Modulul 1 · 1.3
Ransomware și șantajul
Modulul 1: De ce sunteți o țintă · Timp de citire: 10 minute
Obiectivul lecției: După această lecție veți putea explica cum pătrunde ransomware-ul, ce este dubla extorcare și ce măsuri limitează pagubele.
Noțiuni cheie: ransomware, criptare, dublă extorcare, acces inițial, mișcare laterală, răscumpărare, decryptor (No More Ransom)
Ce este ransomware-ul
Ransomware este software dăunător care vă face fișierele sau sistemele inutilizabile și apoi cere o răscumpărare. Cuvântul provine din englezescul ransom: răscumpărare. De cele mai multe ori acest lucru se întâmplă prin criptare: software-ul transformă fișierele dumneavoastră în date ilizibile, cu o cheie pe care o deține doar atacatorul. Fișierele rămân vizibile, adesea cu o extensie ciudată atașată, dar nu mai pot fi deschise. Pe ecran sau în fiecare folder apare un mesaj: plătiți în câteva zile, altfel totul dispare.
Criptarea în sine nu are nimic rău în ea. Este aceeași tehnică care vă protejează laptopul în caz de furt (lecția 5.2) și care securizează conexiunea cu un site web. Diferența constă în cine deține cheia. O criptare bună nu poate fi spartă. De aceea, "o decriptăm noi rapid" nu este aproape niciodată o opțiune, decât dacă creatorii ransomware-ului au făcut o greșeală.
Potrivit NCSC-ului neerlandez, ransomware-ul afectează nu doar fișierele, ci și sistemele și copiile de siguranță. Acesta din urmă este aspectul cel mai important al acestei lecții.
Cum pătrunde
Un atac de tip ransomware nu este un moment, ci o succesiune de etape. Totul începe cu accesul inițial: primul pas pe ușă. Cele mai frecvente căi:
| Cale de acces | Cum se desfășoară | Ce o oprește |
|---|---|---|
| Phishing cu atașament sau link | Un angajat deschide o "factură" sau un "aviz de expediție" care pornește software dăunător | Conștientizare (lecția 9.2), actualizări, drepturi limitate |
| Date de autentificare furate | O parolă scursă funcționează la webmail, VPN sau administrarea de la distanță | Parole unice, autentificare în doi pași (modul 2) |
| O vulnerabilitate cunoscută într-un sistem conectat la internet | Un server VPN, firewall, NAS sau site web învechit cu o vulnerabilitate public cunoscută | Actualizare rapidă (lecția 5.1), neexpunerea inutilă |
| Administrare de la distanță expusă public | Un program pentru lucrul de la distanță pe un PC, accesibil de pe întregul internet | Numai printr-o conexiune securizată, cu 2FA |
| Un furnizor | Firma IT sau software-ul unui furnizor este exploatat abuziv | Acorduri și drepturi minime (modul 7) |
După primul acces, un atacator așteaptă adesea. El cercetează mediul, caută conturi de administrator și sare de la un calculator la altul. Aceasta se numește mișcare laterală. El caută în special două lucruri: unde se află datele importante și unde se află copiile de siguranță. Abia după ce le-a găsit pe amândouă lovește, adesea noaptea sau în weekend, când nimeni nu observă.
De ce o copie de siguranță conectată nu ajută
Multe firme mici au o copie de siguranță: un hard disk extern permanent conectat la PC, sau un disc de rețea (NAS) către care se trimite o copie în fiecare noapte. Acest lucru este mai bun decât nimic în cazul unui hard disk defect. Împotriva ransomware-ului, adesea nu ajută.
Motivul este simplu. Ransomware-ul criptează tot ce poate accesa calculatorul infectat sau contul compromis. Dacă discul de backup este conectat la PC, ransomware-ul îl poate accesa. Dacă backup-ul se află pe un disc de rețea la care vă conectați cu același cont, ransomware-ul îl poate accesa. Un atacator care a cercetat atent mediul șterge uneori chiar în mod deliberat copiile de siguranță înainte de a cripta.
Același lucru este valabil pentru sincronizare. Un folder care se sincronizează automat cu cloud-ul sincronizează și versiunea criptată. Uneori mai puteți reveni la o versiune mai veche a unui fișier, dar acest lucru depinde de serviciu și de cât timp păstrează versiunile.
O copie de siguranță care supraviețuiește ransomware-ului are cel puțin o copie pe care atacatorul nu o poate accesa sau modifica: un disc separat păstrat într-un sertar, sau o copie de siguranță la un furnizor separat cu o autentificare proprie pe care nu o folosiți pe calculatorul de lucru, sau o stocare care face modificarea și ștergerea tehnic imposibilă pentru o perioadă. În modulul 6 veți configura acest lucru pas cu pas. O copie de siguranță pe care furnizorul dumneavoastră de găzduire o face pe servere separate, independent de pachetul dumneavoastră, reprezintă deja o copie la distanță pentru site-ul și e-mailul dumneavoastră. Verificați totuși cât timp este păstrată și cine o poate șterge.
Dubla extorcare
În trecut, o copie de siguranță bună era răspunsul complet la ransomware: restaurați și gata. Atacatorii s-au adaptat. În cazul dublei extorcări, aceștia fură mai întâi o copie a datelor dumneavoastră și abia apoi criptează. Astfel există două amenințări:
- Plătiți, altfel nu vă recuperați fișierele.
- Plătiți, altfel vă publicăm datele: fișiere cu clienți, oferte, date salariale, căsuțe de e-mail.
O copie de siguranță ajută împotriva primei amenințări, nu împotriva celei de-a doua. De asemenea, NCSC-ul neerlandez avertizează că atacatorii amenință uneori să publice datele furate. În plus, furtul de date cu caracter personal reprezintă în sine o încălcare a securității datelor, cu obligația de notificare către autoritatea de protecție a datelor (lecția 8.2), indiferent dacă plătiți sau nu.
Uneori un atacator merge și mai departe și contactează direct clienții sau partenerii dumneavoastră de afaceri, informându-i că datele lor au fost obținute de la dumneavoastră. Presiunea nu mai este doar asupra dumneavoastră, ci și asupra reputației dumneavoastră.
Să plătiți sau nu?
Recomandarea autorităților guvernamentale și a poliției este clară: mai bine nu plătiți. No More Ransom, inițiativa Europol și a mai multor autorități, printre care poliția olandeză, afirmă: plata răscumpărării nu oferă nicio garanție. Există motive întemeiate:
- Nu aveți garanția că veți primi o cheie funcțională sau că decriptarea va reuși.
- Nu aveți garanția că datele furate vor fi efectiv șterse ulterior.
- Confirmați că firma dumneavoastră plătește, ceea ce vă face o țintă atractivă pentru un atac viitor.
- Finanțați următoarele atacuri asupra altora.
- Calea de acces nu este încă închisă. Fără o investigație, se poate repeta.
NCSC-ul neerlandez consideră restaurarea dintr-o copie de siguranță cea mai fiabilă soluție. Dacă acest lucru nu reușește, verificați dacă există un decryptor: un program gratuit care poate decripta fișierele unei anumite familii de ransomware, pentru că cercetătorii au găsit o eroare în acea familie sau au confiscat chei. No More Ransom (https://www.nomoreransom.org) adună acești decryptori și vă ajută să stabiliți ce tip de ransomware aveți. Nu există o soluție pentru fiecare familie, dar verificarea nu costă nimic.
Depuneți în orice caz plângere la poliție și verificați dacă aveți o obligație de notificare: către autoritatea de protecție a datelor dacă au fost afectate date cu caracter personal, către autoritatea națională de securitate cibernetică dacă intrați sub incidența transpunerii NIS2 (lecția 9.1), și uneori către un client, conform contractului dumneavoastră.
Ce limitează pagubele
Puteți reduce șansele unui atac și limita pagubele dacă totuși se întâmplă. O prezentare generală, cu lecția unde o puteți învăța:
- Actualizare, în special tot ce este conectat la internet: VPN, router, NAS, site web (lecția 5.1).
- Autentificare în doi pași pentru e-mail, administrare de la distanță și toate conturile de administrator (lecția 2.3 și 2.4).
- Drepturi minime: să nu lucrați zilnic cu un cont de administrator și să nu dați tuturor acces peste tot (lecția 7.1).
- O copie de siguranță în afara razei de acțiune a conturilor dumneavoastră obișnuite, testată regulat pentru a verifica dacă restaurarea funcționează (modul 6).
- O fișă de incident pentru ca toată lumea să știe ce să facă: deconectați rețeaua, nu opriți calculatorul fără motiv, sunați (lecția 8.1 și 8.3).
- Conștientizare: un coleg care raportează imediat că a deschis un atașament ciudat vă oferă ore întregi de avans (lecția 9.2).
În practică: așa arată
Un exemplu, alcătuit din situații care apar frecvent. O firmă de instalații cu doisprezece angajați avea un server VPN pentru a putea accesa fișierele de acasă. Firmware-ul nu mai fusese actualizat de un an și jumătate. Printr-o vulnerabilitate cunoscută, un atacator a pătruns, a cercetat mediul timp de o săptămână și a găsit contul de administrator al discului de rețea. Într-o noapte de sâmbătă, calculatoarele, discul de rețea și discul USB cu copia de siguranță conectată la acesta au fost criptate. Ce a rămas: e-mailul și site-ul web, care erau găzduite la un furnizor de găzduire cu propria copie de siguranță, și o copie veche a contabilității pe un disc pe care contabilul îl avea acasă. Cu aceasta, firma a putut relua facturarea după câteva zile. Ofertele și schițele din ultimele luni au dispărut.
O actualizare și un singur disc separat într-un sertar ar fi făcut diferența între câteva zile și câteva luni.
Rezumat
- Ransomware-ul criptează fișiere, sisteme și copii de siguranță și cere o răscumpărare; o criptare bună nu poate fi spartă.
- Ransomware-ul pătrunde prin phishing, parole furate, sisteme neactualizate conectate la internet, administrare de la distanță sau un furnizor; după aceea atacatorul cercetează adesea mediul mai întâi.
- O copie de siguranță conectată la calculator sau accesibilă cu același cont este adesea criptată odată cu restul.
- În cazul dublei extorcări, datele sunt furate mai întâi; o copie de siguranță nu ajută împotriva amenințării cu publicarea, iar aceasta reprezintă o încălcare a securității datelor.
- Mai bine nu plătiți; restaurați dintr-o copie de siguranță, verificați la No More Ransom dacă există un decryptor și depuneți plângere la poliție.
Test
Exercițiu
Exercițiu D1.3: Ce se întâmplă dacă se produce la noapte? Verificați pentru propria firmă ce ar putea cripta ransomware-ul la noapte. Notați unde se află copiile dumneavoastră de siguranță, dacă sunt accesibile de pe un calculator de lucru obișnuit sau cu un cont obișnuit, și ce sisteme sunt conectate la internet. Răspundeți apoi la întrebările de reflecție.
Exercițiul D1.3: Ce se întâmplă dacă se produce la noapte?
Iată cum procedați: (1) Întocmiți o listă cu toate locurile unde se află fișierele importante: calculatoare, laptopuri, unitate de rețea, stocare în cloud, e-mail, contabilitate, site web. (2) Notați pentru fiecare locație unde se află copia de siguranță și dacă această copie de siguranță este accesibilă de pe un calculator de lucru obișnuit sau cu un cont pe care îl folosiți zilnic. (3) Verificați ce sisteme sunt conectate la internet și accesibile din exterior (VPN, administrare la distanță, NAS, router, site web) și când au fost actualizate ultima dată. (4) Verificați dacă există cel puțin o copie pe care ransomware-ul nu o poate atinge (separată, sau la un furnizor distinct cu propria autentificare). (5) Vizitați o dată https://www.nomoreransom.org pentru a vedea cum funcționează site-ul, ca să știți ce să faceți dacă este nevoie.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lecturi suplimentare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.
- WebOké Backups: vizualizarea, restaurarea sau descărcarea unei copii de rezervă
- Manual DirectAdmin 16.1: Ce tipuri de backupuri există la WebOké
- NCSC-ul neerlandez, Ce este ransomware-ul: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/ro/index.html