Ενότητα 1 · 1.3
Ransomware και εκβιασμός
Ενότητα 1: Γιατί είστε στόχος · Χρόνος ανάγνωσης: 10 λεπτά
Στόχος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε πώς εισέρχεται το ransomware, τι είναι ο διπλός εκβιασμός και ποια μέτρα περιορίζουν τη ζημιά.
Βασικές έννοιες: ransomware, κρυπτογράφηση, διπλός εκβιασμός, αρχική πρόσβαση, πλευρική μετακίνηση, λύτρα, decryptor (No More Ransom)
Τι είναι το ransomware
Το ransomware είναι κακόβουλο λογισμικό που καθιστά τα αρχεία ή τα συστήματά σας μη χρησιμοποιήσιμα και στη συνέχεια απαιτεί λύτρα. Η λέξη προέρχεται από το αγγλικό ransom: λύτρα. Συνήθως αυτό γίνεται με κρυπτογράφηση: το λογισμικό μετατρέπει τα αρχεία σας σε μη αναγνώσιμα δεδομένα, με ένα κλειδί που έχει μόνο ο επιτιθέμενος. Βλέπετε τα αρχεία να υπάρχουν ακόμα, συχνά με μια περίεργη κατάληξη, αλλά δεν μπορείτε πλέον να τα ανοίξετε. Στην οθόνη ή σε κάθε φάκελο εμφανίζεται ένα μήνυμα: πληρώστε μέσα σε λίγες μέρες, αλλιώς όλα χάνονται.
Η κρυπτογράφηση από μόνη της δεν είναι κάτι κακόβουλο. Είναι η ίδια τεχνική που προστατεύει το laptop σας σε περίπτωση κλοπής (μάθημα 5.2) και που ασφαλίζει τη σύνδεσή σας με έναν ιστότοπο. Η διαφορά είναι ποιος έχει το κλειδί. Η καλή κρυπτογράφηση δεν μπορεί να παραβιαστεί. Γι' αυτό η σκέψη «θα το αποκρυπτογραφήσουμε κάπως» σχεδόν ποτέ δεν είναι εφικτή επιλογή, εκτός αν οι δημιουργοί του ransomware έχουν κάνει κάποιο λάθος.
Σύμφωνα με το ολλανδικό NCSC, το ransomware πλήττει όχι μόνο αρχεία, αλλά και συστήματα και αντίγραφα ασφαλείας. Αυτό το τελευταίο είναι το σημαντικότερο σημείο αυτού του μαθήματος.
Πώς εισέρχεται
Μια επίθεση ransomware δεν είναι μία στιγμή, αλλά μια σειρά βημάτων. Ξεκινά με την αρχική πρόσβαση: το πρώτο πάτημα του ποδιού στην πόρτα. Οι πιο συνηθισμένοι δρόμοι:
| Οδός πρόσβασης | Πώς γίνεται | Τι το σταματά |
|---|---|---|
| Phishing με συνημμένο ή σύνδεσμο | Ένας εργαζόμενος ανοίγει ένα «τιμολόγιο» ή ένα «δελτίο αποστολής» που εκκινεί κακόβουλο λογισμικό | Ευαισθητοποίηση (μάθημα 9.2), ενημερώσεις, περιορισμένα δικαιώματα |
| Κλεμμένα διαπιστευτήρια σύνδεσης | Ένας διαρρεύσας κωδικός πρόσβασης λειτουργεί στο webmail, στο VPN ή στη διαχείριση εξ αποστάσεως | Μοναδικοί κωδικοί πρόσβασης, έλεγχος ταυτότητας δύο παραγόντων (2FA) (ενότητα 2) |
| Μια γνωστή ευπάθεια σε ένα σύστημα συνδεδεμένο στο internet | Ένας παρωχημένος VPN server, firewall, NAS ή ιστότοπος με δημόσια γνωστή ευπάθεια | Γρήγορη ενημέρωση (μάθημα 5.1), να μην είναι ανοιχτό χωρίς λόγο |
| Διαχείριση εξ αποστάσεως που είναι ανοιχτή | Ένα πρόγραμμα για εξ αποστάσεως εργασία σε έναν υπολογιστή, προσβάσιμο από ολόκληρο το internet | Μόνο μέσω ασφαλούς σύνδεσης, με 2FA |
| Ένας προμηθευτής | Η εταιρεία πληροφορικής ή το λογισμικό ενός προμηθευτή γίνεται αντικείμενο κατάχρησης | Συμφωνίες και ελάχιστα δικαιώματα (ενότητα 7) |
Μετά την αρχική πρόσβαση, ο επιτιθέμενος συχνά περιμένει. Κοιτάζει τριγύρω, αναζητά λογαριασμούς διαχειριστή και μετακινείται από υπολογιστή σε υπολογιστή. Αυτό ονομάζεται πλευρική μετακίνηση. Αναζητά κυρίως δύο πράγματα: πού βρίσκονται τα σημαντικά δεδομένα και πού βρίσκονται τα αντίγραφα ασφαλείας. Μόνο αφού βρει και τα δύο, χτυπά, συχνά τη νύχτα ή το σαββατοκύριακο, όταν κανείς δεν το προσέχει.
Γιατί ένα συνδεδεμένο αντίγραφο ασφαλείας δεν βοηθά
Πολλές μικρές επιχειρήσεις έχουν ένα αντίγραφο ασφαλείας: έναν εξωτερικό δίσκο που είναι πάντα συνδεδεμένος στον υπολογιστή, ή έναν δίσκο δικτύου (NAS) όπου κάθε νύχτα στέλνεται ένα αντίγραφο. Αυτό είναι καλύτερο από το τίποτα σε περίπτωση βλάβης σκληρού δίσκου. Απέναντι στο ransomware συχνά δεν βοηθά.
Ο λόγος είναι απλός. Το ransomware κρυπτογραφεί ό,τι μπορεί να προσεγγίσει ο μολυσμένος υπολογιστής ή ο λογαριασμός που έχει καταληφθεί. Αν ο δίσκος αντιγράφων ασφαλείας είναι συνδεδεμένος στον υπολογιστή, το ransomware μπορεί να τον προσεγγίσει. Αν το αντίγραφο ασφαλείας βρίσκεται σε δίσκο δικτύου όπου συνδέεστε με τον ίδιο λογαριασμό, το ransomware μπορεί να τον προσεγγίσει. Ένας επιτιθέμενος που έχει κοιτάξει ήρεμα τριγύρω, μερικές φορές διαγράφει σκόπιμα τα αντίγραφα ασφαλείας πριν κρυπτογραφήσει.
Το ίδιο ισχύει και για τον συγχρονισμό. Ένας φάκελος που συγχρονίζεται αυτόματα με το cloud, συγχρονίζει επίσης την κρυπτογραφημένη έκδοση. Μερικές φορές μπορείτε ακόμα να επιστρέψετε σε μια παλαιότερη έκδοση ενός αρχείου, αλλά αυτό εξαρτάται από την υπηρεσία και για πόσο καιρό διατηρεί εκδόσεις.
Ένα αντίγραφο ασφαλείας που επιβιώνει από ransomware έχει τουλάχιστον ένα αντίγραφο που ο επιτιθέμενος δεν μπορεί να προσεγγίσει ή να αλλάξει: έναν δίσκο που βρίσκεται χαλαρά σε ένα συρτάρι, ή ένα αντίγραφο ασφαλείας σε ξεχωριστό πάροχο με δική του σύνδεση που δεν χρησιμοποιείτε στον υπολογιστή εργασίας σας, ή μια αποθήκευση που καθιστά την τροποποίηση και τη διαγραφή τεχνικά αδύνατη για ένα χρονικό διάστημα. Στην ενότητα 6 θα το οργανώσετε βήμα βήμα. Ένα αντίγραφο ασφαλείας που φτιάχνει ο πάροχος φιλοξενίας σας σε ξεχωριστούς servers, εκτός του πακέτου σας, αποτελεί ήδη για τον ιστότοπο και το email σας ένα αντίγραφο εξ αποστάσεως. Ελέγξτε όμως πόσο καιρό διατηρείται και ποιος μπορεί να το διαγράψει.
Διπλός εκβιασμός
Παλαιότερα ένα καλό αντίγραφο ασφαλείας ήταν η πλήρης απάντηση στο ransomware: επαναφορά και τέλος. Οι επιτιθέμενοι έχουν προσαρμοστεί. Στον διπλό εκβιασμό κλέβουν πρώτα ένα αντίγραφο των δεδομένων σας και μόνο μετά κρυπτογραφούν. Τότε υπάρχουν δύο απειλές:
- Πληρώστε, αλλιώς δεν θα πάρετε πίσω τα αρχεία σας.
- Πληρώστε, αλλιώς θα δημοσιεύσουμε τα δεδομένα σας: αρχεία πελατών, προσφορές, στοιχεία μισθοδοσίας, γραμματοκιβώτια.
Ένα αντίγραφο ασφαλείας βοηθά απέναντι στο πρώτο, όχι απέναντι στο δεύτερο. Και το ολλανδικό NCSC προειδοποιεί ότι οι επιτιθέμενοι μερικές φορές απειλούν να δημοσιεύσουν κλεμμένα δεδομένα. Επιπλέον, η κλοπή δεδομένων προσωπικού χαρακτήρα είναι αφ' εαυτής μια παραβίαση δεδομένων, με υποχρέωση γνωστοποίησης στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) (μάθημα 8.2), ανεξάρτητα από το αν πληρώνετε.
Μερικές φορές ένας επιτιθέμενος πηγαίνει ακόμα παραπέρα και προσεγγίζει απευθείας τους πελάτες ή τους επιχειρηματικούς σας εταίρους με την ανακοίνωση ότι τα δεδομένα τους αποκτήθηκαν από εσάς. Η πίεση τότε δεν βαρύνει μόνο εσάς, αλλά και τη φήμη σας.
Να πληρώσετε ή όχι;
Η συμβουλή των κρατικών φορέων και της αστυνομίας είναι ξεκάθαρη: καλύτερα να μην πληρώσετε. Το No More Ransom, η πρωτοβουλία μεταξύ άλλων της Europol και της ολλανδικής αστυνομίας, το διατυπώνει ως εξής: η πληρωμή λύτρων δεν προσφέρει καμία εγγύηση. Υπάρχουν καλοί λόγοι:
- Δεν έχετε καμία εγγύηση ότι θα λάβετε ένα λειτουργικό κλειδί, ή ότι η αποκρυπτογράφηση θα πετύχει.
- Δεν έχετε καμία εγγύηση ότι τα κλεμμένα δεδομένα θα διαγραφούν πραγματικά μετά.
- Επιβεβαιώνετε ότι η επιχείρησή σας πληρώνει, και αυτό σας καθιστά ελκυστικό στόχο για μια επόμενη επίθεση.
- Χρηματοδοτείτε τις επόμενες επιθέσεις εναντίον άλλων.
- Ο δρόμος εισόδου δεν έχει ακόμα κλείσει. Χωρίς έρευνα, μπορεί να συμβεί ξανά.
Το ολλανδικό NCSC αναφέρει την επαναφορά από αντίγραφο ασφαλείας ως την πιο αξιόπιστη λύση. Αν αυτό δεν πετύχει, δείτε αν υπάρχει ένα decryptor: ένα δωρεάν πρόγραμμα που μπορεί να αποκρυπτογραφήσει αρχεία μιας συγκεκριμένης οικογένειας ransomware, επειδή ερευνητές βρήκαν ένα λάθος σε αυτή την οικογένεια ή κατάσχεσαν κλειδιά. Το No More Ransom (https://www.nomoreransom.org) συγκεντρώνει αυτά τα decryptors και σας βοηθά να προσδιορίσετε ποιο ransomware έχετε. Δεν υπάρχει λύση για κάθε οικογένεια, αλλά η αναζήτηση δεν κοστίζει τίποτα.
Σε κάθε περίπτωση, υποβάλετε καταγγελία στην Ελληνική Αστυνομία, Δίωξη Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/), και εξετάστε αν έχετε υποχρέωση γνωστοποίησης: στην ΑΠΔΠΧ αν επηρεάστηκαν δεδομένα προσωπικού χαρακτήρα, στην αρμόδια αρχή αν εμπίπτετε στον ν. 5160/2024 (ενσωμάτωση της NIS2) (μάθημα 9.1), και μερικές φορές σε έναν πελάτη σύμφωνα με τη σύμβασή σας.
Τι περιορίζει τη ζημιά
Μπορείτε να μειώσετε την πιθανότητα μιας επίθεσης και να περιορίσετε τη ζημιά αν συμβεί παρ' όλα αυτά. Μια επισκόπηση, με το μάθημα όπου το μαθαίνετε:
- Ενημερώσεις, ειδικά οτιδήποτε είναι συνδεδεμένο στο internet: VPN, router, NAS, ιστότοπος (μάθημα 5.1).
- Έλεγχος ταυτότητας δύο παραγόντων στο email, στη διαχείριση εξ αποστάσεως και σε όλους τους λογαριασμούς διαχειριστή (μάθημα 2.3 και 2.4).
- Ελάχιστα δικαιώματα: να μην εργάζεστε καθημερινά με λογαριασμό διαχειριστή, και να μην έχουν όλοι πρόσβαση παντού (μάθημα 7.1).
- Ένα αντίγραφο ασφαλείας εκτός εμβέλειας των συνήθων λογαριασμών σας, και τακτικός έλεγχος αν η επαναφορά λειτουργεί (ενότητα 6).
- Μια κάρτα αντιμετώπισης περιστατικών ώστε όλοι να γνωρίζουν τι να κάνουν: αποσύνδεση δικτύου, να μην απενεργοποιείτε απερίσκεπτα, να τηλεφωνείτε (μάθημα 8.1 και 8.3).
- Ευαισθητοποίηση: ένας συνάδελφος που αναφέρει αμέσως ότι άνοιξε ένα περίεργο συνημμένο, σας δίνει ώρες προβάδισμα (μάθημα 9.2).
Στην πράξη: έτσι μοιάζει
Ένα παράδειγμα, συντεθειμένο από καταστάσεις που συχνά συμβαίνουν. Μια εταιρεία εγκαταστάσεων με δώδεκα εργαζομένους είχε έναν VPN server για να έχει πρόσβαση στα αρχεία από το σπίτι. Το firmware δεν είχε ενημερωθεί εδώ και ενάμιση χρόνο. Μέσω μιας γνωστής ευπάθειας, ένας επιτιθέμενος εισήλθε, κοίταξε τριγύρω για μια εβδομάδα και βρήκε τον λογαριασμό διαχειριστή του δίσκου δικτύου. Ένα βράδυ Σαββάτου κρυπτογραφήθηκαν οι υπολογιστές, ο δίσκος δικτύου και ο δίσκος USB με το αντίγραφο ασφαλείας που ήταν συνδεδεμένος σε αυτόν. Αυτό που απέμεινε: το email και ο ιστότοπος, που βρίσκονταν σε πάροχο φιλοξενίας με δικό του αντίγραφο ασφαλείας, και ένα παλιό αντίγραφο της λογιστικής σε έναν δίσκο που είχε ο λογιστής στο σπίτι του. Με αυτά η επιχείρηση μπόρεσε να εκδίδει τιμολόγια ξανά μετά από λίγες μέρες. Οι προσφορές και τα σχέδια των τελευταίων μηνών είχαν χαθεί.
Μια ενημέρωση και ένας μεμονωμένος δίσκος σε ένα συρτάρι θα είχαν κάνει τη διαφορά ανάμεσα σε λίγες μέρες και λίγους μήνες.
Σύνοψη
- Το ransomware κρυπτογραφεί αρχεία, συστήματα και αντίγραφα ασφαλείας και απαιτεί λύτρα· η καλή κρυπτογράφηση δεν μπορεί να παραβιαστεί.
- Το ransomware εισέρχεται μέσω phishing, κλεμμένων κωδικών πρόσβασης, μη ενημερωμένων συστημάτων συνδεδεμένων στο internet, διαχείρισης εξ αποστάσεως ή ενός προμηθευτή· στη συνέχεια ο επιτιθέμενος συχνά κοιτάζει πρώτα τριγύρω.
- Ένα αντίγραφο ασφαλείας που είναι συνδεδεμένο στον υπολογιστή ή προσβάσιμο με τον ίδιο λογαριασμό, συχνά κρυπτογραφείται κι αυτό.
- Στον διπλό εκβιασμό τα δεδομένα κλέβονται πρώτα· ένα αντίγραφο ασφαλείας τότε δεν βοηθά απέναντι στην απειλή δημοσίευσης, και πρόκειται για παραβίαση δεδομένων.
- Καλύτερα να μην πληρώνετε· κάντε επαναφορά από αντίγραφο ασφαλείας, δείτε στο No More Ransom αν υπάρχει decryptor και υποβάλετε καταγγελία.
Κουίζ
Άσκηση
Άσκηση D1.3: Τι θα γινόταν αν συνέβαινε απόψε; Εξετάστε για τη δική σας επιχείρηση τι θα μπορούσε να κρυπτογραφήσει το ransomware απόψε. Σημειώστε πού βρίσκονται τα αντίγραφα ασφαλείας σας, αν είναι προσβάσιμα από έναν συνηθισμένο υπολογιστή εργασίας ή με έναν συνηθισμένο λογαριασμό, και ποια συστήματα είναι συνδεδεμένα στο internet. Στη συνέχεια απαντήστε στις ερωτήσεις αναστοχασμού.
Άσκηση D1.3: Τι θα γινόταν αν συνέβαινε απόψε;
Έτσι το αντιμετωπίζετε: (1) Φτιάξτε μια λίστα με όλα τα σημεία όπου βρίσκονται σημαντικά αρχεία: υπολογιστές, φορητοί υπολογιστές, δικτυακός δίσκος, αποθήκευση στο cloud, email, λογιστήριο, ιστοσελίδα. (2) Σημειώστε για κάθε σημείο πού βρίσκεται το αντίγραφο ασφαλείας και αν αυτό το αντίγραφο είναι προσβάσιμο από έναν συνηθισμένο υπολογιστή εργασίας ή με λογαριασμό που χρησιμοποιείτε καθημερινά. (3) Εξετάστε ποια συστήματα είναι συνδεδεμένα στο διαδίκτυο και προσβάσιμα από έξω (VPN, απομακρυσμένη διαχείριση, NAS, router, ιστοσελίδα) και πότε ενημερώθηκαν τελευταία φορά. (4) Εξετάστε αν υπάρχει τουλάχιστον ένα αντίγραφο που δεν μπορεί να προσεγγίσει το ransomware (αποθηκευμένο χωριστά σε συρτάρι ή σε ξεχωριστό πάροχο με δικά του διαπιστευτήρια εισόδου). (5) Επισκεφθείτε μία φορά το https://www.nomoreransom.org για να δείτε πώς λειτουργεί η ιστοσελίδα, ώστε να το γνωρίζετε αν χρειαστεί.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.
- WebOké Backups: προβολή, επαναφορά ή λήψη ενός backup
- Εγχειρίδιο DirectAdmin 16.1: Ποια αντίγραφα ασφαλείας υπάρχουν στο WebOké
- Το ολλανδικό NCSC, Τι είναι το ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/el/index.html