Ransomware och krypteringsskadlig kod

Ransomware är skadlig programvara som nekar åtkomst till data eller system och kräver betalning – vanligtvis i kryptovaluta – för att återställa åtkomsten. Det utmärkande kännetecknet är utpressning: offrets egna data används som ett påtryckningsmedel mot det. Moderna ransomware-operationer är sofistikerade kriminella verksamheter som genererar miljarder dollar årligen. Attacken mot Colonial Pipeline 2021 störde bränsleförsörjningen längs USA:s östkust, och attacken mot Universal Health Services 2020 påverkade 400 sjukhus. Ransomware hör till de allvarligaste hoten som organisationer står inför i dag och kombinerar teknisk sofistikering med betydande verksamhetspåverkan.

Ransomware-attacker följer en förutsägbar sekvens. Initial åtkomst: nätfiskemeddelande, brute force mot RDP eller exploatering av en sårbarhet som är exponerad mot internet. Persistens: installera en bakdörr och inaktivera säkerhetsverktyg. Förflyttning i sidled: sprid sig genom nätverket för att maximera infektionens omfattning och kompromettera säkerhetskopieringssystem. Dataexfiltrering: stjäl känsliga data före kryptering (dubbel utpressning). Kryptering: kryptera filer på alla åtkomliga system samtidigt. Lösensummekrav: lämna ett lösensummemeddelande med betalningsinstruktioner och hot om att publicera stulna data om betalning uteblir. Genom att förstå varje fas blir det möjligt att identifiera skyddsåtgärder i varje steg.

CryptoLocker (2013) banade väg för modernt ransomware genom att kombinera RSA-2048-kryptering med offentlig nyckel och betalning i Bitcoin, vilket gjorde dekryptering omöjlig utan den privata nyckel som angriparen hade. Det distribuerades via nätfiskemeddelanden med bilagor och spreds till mappade nätverksenheter. CryptoLocker slogs ut 2014 men inspirerade en generation efterföljare: WannaCry (2017) spreds som en mask, NotPetya (2017) utgav sig för att vara ransomware men var en destruktiv wiper som riktade sig mot Ukraina, Ryuk (2018–2020) riktade sig mot företag genom manuellt styrda attacker och REvil (2020–2021) banade väg för RaaS-modellen med dubbel utpressning.

Ransomware som tjänst (RaaS) är en kriminell affärsmodell där utvecklare av ransomware hyr ut sina verktyg och sin infrastruktur till partners som genomför själva attackerna. Partnern behåller 70–80 % av lösensumman och utvecklaren behåller resten. Detta sänkte den tekniska tröskeln för ransomware-attacker drastiskt och gjorde det möjligt för mindre kunniga kriminella att distribuera sofistikerat ransomware. Exempel på välkända RaaS-verksamheter är REvil, LockBit, BlackCat/ALPHV och Conti. När brottsbekämpande myndigheter stör operatörernas verksamhet leder det ofta till att utbrytargrupper byter varumärke och fortsätter verksamheten, vilket gör RaaS motståndskraftigt mot nedstängningar.

Enkel utpressning krypterar filer och kräver betalning för dekrypteringsnyckeln. Dubbel utpressning (utvecklades först av Maze 2019) innebär dessutom att data förs ut innan krypteringen och att angriparna hotar att publicera den på en läckagesajt om lösensumman inte betalas — vilket är effektivt även mot offer med välfungerande säkerhetskopior. Trippel utpressning lägger till en tredje påtryckning: en DDoS-attack mot offrets infrastruktur genomförs samtidigt för att hindra verksamheten medan förhandlingarna pågår. Vissa grupper kontaktar även offrets kunder, partner och tillsynsmyndigheter för att öka pressen. Dessa metoder med flera samtidiga påtryckningar gör att återställning från säkerhetskopior ensam inte räcker som strategi för att hantera ransomware.

Sofistikerade ransomware-operatörer angriper specifikt säkerhetskopieringsinfrastrukturen innan de utlöser krypteringen, eftersom de vet att välfungerande säkerhetskopior är deras främsta hinder. Taktikerna omfattar bland annat att ta bort Windows Volume Shadow Copies (vssadmin delete shadows), radera databaser i säkerhetskopieringsprogram, korrumpera säkerhetskopieringsagenter och få åtkomst till nätverksanslutna säkerhetskopieringsservrar via komprometterade autentiseringsuppgifter. Därför är oföränderliga säkerhetskopior — säkerhetskopior som inte kan ändras eller raderas, inte ens av en autentiserad administratör, under en fastställd lagringsperiod — avgörande. Oföränderlig objektlagring (AWS S3 Object Lock, Azure Immutable Blob) och bandbaserade säkerhetskopior som lagras offline är mycket effektiva.

Regeln om säkerhetskopiering 3-2-1 är den grundläggande strategin för motståndskraft mot ransomware: behåll 3 kopior av data (produktionsdata + 2 säkerhetskopior), på 2 olika medietyper (till exempel disk och band), och ha 1 kopia lagrad på annan plats (geografiskt åtskild från de primära systemen). En variant anpassad för ransomware lägger till ett fjärde element: minst en kopia måste vara offline eller oföränderlig. Säkerhetskopior som är åtkomliga från produktionsnätverket är sårbara för kryptering. Kravet på lagring på annan plats eller offline säkerställer att även en fullständig kompromettering av den primära miljön lämnar en ren kopia tillgänglig för återställning.

Beslutet att betala en lösensumma innebär komplexa överväganden. En betalning garanterar inte dekryptering (vissa ransomware-grupper försvinner efter betalningen), kan finansiera kriminella verksamheter eller grupper som finns på sanktionslistor (OFAC i USA förbjuder betalningar till sanktionerade aktörer) och signalerar att offret kommer att betala — vilket potentiellt gör organisationen till ett återkommande mål. Organisationer utan fungerande säkerhetskopior kan dock utsättas för existentiella affärsrisker på grund av långvariga driftstopp. FBI rekommenderar generellt att inte betala, men erkänner den svåra situation som företag ställs inför. Innan någon betalning övervägs bör Ni rådfråga juridiska ombud, brottsbekämpande myndigheter (FBI har resurser för offer) och cybersäkerhetsspecialister för att undersöka alla alternativ.

Utöver säkerhetskopior omfattar tekniska skydd specifika för ransomware bland annat: EDR med ransomware-detektering som övervakar masskryptering av filer och automatiskt kan isolera berörda slutpunkter; honeypot-filer som placeras på filservrar och omedelbart larmar om de används (ransomware krypterar dem tillsammans med riktiga filer); kontrollerad mappåtkomst (en funktion i Windows Defender) som hindrar obehöriga program från att skriva till skyddade mappar; samt tillåtelselistor för program som blockerar körning av okända processer (vilket kraftigt begränsar möjligheten för ransomware att köras). Inaktivera makron, blockera RDP-exponering mot internet och tvinga fram MFA för all fjärråtkomst.

När ransomware slår till omfattar återställningsalternativen utan betalning bland annat att återställa från verifierat rena säkerhetskopior (den mest tillförlitliga vägen), kontrollera om det finns ett dekrypteringsverktyg på NoMoreRansom.org (brottsbekämpande myndigheter och säkerhetsleverantörer publicerar dekrypteringsverktyg för vissa ransomware-familjer efter att deras infrastruktur har beslagtagits), återställa filer från Volume Shadow Copies om ransomware inte har raderat dem samt att forskare för vissa krypteringsimplementationer har identifierat svagheter i genereringen av slumptal som gör dekryptering möjlig. Skapa alltid en ögonblicksbild eller avbildning av berörda system innan Ni försöker återställa dem — data som bevaras nu kan gå att återställa senare även om det inte är möjligt omedelbart.

Organisationer måste ha en incidenthanteringsplan specifik för ransomware innan en attack inträffar. Planen bör omfatta: eskaleringskontakter (juridik, ledning, cyberförsäkringsgivare och kontaktperson för brottsbekämpande myndigheter), beslutsträd för begränsning kontra fortsatt drift, förhandlade relationer med företag som förhandlar om ransomware-angrepp där det är relevant, procedurer för återställning från säkerhetskopior med uppskattade RTO-värden, kommunikationsmallar för kunder, partner och tillsynsmyndigheter samt juridisk vägledning om lagstiftningen kring betalning av lösensummor. Planen måste testas genom skrivbordsövningar. Personalen bör känna till planen; att upptäcka den under en attack lägger till kritiska minuter i en redan kaotisk situation.

I den här lektionen har Ni lärt er att modernt ransomware följer en attackkedja från initial åtkomst via lateral förflyttning till kryptering, vilket ger möjligheter till försvar i varje fas, att oföränderliga säkerhetskopior och offline-säkerhetskopior enligt regeln 3-2-1 är den mest tillförlitliga återställningsmekanismen eftersom ransomware specifikt angriper säkerhetskopieringssystem online, samt att dubbel utpressning innebär datastöld före krypteringen, vilket betyder att säkerhetskopior inte längre ensamma skyddar organisationer fullt ut mot alla konsekvenser av ransomware. Nästa gång går vi igenom rootkits, spyware och keyloggers.