Ransomware

Τι είναι το Ransomware;

Κυκλοφορούν πολλά είδη κακόβουλου λογισμικού – ένα από αυτά είναι το ransomware. Το Ransomware είναι ένα κακόβουλο λογισμικό που κρυπτογραφεί όλα τα αρχεία στους σταθμούς εργασίας (υπολογιστές) και τους διακομιστές σας. Χωρίς πρόσβαση στα αρχεία σας, η επιχείρησή σας είναι χαμένη υπόθεση.

Για να ανακτήσετε την πρόσβαση, πρέπει να πληρώσετε λύτρα για να αποκτήσετε το ψηφιακό κλειδί της αποκρυπτογράφησης. Είναι μια καταστροφική κυβερνοεπίθεση που μπορεί να απειλήσει τη βιωσιμότητα της επιχείρησής σας.

Πώς Μολύνει τα Συστήματά σας το Ransomware

Το Ransomware μπορεί να αποκτήσει πρόσβαση στον υπολογιστή σας χρησιμοποιώντας μία από τις πολλές τεχνικές πρόσβασης που υπάρχουν.

• Παράνομη λήψη μουσικής και ταινιών. Συχνά οι λήψεις εμπεριέχουν κακόβουλο λογισμικό.
• Μηνύματα ηλεκτρονικού ψαρέματος (phishing emails). Εmails που εξαπατούν και προσπαθούν να δελεάσουν το θύμα να επισκεφτεί έναν παράτυπο ιστότοπο ή να ανοίξει ένα κακόβουλο, μολυσμένο συνημμένο.
• Εκμετάλλευση περιμετρικών αδυναμιών. Για παράδειγμα, το πρωτόκολλο απομακρυσμένης επιφάνειας εργασίας (Remote Desktop Protocol (RDP)) είναι μια τεχνολογία που επιτρέπει στο προσωπικό να έχει πρόσβαση στις εγκαταστάσεις IT του γραφείου όταν βρίσκεται είτε στο σπίτι είτε στο δρόμο. Διάφορα τρωτά σημεία στην εφαρμογή του RDP έχουν ανακαλυφθεί στο παρελθόν. Αυτά τα τρωτά σημεία έχουν αξιοποιηθεί και έχουν χρησιμοποιηθεί επίσης για τη διάδοση ransomware.

Το Μέγεθος του Προβλήματος

Η εκμετάλλευση των τρωτών σημείων του RDP είναι μία από τις τεχνικές που χρησιμοποιεί το NotPetya ransomware. Το NotPetya είναι ίσως το πιο επιβλαβές παράδειγμα ransomware παγκοσμίως σήμερα. Το 2017 ακρωτηρίασε εταιρείες σε όλο τον κόσμο, από μικρές και μεσαίες επιχειρήσεις έως τεράστιες πολυεθνικές.

Η A. P. Moeller-Maersk είναι ο μεγαλύτερος χειριστής πλοίων μεταφοράς εμπορευματοκιβωτίων και πλοίων εφοδιασμού στον κόσμο. Στο πεδίο δράσης της περιλαμβάνονται και δραστηριότητές όπως η διαχείριση εφοδιαστικής αλυσίδας, η εκμετάλλευση λιμένων και η γεώτρηση πετρελαίου. Όμως, στις 27 Ιουνίου 2017, σε διάστημα περίπου τεσσάρων ωρών, έχασε την επιχειρησιακή της ικανότητα σε 130 χώρες. Η Maersk δεν πλήρωσε τα λύτρα. Είχε τα αποθέματα για να μπορέσει να αποκτήσει νέους φορητούς υπολογιστές, υπολογιστές, διακομιστές και συστήματα τηλεφωνίας βασισμένα σε IP και να ανακατασκευάσει τα συστήματά της.

Το τελικό τίμημα ξεπέρασε τα 300 εκατομμύρια λίρες.

Η Norsk Hydro έχασε σχεδόν όλη την ικανότητα κατασκευής αλουμινίου λόγω μόλυνσης από το ransomware LockerGogo. Επίσης, αρνήθηκε να πληρώσει τα λύτρα και κατέληξε να πληρώσει έναν λογαριασμό που ξεπέρασε τα 40 εκατομμύρια δολάρια. Ο ισπανικός γίγαντας τροφίμων Mondelez χτυπήθηκε επίσης από το NotPetya το 2017 και υπέστη ζημιές και απώλειες 100 εκατομμυρίων δολαρίων.

Αξίζει να αναφερθεί ότι η ασφάλιση στον κυβερνοχώρο έχει σχεδιαστεί για να καλύπτει το κόστος αντιμετώπισης ενός περιστατικού ασφαλείας, όπως η χρήση ειδικών ομάδων διαχείρισης τέτοιων περιστατικών, η αντικατάσταση υλικού, ο καθαρισμός των παραβιασμένων συστημάτων, ο χειρισμός των μέσων και η λειτουργία ανοιχτών γραμμών για τα επηρεαζόμενα υποκείμενα δεδομένων. Συνήθως η τέτοια ασφάλιση δεν καλύπτει ζημιές από απώλεια συναλλαγών.

Και όπως συνέβη με τη Mondelez, εάν το περιστατικό χαρακτηριστεί ως «κυβερνοπόλεμος», οι ασφαλιστές μπορούν να χρησιμοποιήσουν την εξαίρεση του συμβολαίου για «πράξη πολέμου» και να μην πληρώσουν απολύτως τίποτα. Το Ηνωμένο Βασίλειο, οι ΗΠΑ, η Αυστραλία και ο Καναδάς εξέτασαν τον πηγαίο κώδικα του NotPetya και τον απέδωσαν στην Κύρια Διεύθυνση του Γενικού Επιτελείου των Ενόπλων Δυνάμεων της Ρωσικής Ομοσπονδίας (the Main Directorate of the General Staff of the Armed Forces of the Russian Federation (the GU)), τη στρατιωτική υπηρεσία πληροφοριών της Ρωσικής Ομοσπονδίας .

Αυτά είναι τα μεγαλύτερα θύματα που αξίζει να αναφερθούν. Υπάρχουν ανείπωτοι αριθμοί μικρών και μεσαίων επιχειρήσεων, μικρών οργανισμών και εταιρικών οντοτήτων που επηρεάστηκαν από το NotPetya. Και αυτό είναι μόνο ένα είδος ransomware.

Το KeRanger ransomware ήταν το πρώτο που εμφανίστηκε και ήταν ειδικά σχεδιασμένο για να επιτίθεται σε υπολογιστές Mac. Κυκλοφόρησε το 2016. Οι κινητές συσκευές και τα κινητά τηλέφωνα κινδυνεύουν επίσης. Το ransomware σας κλειδώνει εντελώς έξω από τη συσκευή και δεν θα σας αφήσει να επιστρέψετε μέχρι να πληρώσετε τα λύτρα.

Οι περισσότερες μολύνσεις κινητών τηλεφώνων είναι αποτέλεσμα εγκατάστασης κακόβουλων εφαρμογών.

Τι Κάνει το Ransomware;

Όλα τα ransomware προκαλούν (ή μιμούνται) ένα πρόβλημα και απαιτούν πληρωμή για να το εξαφανίσουν. Όπως συμβαίνει με όλα τα κακόβουλα προγράμματα, υπάρχουν διάφορα επίπεδα πολυπλοκότητας που εμφανίζονται σε αυτήν την κατηγορία κακόβουλου λογισμικού.

Ποια Είδη Ransomware Υπάρχουν;

Scareware

Με το scareware, εμφανίζεται ένα μήνυμα που δηλώνει ότι έχετε κάποιο πρόβλημα με τον υπολογιστή σας ή ότι έχει μολυνθεί ή χάκερς έχουν εισβάλει στον υπολογιστή σας. Σας ενημερώνουν ότι προκειμένου να διορθώσετε το πρόβλημα, πρέπει να πληρώσετε λύτρα και ότι εάν το κάνετε αυτό, ο υπολογιστής θα απολυμανθεί και οι χάκερς θα σας αφήσουν ήσυχους. Μερικές φορές αυτά τα μηνύματα μεταμφιέζονται ως πακέτα υποστήριξης IT ή τεχνολογίας, ή ακόμα και υποστήριξη της ίδιας της Microsoft.

Τα αρχεία σας δεν επηρεάζονται από αυτόν τον τύπο επίθεσης. Εάν ο υπολογιστής μπορεί να απολυμανθεί και να αφαιρεθεί το αναδυόμενο μήνυμα, θα επιστρέψει στην κανονική του λειτουργία.

Screen Lockers

Αυτός ο τύπος επίθεσης δημιουργεί ένα παράθυρο πλήρους οθόνης που δεν μπορείτε να παρακάμψετε και δεν μπορείτε να κλείσετε. Το μήνυμα που εμφανίζει είναι μια παραλλαγή ορισμένων κοινών θεμάτων.

• Έχετε χτυπηθεί από ransomware, πληρώστε τα λύτρα. Απλούστατο.
• Το FBI ή άλλη υπηρεσία επιβολής του νόμου έχει εντοπίσει παράνομες λήψεις, πειρατικό λογισμικό, εγκληματική πορνογραφία κ.λ.π. στον υπολογιστή σας. Πληρώστε το πρόστιμο για να επαναφέρετε το μηχάνημά σας σε κατάσταση λειτουργίας. Φυσικά, εάν κάποιο από αυτά ήταν αλήθεια, θα ακολουθούσε η δέουσα διαδικασία και θα χτυπούσε την πόρτα σας κάποιο όργανο επιβολής της τάξης – όχι ένα μήνυμα στον φορητό υπολογιστή σας.

Ransomware Κρυπτογράφησης (Encryption Ransomware)

Αυτά τα Ransomware είναι η πραγματική απειλή. Αυτά πραγματικά κρυπτογραφούν τα αρχεία σας. Συχνά βρίσκονται στο δίκτυό σας για εβδομάδες πριν ενεργοποιηθούν για να διασφαλίσουν ότι έχουν μολύνει όσο το δυνατόν περισσότερους υπολογιστές. Περιμένουν έως ότου κάποιο από το προσωπικό επισκεφθεί τα κεντρικά γραφεία, ώστε να μολυνθούν και οι φορητοί υπολογιστές τους. Περιμένοντας έτσι, το ransomware θα έχει περάσει και στα αντίγραφα ασφαλείας σας.

Εάν αποφασίσετε να δημιουργήσετε ξανά τα συστήματά σας αντί να πληρώσετε τα λύτρα, μαζί με τα δεδομένα σας θα αποκαταστήσετε και τη μόλυνση. Σε λίγες εβδομάδες το ransomware θα ενεργοποιηθεί ξανά.

Μια κοινή τεχνική ελέγχου είναι το ransomware να συλλέγει πληροφορίες και να τις στέλνει πίσω σε διακομιστές εντολών και ελέγχου. Σε αυτούς τους διακομιστές βρίσκεται η νοημοσύνη. Το ίδιο το ransomware είναι αρκετά ανόητο. Δίνει αναφορά πίσω στη βάση, λαμβάνει νέες οδηγίες από το αυτοματοποιημένο λογισμικό του διακομιστή και ενεργεί σύμφωνα με αυτές τις οδηγίες. Αυτός ο κύκλος επαναλαμβάνεται.

Ωστόσο, υπήρξαν μερικές περιπτώσεις όπου η απομακρυσμένη νοημοσύνη δεν ήταν ένας διακομιστής εντολών και ελέγχου, αλλά κάποιος άνθρωπος. Καθοδηγώντας το κακόβουλο λογισμικό σαν ένα απομακρυσμένο drone, ο παράγοντας απειλής φροντίζει σε διάστημα εβδομάδων να μολυνθεί όλη η υποδομή IT, τα τοπικά αντίγραφα ασφαλείας και τα off site αντίγραφα ασφαλείας προτού ενεργοποιήσει την κρυπτογράφηση.

Ποιοι είναι οι Κοινοί Στόχοι του Ransomware;

Ορισμένες επιθέσεις είναι στοχευμένες και άλλες είναι τυχαίες μολύνσεις από μηνύματα ηλεκτρονικού ψαρέματος που αποστέλλονται σε εκατομμύρια διευθύνσεις ηλεκτρονικού ταχυδρομείου για να μολύνουν όσο το δυνατόν περισσότερα θύματα.

• Οι επιθέσεις του 2019 στις βασικές υπηρεσίες πόλεων όπως η Βαλτιμόρη, το MD, η Riviera Beach, η Φλόριντα, το Wilmer, το Τέξας και το New Bedford, μελετήθηκαν, σχεδιάστηκαν και είχαν στόχο να είναι όσο το δυνατόν πιο αποτελεσματικές.
• Τα νοσοκομεία στοχοποιούνται συχνά επειδή, με τις ζωές που βρίσκονται σε κίνδυνο, τα συστήματα πρέπει να αποκατασταθούν όσο το δυνατόν γρηγορότερα. Τα λύτρα πληρώνονται συχνά από τα νοσοκομεία.
• Ένας άλλος τομέας που στοχεύεται συνήθως είναι ο χρηματοπιστωτικός τομέας, απλώς και μόνο επειδή έχει τα οικονομικά κεφάλαια για να αντέξει τεράστια λύτρα.

Ωστόσο, οι περισσότερες επιθέσεις πλήττουν θύματα που οι παράγοντες της απειλής δεν γνωρίζουν καν ότι υπάρχουν – μέχρι να ενεργοποιηθεί το ransomware.

Πώς να Προστατευτείτε από τα Ransomware

Αυτά τα βήματα αποτελούν βέλτιστες πρακτικές για την ασφάλεια στον κυβερνοχώρο και θα πρέπει να υιοθετούνται και να ακολουθούνται ως κανόνας.

• Διατηρήστε όλα τα λειτουργικά συστήματα των σταθμών εργασίας (υπολογιστών), των φορητών υπολογιστών και των διακομιστών σας υγιή και ενημερωμένα. Αυτό μειώνει τον αριθμό των τρωτών σημείων που διαθέτουν τα συστήματά σας. Όσο λιγότερα τρωτά σημεία έχετε, τόσο λιγότερο πιθανό είναι να σας εκμεταλλευτούν.
• Μην χρησιμοποιείτε τα προνόμια διαχείρισης για οτιδήποτε άλλο εκτός από την ίδια τη διαχείριση. Επίσης μην παραχωρείτε τα προνόμια διαχείρισης σε άλλα προγράμματα και διαδικασίες.
• Εγκαταστήστε κεντρικά διαχειριζόμενη προστασία τελικού σημείου, η οποία μπορεί να περιλαμβάνει λογισμικό προστασίας από ιούς και λειτουργίες κατά του κακόβουλου λογισμικού, και διατηρήστε την ενημερωμένη. Βεβαιωθείτε ότι οι χρήστες δεν μπορούν να αρνηθούν ή να αναβάλουν τις ενημερώσεις υπογραφής.
• Δημιουργήστε συχνά αντίγραφα ασφαλείας σε διαφορετικά μέσα, συμπεριλαμβανομένων των off-site αντιγράφων ασφαλείας. Αυτό δεν θα αποτρέψει τη μόλυνση, αλλά θα βοηθήσει στην αποκατάσταση. Ελέγχετε τακτικά τα αντίγραφα ασφαλείας σας.
• Δημιουργήστε ένα σχέδιο ανάκαμψης από καταστροφές, αποκτήστε ανώτερα στελέχη που είναι αφοσιωμένα σε ένα κοινό στόχο και εφαρμόστε ό,τι μπορείτε για να αυξήσετε την ικανότητα της επιχείρησής σας να λειτουργεί εάν χτυπηθεί από επίθεση.
• Δημιουργήστε μια πολιτική διαχείρισης περιστατικών στον κυβερνοχώρο και δοκιμάστε την.
• Παρέχετε εκπαίδευση στο προσωπικό σας σχετικά με τους κινδύνους στον κυβερνοχώρο. Αν βρουν ένα άγνωστο memory stick στο πάρκινγκ της εταιρείας το μεσημέρι, θα ξέρουν αμέσως μετά το μεσημεριανό γεύμα να μην το συνδέσουν σε έναν από τους υπολογιστές σας; Θα ξέρουν επίσης να μην ανοίγουν συνημμένα που προέρχονται από ανεπιθύμητα emails; Εργάζονται με επιμελή και προσεκτικό τρόπο; Και τέλος, καλλιεργείτε εσείς μια κουλτούρα στην επιχείρησής σας με γνώμονα την ασφάλεια;

Πρέπει να Πληρώσετε τα Λύτρα;

Οι περισσότερες αρχές επιβολής του νόμου και κυβερνητικές υπηρεσίες που εμπλέκονται στην ασφάλεια στον κυβερνοχώρο σας συμβουλεύουν να μην πληρώσετε τα λύτρα και σας προτρέπουν να αναφέρετε την επίθεση. Με την πληρωμή των λύτρων οι παράγοντες της απειλής ενθαρρύνονται να συνεχίσουν τις επιθέσεις τους. Εάν κανείς δεν τους πληρώσει, λέει η θεωρία, το ransomware θα είναι άσκοπο και θα εξαφανιστεί.

Είναι μια εξαιρετικά δύσκολη απόφαση να προσπαθείτε να σταθμίσετε το κόστος των λύτρων έναντι του κόστους που σχετίζεται με τη μη πληρωμή των λύτρων ειδικά κατά την ένταση της στιγμής. Καθώς το κάνετε πρέπει να λάβετε υπόψη σας το συνολικό κόστος της απαλλαγής από το ransomware ή από την άλλη της αντικατάστασης του εξοπλισμού, της ανακατασκευής και της αποκατάστασης των συστημάτων της επιχείρησής σας αλλά και της απώλειας των εσόδων που δημιουργείται κατά το χρονικό αυτό διάστημα.

Λίγοι οργανισμοί έχουν την οικονομική ευχέρεια να αντιμετωπίσουν μια επίθεση με τον τρόπο που το έκανε η Maersk.

Μερικές φορές είναι ο φόβος –και το κόστος– της ζημιάς στη φήμη που οδηγεί τις εταιρείες να πληρώσουν τα λύτρα. Επιθυμούν να προστατεύσουν τη υπόληψη τους στα μάτια των πελατών τους, αλλά και της ευρύτερης αγοράς αποδίδοντας τη σύντομη παύση της λειτουργίας τους σε ορισμένα τεχνικά ζητήματα.

Αξίζει να σημειωθεί ότι υπάρχουν περιπτώσεις όπου καταβλήθηκαν τα λύτρα, αλλά χρειάστηκε ακόμη και ένας μήνας για να παραδοθεί το κλειδί αποκωδικοποίησης στο θύμα. Σε αυτήν την περίπτωση δεν υπάρχει εφικτός τρόπος να κρατήσετε κάτι τέτοιο κρυφό.

Είναι δύσκολο να οριστεί ένας συγκεκριμένος αριθμός, αλλά οι εκτιμήσεις δείχνουν ότι το 65 τοις εκατό των επιθέσεων ransomware δεν αναφέρονται και τα λύτρα καταβάλλονται. Έχουν υπάρξει λύτρα άνω των 5 εκατομμυρίων δολαρίων, αλλά σχεδόν σε όλες τις περιπτώσεις, στο τέλος πληρώθηκαν πολύ λιγότερα.

Αυτό τα καθιστά προσιτά στις περισσότερες μικρές και μεσαίες επιχειρήσεις και φθηνότερα από το κόστος που σχετίζεται με τη μη πληρωμή των λύτρων.

Ορισμένα ransomware έχουν ακόμη και γεωγραφική γνώση και προσαρμόζουν την τιμή τους ανάλογα με την οικονομία της χώρας του θύματος.

Και το μεγάλο ερώτημα είναι, παίρνετε πίσω τα δεδομένα σας όταν πληρώσετε τα λύτρα;

Οι εκτιμήσεις λένε ότι στο 65 με 70 τοις εκατό των περιπτώσεων, τα δεδομένα αποκρυπτογραφούνται με επιτυχία. Μερικές φορές τα κλειδιά αποκρυπτογράφησης δεν έχουν καν γραφτεί – οι παράγοντες απειλής παίρνουν τα χρήματα και εξαφανίζονται. Στην τελική πρόκειται για εγκληματίες. Αλλά αυτού του είδους το ransomware έχει μικρή διάρκεια ζωής.

Μόλις κυκλοφορήσει η είδηση ​​ότι δεν πρόκειται να λάβετε πίσω τα δεδομένα σας, κανείς δεν πρόκειται να πληρώσει τα λύτρα. Επομένως, είναι οικονομικώς λογικό για τους παράγοντες της απειλής να αποκρυπτογραφούν τα αρχεία του θύματος όποτε μπορούν.

Μερικές φορές τα κλειδιά αποκρυπτογράφησης απλά δεν λειτουργούν. Όλο το λογισμικό είναι επιρρεπές σε σφάλματα. Οι εγκληματίες αφιερώνουν περισσότερο χρόνο στην ανάπτυξη της μόλυνσης, αναπαραγωγής της και της ίδιας της κρυπτογράφησης παρά στην αποκρυπτογράφηση. Σε κάποιες περιπτώσεις μπορεί να είχαν στόχο να κάνουν τα κλειδιά να δουλέψουν, αλλά σε κάποιες άλλες δεν ήταν αυτός ο στόχος τους.

Είναι εύκολο να προβάλει κανείς τι είναι ηθικό να κάνεις σε μια τέτοια περίπτωση και να υποστηρίξει τη μη καταβολή των λύτρων, άλλα όταν βρίσκεσαι τη μέση ενός τέτοιού περιστατικού που θα μπορούσε να καταστρέψει την επιχείρησή σου, είναι δύσκολο να μην δελεαστείς από την «εύκολη» διέξοδο της αποπληρωμής.

Όπως λέει και η παροιμία, δεν είμαι γιατρός, αλλά ξέρω ότι η πρόληψη είναι καλύτερη από τη θεραπεία.