Модул 1 · 1.3
Ransomware и изнудване
Модул 1: Защо Вие сте мишена · Време за четене: 10 минути
Учебна цел: След този урок ще можете да обясните как ransomware прониква в системите, какво е двойно изнудване и кои мерки ограничават щетите.
Основни понятия: ransomware, криптиране, двойно изнудване, първоначален достъп, странично придвижване, откуп, декриптор (No More Ransom)
Какво представлява ransomware
Ransomware е зловреден софтуер, който прави Вашите файлове или системи неизползваеми и след това изисква откуп. Думата идва от английското ransom: откуп. Обикновено това се случва чрез криптиране: софтуерът превръща Вашите файлове в нечетими данни, като ключът за разчитането им се намира само у нападателя. Файловете все още са видими, често с различно разширение в края, но вече не могат да бъдат отворени. На екрана или във всяка папка се появява съобщение: платете в рамките на няколко дни, иначе всичко ще бъде загубено.
Самото криптиране не е нещо злонамерено. Това е същата технология, която защитава Вашия лаптоп при кражба (урок 5.2) и която защитава връзката Ви с даден уебсайт. Разликата е в това кой притежава ключа. Доброто криптиране не може да бъде разбито. Затова „просто ще го декриптираме“ почти никога не е вариант, освен ако създателите на ransomware не са допуснали грешка.
Според Националния екип за реагиране при инциденти (CERT България) ransomware засяга не само файловете, но и системите, и резервните копия. Последното е най-важният момент в този урок.
Как прониква
Атаката с ransomware не е единичен момент, а поредица от стъпки. Тя започва с първоначален достъп: първата стъпка през вратата. Най-често срещаните пътища:
| Път за достъп | Как се случва | Какво го спира |
|---|---|---|
| Фишинг с прикачен файл или връзка | Служител отваря „фактура“ или „товарителница“, която стартира зловреден софтуер | Осведоменост (урок 9.2), актуализации, ограничени права |
| Откраднати данни за вход | Изтекла парола работи за уеб пощата, VPN или отдалеченото управление | Уникални пароли, двуфакторно удостоверяване (модул 2) |
| Известна уязвимост в система, свързана с интернет | Остарял VPN сървър, защитна стена (firewall), NAS или уебсайт с публично известна уязвимост | Бързо актуализиране (урок 5.1), да не се отваря ненужно |
| Отдалечено управление, което е отворено | Програма за отдалечена работа с компютър, достъпна от целия интернет | Само през защитена връзка, с 2FA |
| Доставчик | IT фирмата или софтуерът на даден доставчик биват злоупотребени | Договорености и минимални права (модул 7) |
След първоначалния достъп нападателят често изчаква. Той се оглежда, търси администраторски акаунти и преминава от компютър на компютър. Това се нарича странично придвижване. Той търси основно две неща: къде се намират важните данни и къде са резервните копия. Едва когато открие и двете, нанася удара, често през нощта или през уикенда, когато никой не забелязва.
Защо свързаното резервно копие не помага
Много малки предприятия имат резервно копие: външен диск, който е постоянно свързан с компютъра, или мрежов диск (NAS), на който всяка нощ се прехвърля копие. Това е по-добре от нищо при повреден твърд диск. Срещу ransomware обаче често не помага.
Причината е проста. Ransomware криптира всичко, до което заразеният компютър или превзетият акаунт има достъп. Ако дискът за резервни копия е свързан с компютъра, ransomware може да достигне и до него. Ако резервното копие се намира на мрежов диск, до който влизате с един и същ акаунт, ransomware може да достигне и там. Нападател, който спокойно се е огледал, понякога умишлено изтрива резервните копия, преди да започне криптирането.
Същото важи и за синхронизацията. Папка, която автоматично се синхронизира с облака, синхронизира и криптираната версия. Понякога все пак можете да се върнете към по-стара версия на файл, но това зависи от услугата и колко дълго тя пази версиите.
Резервно копие, което преживява ransomware, има поне едно копие, до което нападателят не може да достигне или което не може да промени: диск, оставен отделно в чекмедже, или резервно копие при отделен доставчик със собствен достъп, който не използвате на работния си компютър, или хранилище, при което промяна и изтриване са технически невъзможни за определен период от време. В модул 6 ще изградите това стъпка по стъпка. Резервно копие, което Вашият хостинг доставчик прави на отделни сървъри, извън Вашия пакет, вече е копие на разстояние за Вашия уебсайт и поща. Проверете все пак колко дълго се съхранява то и кой може да го изтрие.
Двойно изнудване
Преди доброто резервно копие беше пълният отговор на ransomware: възстановяване и готово. Нападателите са се адаптирали. При двойно изнудване те първо крадат копие на Вашите данни и едва след това криптират. Така се появяват две заплахи:
- Платете, иначе няма да получите файловете си обратно.
- Платете, иначе ще публикуваме Вашите данни: клиентски бази, оферти, данни за заплати, пощенски кутии.
Резервното копие помага срещу първото, но не и срещу второто. Националният екип за реагиране при инциденти (CERT България) също предупреждава, че нападателите понякога заплашват да публикуват откраднати данни. Освен това кражбата на лични данни сама по себе си представлява нарушение на сигурността на данните, с произтичащо от него задължение за уведомяване на Комисията за защита на личните данни (КЗЛД) (урок 8.2), независимо дали плащате или не.
Понякога нападателят отива още по-далеч и се обръща директно към Вашите клиенти или бизнес партньори със съобщение, че техните данни са били откраднати от Вас. Тогава натискът не е насочен само към Вас, а и към Вашата репутация.
Да платим ли или не?
Препоръката на държавните органи и полицията е еднозначна: по-добре да не плащате. No More Ransom, инициатива на Europol и холандската полиция, наред с други, го формулира така: плащането на откуп не дава никакви гаранции. Има основателни причини за това:
- Нямате гаранция, че ще получите работещ ключ, нито че декриптирането ще успее.
- Нямате гаранция, че откраднатите данни наистина ще бъдат изтрити след това.
- Потвърждавате, че Вашата фирма плаща, което Ви прави привлекателна цел за следваща атака.
- Финансирате следващите атаки срещу други.
- Пътят навътре все още не е затворен. Без разследване случилото се може да се повтори.
Нидерландският NCSC посочва възстановяването от резервно копие като най-надеждното решение. Ако това не е възможно, проверете дали съществува декриптор: безплатна програма, която може да декриптира файлове от определено семейство ransomware, тъй като изследователи са открили уязвимост в него или са конфискували ключове. No More Ransom (https://www.nomoreransom.org) събира тези декриптори и Ви помага да определите какъв вид ransomware имате. Далеч не за всяко семейство има решение, но проверката не струва нищо.
Във всеки случай подайте сигнал до МВР (https://www.mvr.bg/) / ГДБОП (https://www.cybercrime.bg/), и проверете дали имате задължение за уведомяване: пред КЗЛД, ако са засегнати лични данни, пред компетентния орган, ако попадате в обхвата на Закона за киберсигурност (урок 9.1), а понякога и пред възложител съгласно договора Ви.
Какво ограничава щетите
Можете да намалите вероятността от атака и да ограничите щетите, ако тя все пак се случи. Обобщение, заедно с урока, в който го научавате:
- Актуализиране, особено на всичко, свързано с интернет: VPN, рутер, NAS, уебсайт (урок 5.1).
- Двуфакторно удостоверяване за пощата, отдалеченото управление и всички администраторски акаунти (урок 2.3 и 2.4).
- Минимални права: да не се работи ежедневно с администраторски акаунт и да не всеки има достъп навсякъде (урок 7.1).
- Резервно копие извън обсега на обичайните Ви акаунти, и редовно тестване дали възстановяването работи (модул 6).
- Карта за инциденти, така че всеки да знае какво да прави: изключване на мрежата, да не се изключва произволно устройството, обаждане по телефон (урок 8.1 и 8.3).
- Осведоменост: колега, който веднага съобщи, че е отворил странен прикачен файл, Ви дава часове преднина (урок 9.2).
На практика: така изглежда
Пример, съставен въз основа на често срещани ситуации. Монтажна фирма с дванадесет служители имаше VPN сървър, за да има достъп до файловете от дома. Фърмуерът не беше актуализиран от година и половина. Чрез известна уязвимост нападателят проникна, огледа се цяла седмица и откри администраторския акаунт на мрежовия диск. В една съботна нощ бяха криптирани компютрите, мрежовият диск и USB дискът с резервното копие, свързан към него. Това, което оцеля: пощата и уебсайтът, които бяха при хостинг доставчик със собствено резервно копие, и старо копие на счетоводството на диск, който счетоводителят държеше у дома. Благодарение на това фирмата успя да възобнови фактурирането след няколко дни. Офертите и чертежите от последните месеци бяха загубени.
Една актуализация и един отделен диск в чекмедже биха направили разликата между няколко дни и няколко месеца.
Обобщение
- Ransomware криптира файлове, системи и резервни копия и изисква откуп; доброто криптиране не може да бъде разбито.
- Ransomware прониква чрез фишинг, откраднати пароли, неактуализирани системи, свързани с интернет, отдалечено управление или доставчик; след това нападателят често първо се оглежда.
- Резервно копие, свързано с компютъра или достъпно с един и същ акаунт, често бива криптирано заедно с останалото.
- При двойно изнудване данните първо се крадат; резервното копие тогава не помага срещу заплахата за публикуване, а и самото събитие е нарушение на сигурността на данните.
- По-добре не плащайте; възстановете от резервно копие, проверете в No More Ransom за декриптор и подайте сигнал.
Тест (quiz)
Задача
D1.3: Какво, ако се случи тази нощ? Прегледайте за собствения си бизнес какво би могло да бъде криптирано от ransomware тази нощ. Запишете къде се намират Вашите резервни копия, дали са достъпни от обикновен работен компютър или с обикновен акаунт, и кои системи са свързани с интернет. След това отговорете на въпросите за размисъл.
Задача D1.3: Какво, ако се случи тази нощ?
Ето как да подходите: (1) Направете списък на всички места, където се намират важни файлове: компютри, лаптопи, мрежов диск, облачно съхранение, имейл, счетоводство, уебсайт. (2) Запишете за всяко място къде се намира резервното копие и дали то е достъпно от обикновен работен компютър или с акаунт, който използвате ежедневно. (3) Проверете кои системи са свързани с интернет и достъпни отвън (VPN, отдалечено управление, NAS, рутер, уебсайт), и кога за последно са актуализирани. (4) Проверете дали има поне едно копие, до което ransomware не може да достигне (отделно в чекмедже или при отделна страна с собствен вход). (5) Разгледайте еднократно https://www.nomoreransom.org/bg/index.html как работи сайтът, за да го знаете, ако потрябва.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Прочетете още
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е сходен.
- WebOké Backups: преглед, възстановяване или изтегляне на резервно копие
- Ръководство за DirectAdmin 16.1: Какви резервни копия има при WebOké
- Национален екип за реагиране при инциденти (CERT България), Какво е ransomware: https://govcert.bg/ (нидерландски източник)
- No More Ransom: https://www.nomoreransom.org/nl/index.html