7 sposobów na ataki ransomware. Poradnik przedsiębiorcy

Przeczytaj także: Ransomware celuje w handel detaliczny

Z doniesień Cybersecurity Ventures wynika, że w tym roku szkody wyrządzone przez oprogramowanie ransomware sięgną około 20 miliardów dolarów, co stanowi 57-krotny wzrost w porównaniu z 2015 r.

Co więcej, do 2031 r. koszt incydentów z oprogramowaniem ransomware może nawet przekroczyć trudną do uwierzenia kwotę 265 miliardów dolarów. Zdaniem ekspertów zagrożenie dotyczy praktycznie każdej firmy czy organizacji.

Liczba ataków ransomware rośnie z prostego powodu – pozwalają na sowity zarobek. Gotowość do zapłaty tworzy niebezpieczną pętlę, zwiększając motywację atakujących. Ponadto coraz powszechniejsze staje się ubezpieczenie od ryzyka cybernetycznego, więc firmy nie wahają się sprostać wymaganiom cyberprzestępców, co dodatkowo zaostrza problem.

Wzrost ataków związany jest również z dostępnością zagrożeń. Wiele grup hakerów oferuje oprogramowanie ransomware jako usługę, którą każdy może wynająć. Nie rzadko zawiera ona pełną infrastrukturę, negocjacje z ofiarami lub przygotowanie witryny dla wyłudzeń, na której można opublikować skradzione informacje. Okup jest następnie dzielony między „partnerów”.

Jednak atak ransomware często nie zaczyna się od szyfrowania, a od „prostej” wiadomości phishingowej, będącej pierwszym ogniwie w łańcuchu zdarzeń. Na przykład w atakach ransomware Ryuk do infiltracji sieci wykorzystywano szkodliwe oprogramowanie Emotet, następnie infekowano sieć Trickbotem, a dopiero na końcu oprogramowanie ransomware szyfrowało dane.

Jak firmy mogą dowiedzieć się, że padły ofiarą ataku ransomware? Jeśli atak nie zostanie rozpoznany na czas, organizacja z pewnością otrzyma wiadomość z żądaniem okupu i jednocześnie nie będzie mogła uzyskać dostępu do własnych danych.

Jednocześnie cyberprzestępcy stale udoskonalają swoje techniki, aby zwiększyć presję dla spełnienia żądań okupu. Pierwotnie oprogramowanie ransomware „tylko” szyfrowało dane i żądało okupu za ich odblokowanie. Atakujący dodali jednak drugą fazę, wykradając cenne informacje przed ich zaszyfrowaniem, grożąc, że upublicznią je, jeśli okup nie zostanie zapłacony.

Około 40% wszystkich nowych rodzin oprogramowania ransomware, oprócz szyfrowania, w jakiś sposób wykorzystuje kradzież danych. Ponadto ostatnio eksperci zaobserwowały ataki trójfazowe, w których partnerzy lub klienci zaatakowanych firm również są wykorzystywani w celu szybszego uzyskania okupu, to nowa technika zwana potrójnym wymuszeniem.

Jak zatem zaatakowane przedsiębiorstwo powinno zareagować? Zespół reagowania na incydenty firmy Check Point Software, który zajmował się niezliczonymi przypadkami oprogramowania ransomware na całym świecie, zaleca wykorzystanie następujących kroków w przypadku ataku ransomware:

1) Zachowaj zimną krew

Jeśli Twoja organizacja padnie ofiarą ataku ransomware, nie panikuj. Natychmiast skontaktuj się ze swoim zespołem ds. bezpieczeństwa i zrób zdjęcie żądania okupu w celu przeprowadzenia dochodzenia przez odpowiednie służby.

2) Odizoluj zagrożone systemy

Natychmiast odłącz zainfekowane systemy od reszty sieci, aby zapobiec dalszym uszkodzeniom. Jednocześnie zidentyfikuj źródło infekcji. Atak ransomware zwykle zaczyna się od innego zagrożenia, a hakerzy mogli być w systemie przez długi czas, stopniowo zacierając ślady, więc wykrycie „pacjenta zero” może nie być czymś, z czym większość firm poradziłoby sobie bez pomocy z zewnątrz.

3) Uważaj na kopie zapasowe

Atakujący wiedzą, że organizacje będą próbowały odzyskać swoje dane z kopii zapasowych, aby uniknąć płacenia okupu. Dlatego jedną z faz ataku jest często próba zlokalizowania i zaszyfrowania lub usunięcia kopii zapasowych. Ważne, aby jednocześnie nie podłączać urządzeń zewnętrznych do zainfekowanych urządzeń. Odzyskiwanie zaszyfrowanych danych może spowodować ich uszkodzenie, na przykład z powodu wadliwego klucza. Stopniowo opracowywane są również narzędzia deszyfrujące, które mogą pomóc w złamaniu nieznanego wcześniej kodu. Jeśli masz kopie zapasowe, które nie zostały zaszyfrowane, sprawdź integralność danych przed pełnym ich przywróceniem!

4) Brak restartów i konserwacji systemu

Wyłącz automatyczne aktualizacje i inne zadania konserwacyjne na zainfekowanych systemach. Usunięcie plików tymczasowych lub wprowadzenie innych zmian może niepotrzebnie skomplikować dochodzenie i działania naprawcze. Jednocześnie nie uruchamiaj ponownie systemów, ponieważ niektóre „zagrożenia” mogą rozpocząć usuwanie plików.

5) Współpracuj

W walce z cyberprzestępczością, a w szczególności z oprogramowaniem ransomware, kluczowa jest współpraca. Skontaktuj się więc z organami ścigania i krajowymi organami ds. cyberbezpieczeństwa i nie wahaj się skontaktować z dedykowanym zespołem reagowania na incydenty renomowanej firmy zajmującej się cyberbezpieczeństwem. Poinformuj pracowników o incydencie, w tym instrukcje postępowania w przypadku podejrzanego zachowania.

6) Zidentyfikuj rodzaj oprogramowania ransomware

Jeśli wiadomość od atakujących nie określa bezpośrednio, jaki to rodzaj oprogramowania ransomware, możesz skorzystać z jednego z bezpłatnych narzędzi i odwiedzić witrynę No More Ransom Project, gdzie znajdziesz również narzędzie do deszyfrowania dla danego oprogramowania ransomware.

7) Płacić czy nie płacić?

Jeśli atak ransomware się powiedzie, organizacja stanie przed wyborem, czy zapłacić okup, czy nie. Tak czy inaczej, firmy muszą wrócić do początku i dowiedzieć się, dlaczego doszło do incydentu. Niezależnie od tego, czy zawiodły czynniki ludzkie, czy technologia, ponownie należy przeprowadzić wszystkie procesy i przemyśleć całą strategię, aby mieć pewność, że podobny incydent nigdy się nie powtórzy. Podjęcie tego kroku jest konieczne niezależnie od tego, czy organizacja zapłaci okup, czy nie. Nigdy nie można się pocieszyć, że w jakiś sposób doszło do odzyskania danych i uznać incydent za rozwiązany.

Więc płacić czy nie płacić? Odpowiedź nie jest tak prosta, jak się wydaje. Podczas gdy kwoty okupu sięgają czasami setek tysięcy lub milionów dolarów, awarie krytycznych systemów często przekraczają te kwoty. Jednak przedsiębiorstwa muszą pamiętać, że nawet zapłacenie okupu nie oznacza, że dane, a nawet ich część, zostaną faktycznie odszyfrowane. Znane są nawet przypadki, w których atakujący mają błędy w kodach, przez co organizacja nie może odzyskać danych, nawet gdyby tego chcieli.

Nie spiesz się z podjęciem decyzji i dokładnie rozważ wszystkie opcje. Zapłacenie okupu powinno być jednak ostatecznością.