Ransomware i programy szyfrujące

Ransomware to malware, które blokuje dostęp do danych lub systemów i żąda zapłaty — zazwyczaj w kryptowalucie — za ich przywrócenie. Cechą definiującą jest ekstorsja: własne dane ofiary stają się narzędziem nacisku przeciwko niej. Współczesne operacje ransomware są zaawansowanymi przedsięwzięciami przestępczymi, które co roku generują miliardy dolarów. Atak na Colonial Pipeline w 2021 roku zakłócił dostawy paliwa na wschodnim wybrzeżu USA, a atak na Universal Health Services w 2020 roku dotknął 400 szpitali. Ransomware należy obecnie do najpoważniejszych zagrożeń, z jakimi mierzą się organizacje, łącząc zaawansowanie techniczne ze znaczącym wpływem na działalność biznesową.

Ataki ransomware przebiegają według przewidywalnej sekwencji. Początkowy dostęp: wiadomość phishingowa, atak brute-force na RDP lub wykorzystanie luki w zabezpieczeniach publicznie dostępnej usługi. Utrwalanie: instalacja backdoora i wyłączenie narzędzi bezpieczeństwa. Przemieszczanie boczne: rozprzestrzenianie się w sieci w celu zmaksymalizowania zasięgu infekcji i przejęcia systemów kopii zapasowych. Eksfiltracja danych: kradzież poufnych danych przed ich zaszyfrowaniem (podwójna ekstorsja). Szyfrowanie: jednoczesne szyfrowanie plików we wszystkich dostępnych systemach. Żądanie okupu: pozostawienie notatki z żądaniem okupu, instrukcjami płatności i groźbą opublikowania skradzionych danych w przypadku braku zapłaty. Zrozumienie każdej fazy ujawnia możliwości obrony na każdym etapie.

CryptoLocker (2013) zapoczątkował nowoczesne ransomware, łącząc szyfrowanie kluczem publicznym RSA-2048 z płatnością w Bitcoinach, co uniemożliwiało odszyfrowanie bez klucza prywatnego posiadanego przez atakującego. Był rozpowszechniany za pośrednictwem załączników wiadomości phishingowych i rozprzestrzeniał się na zamapowane dyski sieciowe. CryptoLocker został zakłócony w 2014 roku, ale zainspirował całą generację następców: WannaCry (2017) rozprzestrzeniał się jak robak, NotPetya (2017) podszywał się pod ransomware, lecz był destrukcyjnym programem czyszczącym dane, którego celem była Ukraina, Ryuk (2018–2020) atakował przedsiębiorstwa za pomocą ataków ręcznie prowadzonych przez operatorów, a REvil (2020–2021) zapoczątkował model RaaS z podwójną ekstorsją.

Ransomware jako usługa (RaaS) to przestępczy model biznesowy, w którym twórcy ransomware wynajmują swoje narzędzia i infrastrukturę afiliantom przeprowadzającym faktyczne ataki. Afiliant zatrzymuje 70–80% okupu, a twórca otrzymuje pozostałą część. Znacznie obniżyło to barierę techniczną wejścia w ataki ransomware, umożliwiając mniej doświadczonym przestępcom wdrażanie zaawansowanego ransomware. Do znanych operacji RaaS należą REvil, LockBit, BlackCat/ALPHV i Conti. Zakłócenie działalności operatorów przez organy ścigania często prowadzi do powstawania odłamów, które zmieniają nazwę i kontynuują działalność, dzięki czemu RaaS jest odporny na likwidację.

Pojedyncze wymuszenie polega na zaszyfrowaniu plików i żądaniu zapłaty za klucz deszyfrujący. Podwójne wymuszenie (zapoczątkowane przez grupę Maze w 2019 roku) obejmuje również wykradzenie danych przed ich zaszyfrowaniem oraz grożenie opublikowaniem ich w serwisie z wyciekami, jeśli okup nie zostanie zapłacony — jest to skuteczne nawet wobec ofiar dysponujących dobrymi kopiami zapasowymi. Potrójne wymuszenie dodaje trzeci element nacisku: równoczesny atak DDoS na infrastrukturę ofiary, uniemożliwiający jej działanie podczas negocjacji. Niektóre grupy kontaktują się również z klientami, partnerami i organami regulacyjnymi ofiary, aby zwiększyć presję. Takie wielopoziomowe metody nacisku sprawiają, że samo odzyskiwanie danych z kopii zapasowych nie wystarcza jako strategia reagowania na ransomware.

Zaawansowani operatorzy ransomware celowo atakują infrastrukturę kopii zapasowych przed rozpoczęciem szyfrowania, wiedząc, że dobre kopie zapasowe są ich główną przeszkodą. Stosowane taktyki obejmują: usuwanie funkcji Windows Volume Shadow Copies (vssadmin delete shadows), usuwanie baz danych oprogramowania do tworzenia kopii zapasowych, uszkadzanie agentów kopii zapasowych oraz uzyskiwanie dostępu do sieciowych serwerów kopii zapasowych za pomocą przejętych danych uwierzytelniających. Dlatego niezmienne kopie zapasowe — kopie, których nie można modyfikować ani usuwać, nawet przez uwierzytelnionego administratora, przez określony czas przechowywania — są niezbędne. Niezmienne magazyny obiektowe (AWS S3 Object Lock, Azure Immutable Blob) oraz kopie taśmowe przechowywane offline są bardzo skuteczne.

Reguła kopii zapasowych 3-2-1 to podstawowa strategia zwiększania odporności na ransomware: należy utrzymywać 3 kopie danych (produkcyjną i 2 kopie zapasowe), na 2 różnych rodzajach nośników (np. dysku i taśmie), przy czym 1 kopia powinna być przechowywana poza główną lokalizacją (w innym miejscu geograficznym niż systemy podstawowe). Wariant reguły 3-2-1 wzmocniony pod kątem ransomware dodaje czwarty element: co najmniej jedna kopia musi być offline lub niezmienna. Kopie zapasowe dostępne z sieci produkcyjnej są narażone na zaszyfrowanie. Wymóg przechowywania kopii poza główną lokalizacją lub offline gwarantuje, że nawet całkowite przejęcie środowiska podstawowego pozostawi jedną czystą kopię dostępną do odzyskiwania danych.

Decyzja o zapłacie okupu wiąże się ze złożonymi kwestiami. Zapłata nie gwarantuje odszyfrowania danych (niektóre grupy ransomware znikają po otrzymaniu pieniędzy), może finansować organizacje przestępcze lub podmioty objęte sankcjami (OFAC w USA zabrania płatności na rzecz podmiotów objętych sankcjami), a także sygnalizuje, że ofiara płaci — co może sprawić, że ponownie stanie się celem. Organizacje bez użytecznych kopii zapasowych mogą jednak ponieść zasadnicze ryzyko dla działalności z powodu długotrwałych przerw w działaniu. FBI zasadniczo zaleca niepłacenie, ale przyznaje, że firmy znajdują się w trudnej sytuacji. Przed rozważeniem jakiejkolwiek płatności należy skonsultować się z radcą prawnym, organami ścigania (FBI udostępnia materiały dla ofiar) oraz specjalistami ds. cyberbezpieczeństwa, aby przeanalizować wszystkie alternatywy.

Oprócz kopii zapasowych do technicznych mechanizmów ochrony przed ransomware należą: EDR z wykrywaniem ransomware, który monitoruje masowe operacje szyfrowania plików i może automatycznie odizolować zagrożone punkty końcowe; pliki honeypot umieszczane w udziałach plikowych, które natychmiast generują alert po uzyskaniu do nich dostępu (ransomware zaszyfruje je razem z prawdziwymi plikami); kontrolowany dostęp do folderów (funkcja Windows Defender), który uniemożliwia nieautoryzowanym aplikacjom zapisywanie danych w chronionych folderach; oraz zezwalanie na uruchamianie aplikacji, które blokuje wykonywanie nieznanych procesów (znacznie ograniczając możliwość uruchomienia ransomware). Należy wyłączyć makra, zablokować dostęp RDP z internetu oraz wymusić MFA dla całego zdalnego dostępu.

W przypadku ataku ransomware dostępne opcje odzyskiwania danych bez płacenia obejmują: przywrócenie danych ze sprawdzonych, czystych kopii zapasowych (najbardziej niezawodna metoda), sprawdzenie, czy w serwisie NoMoreRansom.org dostępne jest narzędzie deszyfrujące (organy ścigania i dostawcy zabezpieczeń udostępniają narzędzia deszyfrujące dla niektórych rodzin ransomware po przejęciu ich infrastruktury), odzyskanie plików z funkcji Volume Shadow Copies, jeśli ransomware ich nie usunęło, a także wykorzystanie faktu, że w przypadku niektórych implementacji szyfrowania badacze zidentyfikowali słabości w generowaniu liczb losowych, dzięki którym deszyfrowanie jest możliwe. Przed podjęciem jakiejkolwiek próby odzyskiwania danych należy zawsze utworzyć migawkę lub obraz zagrożonych systemów — dane zachowane w tej chwili mogą być możliwe do odzyskania w przyszłości, nawet jeśli nie da się ich odzyskać natychmiast.

Organizacje muszą mieć plan reagowania na incydenty związane konkretnie z ransomware jeszcze przed wystąpieniem ataku. Plan powinien obejmować: dane kontaktowe dotyczące eskalacji (dział prawny, kierownictwo, ubezpieczyciel cybernetyczny, osoba kontaktowa ds. organów ścigania), drzewa decyzyjne dotyczące powstrzymywania ataku lub kontynuowania działania, wcześniej uzgodnione relacje z firmami negocjującymi z operatorami ransomware, jeśli jest to istotne, procedury odzyskiwania danych z kopii zapasowych wraz z szacowanymi wartościami RTO, szablony komunikatów dla klientów, partnerów i organów regulacyjnych oraz wskazówki prawne dotyczące przepisów regulujących płacenie okupu. Plan należy testować podczas ćwiczeń typu tabletop. Personel powinien znać plan; odkrywanie go dopiero podczas ataku oznacza stratę cennych minut w już chaotycznej sytuacji.

Sprawdź swoją znajomość zagadnień z CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że współczesny ransomware działa zgodnie z łańcuchem ataku — od uzyskania początkowego dostępu, przez ruch boczny, aż po szyfrowanie — co stwarza możliwości obrony na każdym etapie; niezmienne i offline kopie zapasowe zgodne z regułą 3-2-1 są najbardziej niezawodnym mechanizmem odzyskiwania danych, ponieważ ransomware celowo atakuje systemy kopii zapasowych dostępne online; a podwójne wymuszenie obejmuje kradzież danych przed ich zaszyfrowaniem, co oznacza, że same kopie zapasowe nie chronią już organizacji w pełni przed wszystkimi skutkami ransomware. W następnej części omówimy rootkity, spyware i keyloggery.