SecurityUser har rapporterat om ransomwareattacken och nu har Check Point undersökt det inträffade och sammanställt den information de har i dagsläget. Darkside  upptäcktes första gången i augusti 2020 och har specialiserat sig på Ransomware as a Service (RaaS). De använder sig av ett partnerprogram där aktören bakom attacken bara behöver hacka sig in i ett företag, kryptera informationen de kommer åt och sen läcka data, samt i vissa fall även förhandla med de drabbade om betalning. Darkside står för själva ransomware-koden. Eventuella förtjänster delas mellan  parterna. Darkside använder sig också av double ransomware, eller dubbel-utpressning, och pressar på så sätt offren hårdare. Målen för attackerna är oftast icke rysktalande länder, menar Check Point.

– Vi vet just nu ganska lite om aktörerna bakom attacken mot Colonial, eftersom det kan vara någon av Darksides partner. Vi vet dock att det krävs en sofistikerad och välutformad cyberattack för att slå ut Colonials verksamhet. Attacken kräver också tillräckligt med tid för att möjliggöra rörelser i sidled och att komma över stora datamängder. Darkside är en del av trenden med ransomware-attacker som involverar system som IT-branschen sällan ser i infekterade nätverk, såsom ESXi-servrar. Detta för tankarna till andra attacker som riktats mot kritisk infrastruktur, säger Lotem Finkelsteen, Head of Threat Intelligence, Check Point Software.

Antalet ransomware-attacker har enligt Check Point ökat med 300 procent i USA de senaste tre månaderna. Sjukvård, myndigheter och utbildningssektorn hör till de mest utsatta branscherna. Check Point ser en liknande trend i Sverige där antalet ransomware-attacker har fördubblats mellan perioderna november-december 2020 och mars-april 2021. I ransomware-attacken mot Colonial Pipeline har det spekulerats om att ransomware-typen som användes var Ryuk. Ryuk är en av de mest sofistikerade ransomware som finns och även den som orsakat den största finansiella skadan.