zeker niet voor allemaal, net als bij ieder andere branche heb je er rotte appels tussen. Alles uitbesteden en denken dat alles daarmee is opgelost is ook een waanbeeld.
Uiteindelijk zal je als bedrijf zelf je risico's moeten inschatten en verantwoordelijkheid nemen.

Het kan nooit zo zijn dat mensen met de minste kennis toegang hebben tot bepaalde functies die kunnen leiden tot een breach.
Je ziet dus vaak dat personeel soms bepaalde basic features moet ontberen omwille de veiligheid.
Dus geen Usb toegang, MDM, zeer beperkte lees/schrijfrechten, Email sandboxing, en ga zo maar door.

Het gaat erom wie beslist, niet wie toegang heeft. Als er besloten wordt om verouderd systeem A niet te vervangen is dat vaak niet de keus van de beheerders. Die geven aan dat er risico's zijn. Management vindt het dan bv niet nodig, of stelt het nog even uit. Management heeft niet de kennis, wel de beslissing. DAT gebeurd er heel vaak en kan prima een oorzaak zijn. Ik zeg niet dat het zo is, maar zo kan het prima zijn gegaan, en gebeurd het vaker.

Het gaat erom wie beslist, niet wie toegang heeft. Als er besloten wordt om verouderd systeem A niet te vervangen is dat vaak niet de keus van de beheerders. Die geven aan dat er risico's zijn. Management vindt het dan bv niet nodig, of stelt het nog even uit. Management heeft niet de kennis, wel de beslissing. DAT gebeurd er heel vaak en kan prima een oorzaak zijn. Ik zeg niet dat het zo is, maar zo kan het prima zijn gegaan, en gebeurd het vaker.

En jammer genoeg is er een algemene bedrijfscultuur om dat dan maar te accepteren, ipv een melding te maken bij de autoriteiten voor het moedwillig negeren van de AVG/GDPR. Die wetgeving stelt immers dat je verplicht bent zorg te dragen dat de gegevens die je verwerkt, adequaat beveiligd zijn.
Je kunt daarin nog soebatten over wat adequaat betekent, maar als er besloten wordt om bewust met oudere systemen te blijven werken die geen ondersteuning in de vorm van security-patches meer krijgen, terwijl een nieuwe nog wel ondersteunde versie tegen betaling gewoon te verkrijgen is, dan heb je het niet meer over grijs gebied. Dat is gewoon wederrechtelijk.

[Reactie gewijzigd door R4gnax op 3 januari 2023 14:06]

Je praat over verschillende onderwerpen 🙄

Het is heel vaak aangegeven en het moet blijven worden herhaald.


OS zijn gatenkaas.

Elke discussie dat het zo moeilijk is en zo complex is en dat er degelijk wel competente mensen zijn die ergens rondlopen maar dat managers voor een dubbeltje op de eerste rang willen zitten veranderd daar verder niks aan.


OS blijft een gatenkaas.


De vraag is wat je wilt doen. Blijf je hier rommelen met mensen die vb harde schijven wisselen, je helpdesk in Turkije zit, je ondersteuning in India, etc, etc.


Of gaat men ervoor kiezen om eens daadwerkelijk door te zetten en hier kennis op te bouwen.


Iets heel simpels maar ook symbolisch is vb een open-source browser zodat google je minder lastigvalt en dat je dat ook meegeeft. Met die browser kun je ook de cloud diensten weer beter koppelen, etc, etc.

IT is niet een paar computers veilig en in de lucht houden. Een IT afdeling houdt zich bezig met toekomststrategie, informatiestrategie, beveiliging, regievoering, leveranciersmanagement, de godsganse ITIL kerstboom, compliancy, aanbestedingen, domotica, telefonie en projectkalenders.
Dit alles gebeurt meestal onder het mom van een "ondersteunende dienst" die wordt gezien als een kostenpost.

Ik kan je op een briefje geven dat de realiteit zo complex is dat geen enkele IT-er binnen een middenkleine organisatie overzicht op zijn geheel heeft. Combineer dit met hoge technologische diversiteit en de hoge moeilijkheidsgraad van IT in het algemeen en je gaat snel heel veel (externe) kennis nodig hebben.

"Professionals have standards"

Jeetje wat een sympathieke jongens. [/Sarcasme]

De cynische "ik" zou zeggen dat ze liever geen gemotiveerde LEO achter zich aan krijgen omdat het geboefte een "onschuldig doelwit" aanviel. Dat de PM even belt met zijn collega in <land X> zo van "dit kan echt niet".

Dat een hardwerkende ZZP-er of MKB-er vernield wordt door dit soort aanvallen mag dan schijnbaar wel? Of een oudere de stuipen op het lijf jagen met nep politie "u heeft stoute foto's op uw pc, dokken of anders..." wat enige jaren geleden mensen teisterden.

Gaat er bij mij best in dat ze standaarden zullen hebben hoor.
Maar ik denk toch dat hier vooral ook wel wat eigenbelang in zit.

Als je met je actie ergens al dan niet dodelijke slachtoffers gaat maken ziet je de jacht naar het oprollen van je organisatie, alsmede je veroordeling er heel anders uit dan alleen bij economische delicten.
Zeker met kinderen.

Dus gefeliciteerd, fijn dat je morele alarm af ging, maar stop maar gewoon helemaal met deze abjecte ellende.
Mensen in het "reguliere" MKB ruineren die hun poten onder hun lijf vandaan rennen voor een boterham, omdat je zelf gewoon te bedonderd bent om gewoon te werken is ook niet ethisch.

[Reactie gewijzigd door Polderviking op 3 januari 2023 12:31]

Het blijven verachtelijke mensen.

Ze doen het of ze niet nagedacht hebben over de hack. Je lot niet ergens tegenaan in een seconde. Dit heeft tijd gekost en ze wisten wie ze aanvoelen bij de hack.
Schorem al la je het mij vraagt.

Toegang tot een gehacked netwerk wordt in veel gevallen gekocht van een andere partij welke in het statement hier een "partner" wordt genoemd.