Программы-вымогатели и криптоблокировщики

Ransomware — это вредоносная программа, которая блокирует доступ к данным или системам и требует оплату — обычно в криптовалюте — за их восстановление. Определяющая характеристика — вымогательство: собственные данные жертвы превращаются в средство давления на неё. Современные операции Ransomware представляют собой сложные преступные предприятия, ежегодно приносящие миллиарды долларов. Атака на Colonial Pipeline в 2021 году нарушила поставки топлива на всём восточном побережье US; атака на Universal Health Services в 2020 году затронула 400 больниц. Ransomware относится к числу наиболее серьёзных угроз для организаций, сочетая техническую сложность со значительным влиянием на бизнес.

Атаки Ransomware следуют предсказуемой последовательности. Initial доступ: фишинговое письмо, перебор паролей через RDP или эксплуатация уязвимости в общедоступной системе. Persistence: установка Backdoor и отключение средств безопасности. Боковое перемещение: распространение по сети для максимального расширения области заражения и компрометации систем резервного копирования. Exfiltration данных: кража конфиденциальных данных перед шифрованием (двойное вымогательство). Encryption: одновременное шифрование файлов во всех доступных системах. Требование выкупа: оставление записки с инструкциями по оплате и угрозой опубликовать украденные данные в случае неуплаты. Понимание каждого этапа позволяет найти возможности для защиты на каждом шаге.

CryptoLocker (2013) положил начало современному Ransomware, объединив шифрование открытым ключом RSA-2048 с оплатой в Bitcoin, что сделало расшифровку невозможной без закрытого ключа, находившегося у Attacker. Он распространялся через фишинговые вложения email и копировал себя на подключённые сетевые диски. CryptoLocker был ликвидирован в 2014 году, но вдохновил целое поколение преемников: WannaCry (2017) распространялся как червь, NotPetya (2017) выдавал себя за Ransomware, но был разрушительным стирателем данных, нацеленным на Украину, Ryuk (2018–2020) атаковал предприятия вручную под управлением операторов, а REvil (2020–2021) стал первопроходцем модели двойного вымогательства RaaS.

Ransomware as a Service (RaaS) — это преступная бизнес-модель, при которой разработчики Ransomware сдают свои инструменты и инфраструктуру в аренду партнёрам, проводящим непосредственные атаки. Партнёр оставляет себе 70–80% выкупа, а разработчик получает остальное. Это значительно снизило технический порог для атак Ransomware и позволило менее квалифицированным преступникам разворачивать сложные вредоносные программы. К известным операциям RaaS относятся REvil, LockBit, BlackCat/ALPHV и Conti. Пресечение деятельности операторов правоохранительными органами часто приводит к появлению расколовшихся групп, меняющих название и продолжающих работу, благодаря чему RaaS устойчив к ликвидации.

Одиночное вымогательство шифрует файлы и требует оплату за ключ расшифровки. Двойное вымогательство (впервые применённое группировкой Maze в 2019 году) также похищает данные до шифрования и угрожает опубликовать их на сайте утечек, если выкуп не будет уплачен, — этот метод эффективен даже против жертв с надёжными резервными копиями. Тройное вымогательство добавляет третье давление: одновременную DDoS-атаку на инфраструктуру жертвы, чтобы помешать ей работать во время переговоров. Некоторые группировки также связываются с клиентами, партнёрами и регулирующими органами жертвы, чтобы усилить давление. Поэтому одних резервных копий недостаточно для стратегии реагирования на атаки вымогателей, использующих несколько способов давления.

Изощрённые операторы Ransomware целенаправленно атакуют инфраструктуру резервного копирования до запуска шифрования, понимая, что качественные резервные копии являются их главным препятствием. Тактика включает удаление Windows Volume Shadow Copies (vssadmin delete shadows), удаление баз данных программ резервного копирования, повреждение агентов резервного копирования и доступ к сетевым серверам резервного копирования с помощью скомпрометированных учётных данных. Поэтому неизменяемые резервные копии — копии, которые нельзя изменить или удалить даже аутентифицированному администратору в течение установленного срока хранения, — имеют критическое значение. Неизменяемое объектное хранилище (AWS S3 Object Lock, Azure Immutable Blob) и резервные копии на лентах, хранящиеся в автономном режиме, чрезвычайно эффективны.

Правило резервного копирования 3-2-1 — основополагающая стратегия обеспечения устойчивости к Ransomware: поддерживайте 3 копии данных (рабочие данные + 2 резервные копии), используя 2 разных типа носителей (например, диск и ленту), при этом 1 копия должна храниться за пределами основной площадки (географически отдельно от основных систем). Вариант правила, усиленный против Ransomware, добавляет четвёртый элемент: как минимум одна копия должна быть автономной или неизменяемой. Резервные копии, доступные из рабочей сети, уязвимы для шифрования. Требование хранить копию за пределами основной площадки или в автономном режиме гарантирует, что даже при полной компрометации основной среды одна чистая копия останется доступной для восстановления.

Решение заплатить выкуп связано со сложными обстоятельствами. Оплата не гарантирует расшифровку (некоторые группировки Ransomware исчезают после получения денег), может финансировать преступные организации или группировки, включённые в санкционные списки (OFAC в US запрещает платежи подсанкционным организациям), а также показывает, что жертва готова платить, потенциально превращая её в повторную цель. Однако организации без пригодных для использования резервных копий могут столкнуться с экзистенциальной угрозой для бизнеса из-за длительного простоя. FBI обычно рекомендует не платить, но признаёт сложность положения, в котором оказываются компании. Прежде чем рассматривать оплату, проконсультируйтесь с юристами, правоохранительными органами (FBI предоставляет ресурсы для жертв) и специалистами по кибербезопасности, чтобы изучить все альтернативы.

Помимо резервных копий, специализированные технические средства защиты от Ransomware включают: EDR с обнаружением Ransomware, отслеживающий массовые операции шифрования файлов и способный автоматически изолировать затронутые конечные точки; файлы-приманки, размещённые в общих файловых ресурсах и немедленно подающие сигнал при обращении к ним (Ransomware зашифрует их вместе с настоящими файлами); контролируемый доступ к папкам (функция Windows Defender), не позволяющий неавторизованным приложениям записывать данные в защищённые папки; и разрешение запуска только одобренных приложений, блокирующее выполнение неизвестных процессов и значительно ограничивающее способность Ransomware запускаться. Отключите макросы, заблокируйте доступ к RDP из интернета и включите MFA для всего удалённого доступа.

Если происходит атака Ransomware, восстановление без оплаты может включать: восстановление из проверенных чистых резервных копий (самый надёжный путь), проверку наличия инструмента расшифровки на NoMoreRansom.org (правоохранительные органы и поставщики средств защиты выпускают инструменты расшифровки для некоторых семейств Ransomware после захвата их инфраструктуры), восстановление файлов из Volume Shadow Copies, если Ransomware не удалил их, а также использование уязвимостей в генерации случайных чисел, выявленных исследователями в некоторых реализациях шифрования и позволяющих выполнить расшифровку. Перед любой попыткой восстановления обязательно создайте снимок или образ затронутых систем: сохранённые сейчас данные могут стать пригодными для восстановления позже, даже если это невозможно сделать немедленно.

Организации должны подготовить план реагирования на инциденты Ransomware до начала атаки. План должен включать: контакты для эскалации (юристы, руководство, страховщик киберрисков, представитель для связи с правоохранительными органами), деревья решений для сдерживания атаки или продолжения работы, заранее согласованные отношения с компаниями, ведущими переговоры с вымогателями, если это необходимо, процедуры восстановления из резервных копий с расчётными значениями RTO, шаблоны сообщений для клиентов, партнёров и регулирующих органов, а также юридические рекомендации по законодательству об оплате выкупа. План необходимо проверять с помощью штабных учений. Сотрудники должны знать этот план: поиск нужной информации во время атаки добавит критически важные минуты к уже хаотичной ситуации.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что современный Ransomware проходит цепочку атаки от первоначального доступа через горизонтальное перемещение к шифрованию, создавая возможности для защиты на каждом этапе; неизменяемые и автономные резервные копии, созданные по правилу 3-2-1, являются самым надёжным механизмом восстановления, поскольку Ransomware целенаправленно атакует онлайн-системы резервного копирования; а двойное вымогательство добавляет кражу данных до шифрования, поэтому одни резервные копии больше не защищают организации от всех последствий атак Ransomware. Далее мы рассмотрим руткиты, Spyware и кейлоггеры.