#ransomware

Czym jest ransomware

Ransomware to program, który szyfruje pliki i żąda pieniędzy za klucz do ich odszyfrowania. Nazwa łączy okup z oprogramowaniem i dobrze opisuje sytuację: dane zostają na miejscu, tylko przestają być czytelne.

Wyobraź sobie włamywacza, który nie wynosi rzeczy z magazynu. Zamiast tego wymienia zamki we wszystkich drzwiach i zostawia kartkę z numerem telefonu. Towar leży tam, gdzie leżał, a firma nie może go wydać.

Widać to zwykle rano. Pliki na dyskach sieciowych mają zmienione nazwy i obce rozszerzenia, w katalogach leży notatka z żądaniem, a program magazynowy nie startuje, bo jego baza jest już zaszyfrowana.

Czym różni się od awarii

Awaria jest zdarzeniem losowym. Dysk się psuje, zasilanie zanika, ktoś kasuje katalog przez pomyłkę. Nic z tego nie ma zamiaru.

W ataku po drugiej stronie jest człowiek, który zna typowe konfiguracje firm. To zmienia wszystko. Awaria uderza tam, gdzie akurat trafi, a atakujący uderza tam, gdzie najbardziej boli, i robi to w kolejności, która odcina drogę powrotu.

Druga różnica dotyczy czasu. Zepsuty dysk psuje się w jednej chwili, a atak trwa zwykle od kilku dni do kilku tygodni, zanim cokolwiek się zaszyfruje.

Jak przebiega atak

Wejście rzadko wygląda dramatycznie. Najczęściej jest to załącznik otwarty przez kogoś, kto miał obowiązek go otworzyć, hasło do zdalnego pulpitu wystawionego do internetu albo podatność w urządzeniu brzegowym, którego nikt nie aktualizował od dwóch lat.

Potem zaczyna się cisza. Atakujący rozgląda się po sieci, sprawdza, gdzie stoi serwer plików, gdzie księgowość, gdzie repozytorium kopii, i szuka konta z uprawnieniami administratora. W tym czasie nie dzieje się nic, co zwróciłoby uwagę pracowników.

Kolejność jest zawsze podobna: najpierw kopie, potem dane. Szyfrowanie uruchamia się dopiero wtedy, gdy droga powrotna jest zamknięta, i zwykle w nocy z piątku na sobotę albo przed dniem wolnym, żeby zdążyło objąć wszystko, zanim ktokolwiek zauważy.

Wiele grup zabiera dane przed zaszyfrowaniem i grozi ich opublikowaniem. Firma, która odtworzy się z kopii, nadal ma wtedy problem, tylko innego rodzaju.

Dlaczego kopie znikają razem z danymi

To jest część, która zaskakuje najczęściej, i warto ją zrozumieć dokładnie.

Kopia zapasowa zwykle stoi na serwerze podpiętym do tej samej domeny co reszta firmy, bo tak jest wygodnie: te same konta, te same uprawnienia, jedno logowanie. Skradzione konto administratora otwiera więc repozytorium kopii dokładnie tak samo, jak otwiera serwer plików.

To tak, jakby zapasowy klucz do mieszkania leżał w szufladzie w tym samym mieszkaniu. Póki nikt nie wchodzi, wszystko działa. Włamywacz otwiera szufladę razem z resztą.

Dlatego przed ransomware nie ratuje sama obecność kopii. Ratuje kopia, której nie da się skasować ani nadpisać przez zadany czas, trzymana poza domeną: w magazynie z blokadą zapisu, na taśmie wyniesionej z budynku albo na koncie u dostawcy, do którego nie logujemy się z zaatakowanej sieci.

Czego nie załatwia zapłacenie okupu

Zapłata wygląda jak najkrótsza droga i bywa najdroższa.

Klucz odszyfrowujący często działa częściowo, bo narzędzie napisane w pośpiechu gubi część plików. Odtwarzanie trwa wtedy dłużej niż z porządnej kopii, a firma i tak musi sprawdzić, co wróciło całe. Skradzione dane zostają u atakującego niezależnie od przelewu, więc obowiązek zgłoszenia naruszenia nie znika.

Zapłata potwierdza też, że firma płaci, co bywa zapisywane i sprzedawane dalej.

Co naprawdę zmniejsza ryzyko

Najwięcej daje odebranie atakującemu czasu i zasięgu. Dwuskładnikowe logowanie wszędzie, gdzie wchodzi się z internetu, zamyka najczęstszą drogę wejścia. Podział sieci sprawia, że przejęcie jednego komputera nie daje widoku na całą firmę. Aktualizowane urządzenie brzegowe usuwa podatność, której atakujący szukają masowo.

Reszta to praca wykonana wcześniej: kopia niezmienna poza domeną, sprawdzona próbą odtworzenia, a nie samym raportem, że zadanie się wykonało, oraz spisana kolejność, w jakiej systemy mają wstawać.

Kiedy to nie jest właściwa odpowiedź

Kupowanie kolejnego programu ochronnego do firmy, która nie ma kopii poza domeną, jest wydatkiem w złej kolejności. Ochrona zmniejsza szansę na atak, kopia decyduje o tym, ile firma straci, gdy atak się uda.

Podobnie z ubezpieczeniem. Bywa sensowne, ale nie skraca przestoju ani nie odtwarza danych, więc nie zastępuje żadnego z dwóch punktów wyżej.