Módulo 1 · 1.3
Ransomware e extorsão
Módulo 1: Porque é que você é um alvo · Tempo de leitura: 10 minutos
Objetivo de aprendizagem: Depois desta lição, será capaz de explicar como o ransomware entra, o que é a dupla extorsão e que medidas limitam os danos.
Conceitos-chave: ransomware, encriptação, dupla extorsão, acesso inicial, movimento lateral, resgate, decryptor (No More Ransom)
O que é o ransomware
Ransomware é software malicioso que torna os seus ficheiros ou sistemas inutilizáveis e depois exige um resgate. A palavra vem do inglês ransom: resgate. Normalmente isto acontece através de encriptação: o software transforma os seus ficheiros em dados ilegíveis, com uma chave que só o atacante possui. Os ficheiros continuam visíveis, muitas vezes com uma extensão estranha, mas já não consegue abri-los. No ecrã ou em cada pasta surge uma mensagem: pague dentro de alguns dias, caso contrário tudo se perde.
A encriptação em si não é nada de malicioso. É a mesma técnica que protege o seu portátil em caso de furto (lição 5.2) e que protege a sua ligação a um site. A diferença está em quem possui a chave. Uma boa encriptação não é quebrável. Por isso, "nós depois desencriptamos isso" quase nunca é uma opção, a menos que os autores do ransomware tenham cometido um erro.
Segundo o NCSC neerlandês, o ransomware afeta não só ficheiros, mas também sistemas e cópias de segurança. Este último ponto é o mais importante desta lição.
Como entra
Um ataque de ransomware não é um momento isolado, mas uma série de passos. Começa com o acesso inicial: o primeiro pé na porta. Os caminhos mais comuns:
| Via de acesso | Como acontece | O que o impede |
|---|---|---|
| Phishing com anexo ou link | Um colaborador abre uma "fatura" ou "guia de remessa" que inicia software malicioso | Sensibilização (lição 9.2), atualizações, direitos limitados |
| Credenciais de início de sessão roubadas | Uma palavra-passe exposta funciona no webmail, na VPN ou na gestão remota | Palavras-passe únicas, autenticação de dois fatores (módulo 2) |
| Uma falha conhecida num sistema ligado à internet | Um servidor VPN, firewall, NAS ou site desatualizado com uma falha publicamente conhecida | Atualizar rapidamente (lição 5.1), não deixar portas abertas desnecessariamente |
| Gestão remota aberta | Um programa para trabalhar remotamente num computador, acessível a partir de toda a internet | Apenas através de uma ligação segura, com 2FA |
| Um fornecedor | A empresa de informática ou o software de um fornecedor é utilizado de forma abusiva | Acordos e direitos mínimos (módulo 7) |
Depois do primeiro acesso, um atacante espera muitas vezes. Olha à volta, procura contas de administrador e salta de computador para computador. Isto chama-se movimento lateral. Procura sobretudo duas coisas: onde estão os dados importantes e onde estão as cópias de segurança. Só depois de encontrar ambos é que ataca, muitas vezes de noite ou ao fim de semana, quando ninguém dá por isso.
Porque é que uma cópia de segurança ligada não ajuda
Muitas pequenas empresas têm uma cópia de segurança: um disco externo que está sempre ligado ao computador, ou um disco de rede (NAS) para onde é feita uma cópia todas as noites. Isso é melhor do que nada em caso de avaria de um disco rígido. Contra o ransomware, muitas vezes não ajuda.
A razão é simples. O ransomware encripta tudo a que o computador infetado ou a conta comprometida consiga aceder. Se o disco de cópia de segurança estiver ligado ao computador, o ransomware consegue aceder-lhe. Se a cópia de segurança estiver num disco de rede ao qual se inicia sessão com a mesma conta, o ransomware consegue aceder-lhe. Um atacante que tenha observado tranquilamente a situação por vezes até apaga deliberadamente as cópias de segurança antes de encriptar.
O mesmo se aplica à sincronização. Uma pasta sincronizada automaticamente com a cloud também sincroniza a versão encriptada. Por vezes ainda é possível recuar para uma versão mais antiga de um ficheiro, mas isso depende do serviço e do tempo durante o qual guarda versões.
Uma cópia de segurança que sobrevive ao ransomware tem pelo menos uma cópia que o atacante não consegue alcançar nem alterar: um disco guardado à parte numa gaveta, ou uma cópia de segurança junto de uma entidade separada com um início de sessão próprio que não utiliza no seu computador de trabalho, ou um armazenamento que torna tecnicamente impossível alterar ou apagar dados durante algum tempo. No módulo 6 irá configurar isso passo a passo. Uma cópia de segurança que o seu fornecedor de alojamento faz em servidores separados, à parte do seu pacote, já constitui, para o seu site e e-mail, uma cópia à distância. Verifique, no entanto, durante quanto tempo é guardada e quem a pode apagar.
Dupla extorsão
Antigamente, uma boa cópia de segurança era a resposta completa ao ransomware: restaurar e pronto. Os atacantes adaptaram-se. Na dupla extorsão, roubam primeiro uma cópia dos seus dados e só depois encriptam. Assim existem duas ameaças:
- Pague, caso contrário não recupera os seus ficheiros.
- Pague, caso contrário publicamos os seus dados: ficheiros de clientes, orçamentos, dados salariais, caixas de correio.
Uma cópia de segurança ajuda contra a primeira, não contra a segunda. Também o NCSC neerlandês alerta que os atacantes por vezes ameaçam publicar os dados roubados. Além disso, o roubo de dados pessoais constitui, por si só, uma fuga de dados, com obrigação de notificação à Comissão Nacional de Proteção de Dados (CNPD) (lição 8.2), independentemente de pagar ou não.
Por vezes um atacante vai ainda mais longe e contacta diretamente os seus clientes ou parceiros de negócio, comunicando que os seus dados foram obtidos através de si. A pressão deixa de recair apenas sobre si e passa também a afetar a sua reputação.
Pagar ou não?
O conselho das autoridades e da polícia é claro: de preferência, não pague. O No More Ransom, a iniciativa, entre outros, da Europol e da polícia neerlandesa, diz o seguinte: pagar um resgate não oferece quaisquer garantias. Há boas razões para isso:
- Não tem garantia de que receberá uma chave funcional, nem de que a desencriptação será bem-sucedida.
- Não tem garantia de que os dados roubados sejam depois realmente eliminados.
- Confirma que a sua empresa paga, o que a torna apetecível para um próximo ataque.
- Financia os próximos ataques contra outros.
- O caminho de entrada ainda não está fechado. Sem uma investigação, pode voltar a acontecer.
O NCSC neerlandês considera a recuperação a partir de uma cópia de segurança a solução mais fiável. Se isso não for possível, verifique se existe um decryptor: um programa gratuito capaz de desencriptar ficheiros de uma determinada família de ransomware, porque investigadores encontraram uma falha nessa família ou apreenderam chaves. O No More Ransom (https://www.nomoreransom.org) reúne esses decryptors e ajuda a identificar que ransomware tem. Nem para todas as famílias existe uma solução, mas verificar não custa nada.
Em qualquer caso, apresente queixa à polícia, e verifique se tem obrigação de notificação: à CNPD se foram afetados dados pessoais, ao centro nacional de cibersegurança se estiver abrangido pela legislação aplicável (lição 9.1), e por vezes a um cliente, conforme o seu contrato.
O que limita os danos
Pode reduzir a probabilidade de um ataque e limitar os danos caso ele ocorra mesmo assim. Um resumo, com a lição onde pode aprofundar cada ponto:
- Atualizar, sobretudo tudo o que esteja ligado à internet: VPN, router, NAS, site (lição 5.1).
- Autenticação de dois fatores no e-mail, na gestão remota e em todas as contas de administrador (lições 2.3 e 2.4).
- Direitos mínimos: não trabalhar diariamente com uma conta de administrador, e não dar a todos acesso a tudo (lição 7.1).
- Uma cópia de segurança fora de alcance das suas contas habituais, testando regularmente se a restauração funciona (módulo 6).
- Um cartão de incidente para que todos saibam o que fazer: desligar a rede, não desligar o equipamento sem mais, telefonar (lições 8.1 e 8.3).
- Sensibilização: um colega que comunique de imediato ter aberto um anexo estranho dá-lhe horas de vantagem (lição 9.2).
Na prática: um exemplo
Um exemplo, composto a partir de situações frequentes. Uma empresa de instalações com doze colaboradores tinha um servidor VPN para aceder aos ficheiros a partir de casa. O firmware não era atualizado há ano e meio. Através de uma falha conhecida, um atacante entrou, observou a situação durante uma semana e encontrou a conta de administrador do disco de rede. Numa noite de sábado, os computadores, o disco de rede e o disco USB com a cópia de segurança que lhe estava ligado foram encriptados. O que restou: o e-mail e o site, que estavam alojados junto de um fornecedor de alojamento com a sua própria cópia de segurança, e uma cópia antiga da contabilidade num disco que o contabilista tinha em casa. Com isso, a empresa conseguiu voltar a faturar ao fim de alguns dias. Os orçamentos e desenhos dos últimos meses tinham desaparecido.
Uma atualização e um único disco guardado numa gaveta teriam feito a diferença entre alguns dias e alguns meses.
Resumo
- O ransomware encripta ficheiros, sistemas e cópias de segurança e exige um resgate; uma boa encriptação não é quebrável.
- O ransomware entra através de phishing, palavras-passe roubadas, sistemas desatualizados ligados à internet, gestão remota ou um fornecedor; depois, o atacante muitas vezes observa primeiro a situação.
- Uma cópia de segurança ligada ao computador ou acessível com a mesma conta é muitas vezes também encriptada.
- Na dupla extorsão, os dados são primeiro roubados; uma cópia de segurança não ajuda então contra a ameaça de publicação, e trata-se de uma fuga de dados.
- De preferência, não pague; restaure a partir de uma cópia de segurança, procure um decryptor no No More Ransom e apresente queixa.
Questionário
Exercício
Exercício D1.3: E se acontecer esta noite? Verifique, para a sua própria empresa, o que o ransomware poderia encriptar esta noite. Escreva onde estão as suas cópias de segurança, se são acessíveis a partir de um computador de trabalho comum ou com uma conta comum, e que sistemas estão ligados à internet. Depois, responda às perguntas de reflexão.
Exercício D1.3: E se acontecer esta noite?
Como fazer: (1) Faça uma lista de todos os locais onde estão guardados ficheiros importantes: computadores, portáteis, disco de rede, armazenamento na nuvem, e-mail, contabilidade, site. (2) Escreva, para cada local, onde está a cópia de segurança e se essa cópia é acessível a partir de um computador de trabalho comum ou com uma conta que usa diariamente. (3) Verifique que sistemas estão ligados à internet e são acessíveis a partir do exterior (VPN, gestão remota, NAS, router, site) e quando foram atualizados pela última vez. (4) Verifique se existe pelo menos uma cópia que o ransomware não consiga alcançar (à parte numa gaveta, ou junto de uma entidade separada com credenciais próprias). (5) Consulte uma vez https://www.nomoreransom.org para perceber como funciona o site, para saber o que fazer caso seja necessário.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos indicados nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.