Ransomware i wymuszenia

Moduł 1: Dlaczego Państwa firma jest celem · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, w jaki sposób ransomware dostaje się do systemu, czym jest podwójne wymuszenie i jakie działania ograniczają straty.
Kluczowe pojęcia: ransomware, szyfrowanie, podwójne wymuszenie, dostęp wstępny, ruch boczny, okup, dekryptor (No More Ransom)

Czym jest ransomware

Ransomware to szkodliwe oprogramowanie, które uniemożliwia korzystanie z plików lub systemów, a następnie żąda okupu. Słowo pochodzi z angielskiego ransom: okup. Zwykle odbywa się to za pomocą szyfrowania: oprogramowanie zamienia pliki w nieczytelne dane, do których klucz ma tylko atakujący. Pliki nadal widać, często z dziwnym rozszerzeniem na końcu nazwy, ale nie da się ich już otworzyć. Na ekranie lub w każdym folderze pojawia się wiadomość: proszę zapłacić w ciągu kilku dni, inaczej wszystko przepadnie.

Samo szyfrowanie nie jest niczym złym. To ta sama technika, która chroni laptop w razie kradzieży (lekcja 5.2) i zabezpiecza połączenie ze stroną internetową. Różnica polega na tym, kto posiada klucz. Dobre szyfrowanie jest nie do złamania. Dlatego stwierdzenie "jakoś to odszyfrujemy" niemal nigdy nie jest opcją, chyba że twórcy ransomware popełnili błąd.

Jak podaje holenderskie NCSC, ransomware atakuje nie tylko pliki, ale także systemy i kopie zapasowe. To ostatnie jest najważniejszym punktem tej lekcji.

Jak dochodzi do infekcji

Atak ransomware to nie pojedyncza chwila, lecz ciąg etapów. Zaczyna się od dostępu wstępnego: pierwszego punktu zaczepienia. Najczęstsze drogi to:

Po uzyskaniu pierwszego dostępu atakujący często czeka. Rozgląda się, szuka kont administratorów i przeskakuje z komputera na komputer. Nazywa się to ruchem bocznym. Szuka przede wszystkim dwóch rzeczy: gdzie znajdują się ważne dane i gdzie są kopie zapasowe. Dopiero gdy znajdzie jedno i drugie, uderza, często nocą lub w weekend, gdy nikt tego nie zauważa.

Dlaczego podłączona kopia zapasowa nie pomaga

Wiele małych firm ma kopię zapasową: zewnętrzny dysk podłączony na stałe do komputera albo dysk sieciowy (NAS), na który co noc trafia kopia. To lepsze niż nic w przypadku uszkodzenia dysku twardego. Przeciwko ransomware często jednak nie pomaga.

Powód jest prosty. Ransomware szyfruje wszystko, do czego ma dostęp zainfekowany komputer lub przejęte konto. Jeśli dysk z kopią zapasową jest podłączony do komputera, ransomware ma do niego dostęp. Jeśli kopia zapasowa znajduje się na dysku sieciowym, do którego loguje się tym samym kontem, ransomware również ma do niej dostęp. Atakujący, który spokojnie się rozejrzał, czasem celowo usuwa kopie zapasowe jeszcze przed zaszyfrowaniem danych.

To samo dotyczy synchronizacji. Folder, który automatycznie synchronizuje się z chmurą, synchronizuje również zaszyfrowaną wersję. Czasem można jeszcze wrócić do starszej wersji pliku, ale zależy to od usługi i tego, jak długo przechowuje ona wersje.

Kopia zapasowa, która przetrwa atak ransomware, ma przynajmniej jedną kopię, do której atakujący nie ma dostępu lub której nie może zmienić: dysk leżący osobno w szufladzie, kopię zapasową u odrębnego dostawcy z własnym logowaniem, którego nie używa się na komputerze roboczym, albo przechowywanie danych, które przez pewien czas technicznie uniemożliwia zmianę lub usunięcie. W module 6 krok po kroku zorganizują to Państwo u siebie. Kopia zapasowa, którą dostawca hostingu tworzy na osobnych serwerach, niezależnie od pakietu, stanowi już dla strony internetowej i poczty kopię przechowywaną zdalnie. Warto jednak sprawdzić, jak długo jest przechowywana i kto może ją usunąć.

Podwójne wymuszenie

Dawniej dobra kopia zapasowa była pełną odpowiedzią na ransomware: wystarczyło przywrócić dane i sprawa była zamknięta. Atakujący się dostosowali. Przy podwójnym wymuszeniu najpierw kradną kopię danych, a dopiero potem je szyfrują. Powstają wtedy dwie groźby:

1. Proszę zapłacić, inaczej nie odzyskają Państwo plików.
2. Proszę zapłacić, inaczej opublikujemy Państwa dane: bazy klientów, oferty, dane płacowe, skrzynki pocztowe.

Kopia zapasowa pomaga przy pierwszym zagrożeniu, ale nie przy drugim. Również holenderskie NCSC ostrzega, że atakujący czasem grożą publikacją skradzionych danych. Dodatkowo kradzież danych osobowych sama w sobie stanowi naruszenie ochrony danych, z obowiązkiem zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych (UODO) (lekcja 8.2), niezależnie od tego, czy okup zostanie zapłacony.

Czasem atakujący idzie jeszcze dalej i bezpośrednio kontaktuje się z Państwa klientami lub partnerami biznesowymi, informując, że ich dane zostały przejęte od Państwa. Presja nie dotyczy wtedy tylko Państwa, ale także reputacji firmy.

Płacić czy nie?

Zalecenie instytucji państwowych i policji jest jednoznaczne: lepiej nie płacić. No More Ransom, inicjatywa między innymi Europolu i holenderskiej policji, ujmuje to tak: zapłacenie okupu nie daje żadnych gwarancji. Istnieją ku temu dobre powody:

• Nie ma gwarancji, że otrzymają Państwo działający klucz ani że odszyfrowanie się powiedzie.
• Nie ma gwarancji, że skradzione dane zostaną rzeczywiście usunięte.
• Potwierdzają Państwo, że firma płaci, co czyni ją atrakcyjnym celem kolejnego ataku.
• Finansują Państwo kolejne ataki na inne osoby.
• Droga, którą atakujący się dostał, nadal jest otwarta. Bez zbadania sprawy może się to powtórzyć.

Holenderskie NCSC wskazuje odtworzenie danych z kopii zapasowej jako najbardziej wiarygodne rozwiązanie. Jeśli to się nie uda, warto sprawdzić, czy istnieje dekryptor: darmowy program, który potrafi odszyfrować pliki zaszyfrowane przez określoną rodzinę ransomware, ponieważ badacze znaleźli błąd w tej rodzinie lub przejęli klucze. No More Ransom (https://www.nomoreransom.org) gromadzi takie dekryptory i pomaga ustalić, z jakim rodzajem ransomware mają Państwo do czynienia. Nie dla każdej rodziny istnieje rozwiązanie, ale sprawdzenie nic nie kosztuje.

W każdym przypadku należy złożyć zawiadomienie na Policji oraz sprawdzić, czy ciąży na Państwu obowiązek zgłoszenia: do UODO, jeśli naruszone zostały dane osobowe, do właściwego organu, jeśli podlegają Państwo pod ustawę o krajowym systemie cyberbezpieczeństwa (KSC) (lekcja 9.1), a czasem także do zleceniodawcy zgodnie z umową.

Co ogranicza straty

Można zmniejszyć ryzyko ataku i ograniczyć straty, jeśli jednak do niego dojdzie. Zestawienie, z lekcją, w której można się tego nauczyć:

1. Aktualizacje, przede wszystkim wszystkiego, co jest podłączone do internetu: VPN, router, NAS, strona internetowa (lekcja 5.1).
2. Uwierzytelnianie dwuskładnikowe na poczcie, zdalnym zarządzaniu i wszystkich kontach administratorów (lekcja 2.3 i 2.4).
3. Minimalne uprawnienia: niekorzystanie na co dzień z konta administratora i nieudzielanie wszystkim dostępu do wszystkiego (lekcja 7.1).
4. Kopia zapasowa poza zasięgiem zwykłych kont oraz regularne testowanie, czy przywracanie danych działa (moduł 6).
5. Karta postępowania w razie incydentu, aby każdy wiedział, co robić: odłączyć sieć, nie wyłączać komputera bez zastanowienia, zadzwonić (lekcja 8.1 i 8.3).
6. Świadomość zagrożeń: współpracownik, który od razu zgłosi, że otworzył podejrzany załącznik, daje Państwu kilka godzin przewagi (lekcja 9.2).

W praktyce: tak to wygląda

Przykład, zebrany z sytuacji, które często się zdarzają. Firma instalacyjna zatrudniająca dwunastu pracowników posiadała serwer VPN umożliwiający dostęp do plików z domu. Oprogramowanie sprzętowe (firmware) nie było aktualizowane od półtora roku. Przez znaną lukę atakujący dostał się do systemu, przez tydzień rozglądał się po sieci i znalazł konto administratora dysku sieciowego. W sobotnią noc zaszyfrowane zostały komputery, dysk sieciowy oraz podłączony do niego dysk USB z kopią zapasową. To, co pozostało: poczta i strona internetowa, które znajdowały się u dostawcy hostingu z własną kopią zapasową, oraz stara kopia księgowości na dysku, który księgowy trzymał w domu. Dzięki temu firma po kilku dniach mogła znów wystawiać faktury. Oferty i rysunki z ostatnich miesięcy przepadły.

Aktualizacja i jeden odłączony dysk w szufladzie stanowiłyby różnicę między kilkoma dniami a kilkoma miesiącami.

Podsumowanie

• Ransomware szyfruje pliki, systemy i kopie zapasowe oraz żąda okupu; dobrego szyfrowania nie da się złamać.
• Ransomware dostaje się do systemu przez phishing, skradzione hasła, niezaktualizowane systemy podłączone do internetu, zdalne zarządzanie lub dostawcę; następnie atakujący często najpierw się rozgląda.
• Kopia zapasowa podłączona do komputera lub dostępna przez to samo konto często zostaje zaszyfrowana razem z resztą danych.
• Przy podwójnym wymuszeniu dane są najpierw kradzione; kopia zapasowa nie pomaga wtedy przeciwko groźbie publikacji, a sama kradzież stanowi naruszenie ochrony danych.
• Lepiej nie płacić; proszę odtworzyć dane z kopii zapasowej, sprawdzić na stronie No More Ransom dostępność dekryptora i złożyć zawiadomienie na Policji.

Quiz

Zadanie

Zadanie D1.3: Co, jeśli stanie się to dziś w nocy? Proszę przeanalizować dla własnej firmy, co ransomware mogłoby zaszyfrować dziś w nocy. Proszę zapisać, gdzie znajdują się kopie zapasowe, czy są dostępne ze zwykłego komputera roboczego lub przy użyciu zwykłego konta, oraz jakie systemy są podłączone do internetu. Następnie proszę odpowiedzieć na pytania do refleksji.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Kopie zapasowe WebOké: przeglądanie, przywracanie lub pobieranie kopii zapasowej
• Instrukcja DirectAdmin 16.1: Jakie kopie zapasowe są dostępne w WebOké
• Holenderskie NCSC, Czym jest ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware
• No More Ransom: https://www.nomoreransom.org/pl/index.html