攻击美国油管公司的DarkSide被查封，现已关闭运营

攻击美国油管公司的DarkSide被查封，现已关闭运营 – 作者:Avenger

DarkSide团伙称他们已经无法访问运营服务器，而且其一部分加密货币也被转移到未知身份的钱包，这使DarkSide无法继续运营。

Recorded Future研究人员Dmitry Smilyanets在黑客论坛上发现了名为UNKN的用户发布的帖子，而UNKN是REvil勒索软件团伙的账号。帖子显示，受执法行动影响，DarkSide已经无法访问其数据泄露服务器、赎金支付服务器和CDN服务器。

帖子中写道：“从第一个版本开始，我们就承诺要开诚布公地进行讨论。几个小时前，我们已经无法访问我们的基础设施，包括博客、支付服务器”，“现在，这些服务器都无法通过SSH进行访问了，主机面板也被拦截。主机服务运营商只表示是应执法机构的要求进行的相应处理，此外不提供任何其他信息”。

美国总统拜登之前在白宫新闻发布会上表示：

“再次强调，我们不相信俄罗斯政府卷入了这次攻击。但是，我们确实有充分的理由相信，发动攻击的罪犯就住在俄罗斯，攻击的来源就是俄罗斯”

并且拜登还表示部署勒索软件的国家必须采取行动。第二天，执法机构就查抄了DarkSide的相应基础设施。

不过，经过调查，发现DarkSide的Tor赎金付款服务器仍在运行。但是不能判断该服务器是否已经被查封，因为即便执法机构没收了该服务器，他们可能也保持了该服务器的正常运行，以允许受害者进行解密。

虽然这一切看上去都是执法组织所为，但也有人推测DarkSide勒索软件可能存在“黑吃黑”。本周传闻Brenntag和Colonial Pipeline已经支付了累计940万美元的赎金后，攻击者可能想要卷款跑路，这样就不必支付合作伙伴的那份报酬，而全都归咎于执法行动没收了所有的收益。

这个推测是基于DarkSide勒索软件的运营模式——RaaS而提出的。

RaaS

勒索软件即服务（RaaS）的模式在勒索软件行业是一个伟大的创举，通过和其他攻击团伙进行合作，由勒索软件团伙负责开发勒索软件，其他团伙负责入侵攻击。获得立足点后，攻击团伙使用勒索软件对数据进行加密勒索，在受害者支付赎金后，攻击团伙和勒索软件团伙按照一定的分成比例进行分账。这种商业模式的创新，使得攻击团伙互相勾结、狼狈为奸，助推了勒索软件浪潮席卷全球。

Intel471对外发布了DarkSide发送给其合作伙伴的完整消息，据此可认为DarkSide是在面临来自美国的巨大压力，且无法访问基础设施服务器后决定关闭运营。

此外，从DarkSide的表态来看，在解密工具分发给合作伙伴后，就不再与DarkSide有关了。