Shaun Stockman, Seniordirektør for forretningsutvikling, Amerika, i Ontrack. Vi jobber med forsikringsselskaper, DFIR-team og IT-avdelinger etter at løsepengekravet allerede har dukket opp på skjermen. Derfor har jeg sett hvordan slike angrep utvikler seg fra rekonstruksjonssiden langt flere ganger enn jeg kan telle.
Ransomware starter ikke med kryptering. Det er det siste trinnet, og når du ser det, har angriperen som regel allerede vært inne i nettverket ditt i flere dager eller uker. Jeg vil gå gjennom hva som skjer før skjermen låses, fordi forståelsen av rekkefølgen endrer hvordan du reagerer, og den endrer hvilke muligheter du har for rekonstruksjon.
Hovedpunkter
- Kryptering er det siste stadiet i et angrep, ikke det første. De fleste ransomware-grupper tilbringer dager eller uker inne i et nettverk før de låser noe.
- Moderne angrep stjeler data før de krypterer dem. Dette kalles «dobbel utpressing», og det betyr at risikoen for at dataene blir eksponert ikke forsvinner selv om du betaler løsepengene.
- VPN-er uten sikkerhetsoppdateringer, åpne fjernskrivebord og stjålne påloggingsopplysninger er fortsatt de tre vanligste veiene inn for angripere.
- Å isolere enheter og sikre bevis den første timen har stor betydning for hvor mye data du får tilbake. Det er like viktig å vite hvem du skal ringe.
Slik kommer de seg inn
Hvert ransomware-angrep starter med førstegangstilgang, og denne delen er sjelden dramatisk. Jeg tror mange ser for seg en genial hacker som knekker en brannmur i sanntid, men som regel er det noe mye kjedeligere: en VPN-løsning uten sikkerhetsoppdateringer, en port for fjernskrivebord som står åpen mot internett, eller en ansatt som har gjenbrukt et passord som ble fisket ut.
«Initial access brokers» (tilgangsmeglere) har gjort dette enda mer rutinepreget. Dette er kriminelle grupper som lever av å bryte seg inn i nettverk og selge tilgangen videre til den som kjører ransomware. Personen som kommer seg inn og personen som til slutt krever betaling er derfor ofte to ulike kriminelle operasjoner, som jobber noen få steg fra hverandre.
Når angriperne først er inne, rører de ikke noe verdifullt med en gang. De kartlegger nettverket, finner domenekontrollere, identifiserer backupsystemer og finner ut hvilke servere som har dataene det vil gjøre mest vondt å miste. Denne rekognoseringsfasen kan vare alt fra noen timer til flere måneder, avhengig av hvordan gruppen opererer og hvor raskt de blir oppdaget.
Mesteparten av det som skjer i denne fasen vil se helt normalt ut for et utrent øye. Angriperen logger inn med gyldige, stjålne påloggingsopplysninger. De blar gjennom delte stasjoner på samme måte som en hvilken som helst ansatt. Det er en del av grunnen til at det er så vanskelig å oppdage. Ingenting ser ødelagt ut ennå. Systemene fungerer, filene åpnes, og ingen har noen grunn til å mistenke at noen andre allerede går rundt inne i nettverket og bestemmer hva de skal ta først.
Bevegelse gjennom nettverket
Her blir en enkelt infisert bærbar PC til en krise for hele virksomheten. Angriperne bruker tilgangen de har fått til å bevege seg lateralt, det vil si at de hopper fra maskin til maskin og øker rettighetene underveis, helt til de kontrollerer administratorpåloggingen for domenet. Derfra kan de i praksis røre alt i nettverket.
Dette er også stadiet der angriperne går etter backupene dine spesifikt. Jeg har sett tilfeller der skadevaren gikk etter backupbånd og snapshots før den i det hele tatt rørte primærdataene, fordi en virksomhet som kan gjenopprette fra backup ikke har noen grunn til å betale. Å slette eller ødelegge backuper først er et bevisst valg. Det er et beregnet trekk: å ta fra deg mulighetene dine før de i det hele tatt har fremsatt kravet.
Hvis du vil ha et inntrykk av hvordan dette ser ut innenfra når en organisasjon innser at det skjer, går vår veiledning om hvordan du håndterer et ransomware-angrep gjennom hva som må skje de første timene, fra isolering av enheter til å involvere juridisk rådgiver.
Tyveriet skjer før låseskjermen
Dette er delen som har endret seg mest de siste årene. Angripere eksfiltrerer nå data før de krypterer noe. De kopierer stille sensitive filer ut til sine egne servere, og først når kopieringen er ferdig utløser de krypteringen som låser deg ute.
Dette kalles dobbel utpressing, og det er grunnen til at regnestykket rundt å betale har blitt så mye mer komplisert. Selv om du har rene backuper og ikke trenger dekrypteringsnøkkelen i det hele tatt, har angriperen fortsatt dataene dine. De kan true med å publisere eller selge dem, og i noen tilfeller melde fra til tilsynsmyndigheter. Den trusselen forsvinner ikke bare fordi du har gjenopprettet systemene dine. Jeg vil si at dette er det største skiftet i hvordan disse gruppene opererer, og det er grunnen til at «vi har backup» ikke lenger er hele svaret på et ransomware-angrep.
Vi har skrevet tidligere om avgjørelsen organisasjoner står overfor her, og om det lønner seg å betale løsepenger, er sjelden et enkelt ja eller nei. Noen angripere leverer ikke et fungerende dekrypteringsverktøy selv etter betaling. Noen varianter, særlig wipere, er ikke laget for å gi dataene dine tilbake i det hele tatt.
Hvorfor krypteringen ikke er hele rekonstruksjonshistorien
Når løsepengekravet dukker opp, tror de fleste at kampen er over: enten betaler du eller så gjør du ikke det, og uansett er dataene borte med mindre en dekrypteringsnøkkel dukker opp. Det stemmer ikke helt. Kryptering ødelegger ikke alltid data så grundig som angriperne vil at du skal tro, og avhengig av hvordan skadevaren oppfører seg og hvilke lagringssystemer som var involvert, kan det finnes veier tilbake til dataene som ikke involverer angriperen i det hele tatt.
Jeg har jobbet med saker der ødelagte backupbånd fortsatt lot seg rekonstruere, og andre der slettede volumer på NetApp-lagring kunne føres tilbake i tid til ukrypterte versjoner ved hjelp av filsystemets egne «consistency points». Ingen saker er like, og det er en del av grunnen til at en forhastet beslutning om å betale, eller om å tømme alt og starte på nytt, kan stenge muligheter du ikke visste at du hadde. Vi har dokumentert noen av disse rekonstruksjonene hvis du vil se hvordan det ser ut i praksis.
Jeg forstår at instinktet er å tømme de berørte diskene og bygge alt opp fra bunnen av. Det føles som det tryggeste valget. Men det instinktet kan ødelegge nettopp de bevisene en rekonstruksjonsingeniør eller en digital etterforsker trenger å jobbe med. Før noe reinstalleres eller formateres, bør du innhente en second opinion på hva som kan rekonstrueres. Det kan koste deg en dag eller to, men å tømme først koster deg muligheten helt.
Hva du bør gjøre med dette
Hvis du er den som får samtalen når dette skjer, enten du sitter i et IT-team, i et DFIR-team eller på forsikringssiden og vurderer et krav, bør rekkefølgen ovenfor prege dine første grep. Isoler berørte systemer umiddelbart, men ikke slett noe, og bevar de krypterte dataene og løsepengekravet nøyaktig slik de ble funnet. Få deretter en spesialist inn i saken før du tar en endelig avgjørelse om å betale. Den vurderingen kan avdekke veier til rekonstruksjon som endrer hele beslutningen.
FAQ
Hvor lenge er angriperne inne i et nettverk før de setter inn ransomware?
Det varierer mye, men en oppholdstid på noen dager til noen uker er vanlig. Noen grupper går raskere, særlig når de kjøper tilgang fra en initial access broker i stedet for å gjøre sin egen rekognosering.
Garanterer det å betale løsepenger at jeg får dataene mine tilbake?
Nei. Noen ofre får aldri en fungerende dekrypteringsnøkkel selv etter å ha betalt, og med dobbel utpressing kan de stjålne dataene dine fortsatt dukke opp senere uansett betaling.
Kan data rekonstrueres uten å betale løsepenger?
Ofte, ja. Det avhenger av ransomware-varianten, hvilke lagringssystemer som ble rammet, og om backupene bare var delvis ødelagt. Dette er nettopp den typen vurdering en spesialist på datarekonstruksjon bør gjøre før noen avgjørelse om løsepenger tas.
Hvorfor går angriperne etter backupene først?
Fordi en virksomhet med intakte backuper ikke har noen økonomisk grunn til å betale. Å ødelegge eller kryptere backupene tidlig fjerner det alternativet og øker presset for å forhandle.
Dette betyr det for deg
Ransomware-gruppene finpusser stadig spillreglene sine, men selve rekkefølgen har ikke endret seg. Det som har endret seg, er hvor mye påvirkningskraft angriperne bygger opp før du i det hele tatt vet at de er der, og det er nettopp derfor den første timen betyr så mye.
Norge | Norsk Bokmål
Lokasjoner
Søk
Tilbake til oversikt
