Shaun Stockman, Senior Director of Business Development Americas bij Ontrack. Ik word meestal betrokken wanneer de schade al zichtbaar is: systemen liggen stil, bestanden zijn versleuteld en het losgeldbericht staat op het scherm. Samen met verzekeraars, DFIR-teams en IT-afdelingen heb ik van dichtbij gezien hoe ransomware-aanvallen zich ontwikkelen en welke fouten organisaties maken voordat de crisis zichtbaar wordt.
De meeste mensen denken dat ransomware begint met versleuteling. Dat is niet zo. Versleuteling is het eindpunt van een proces dat vaak al dagen of weken eerder is begonnen. Tegen de tijd dat het losgeldbericht verschijnt, heeft een aanvaller meestal al toegang gehad tot systemen, gegevens verzameld en herstelmogelijkheden ondermijnd. Begrijpen wat er gebeurt vóór de versleuteling plaatsvindt, helpt niet alleen bij een effectievere respons, maar vergroot ook de kans op succesvol gegevensherstel. Dat is precies waar deze blog over gaat.
Elke ransomware-aanval begint met initiële toegang, en dit deel is zelden spectaculair. Ik denk dat mensen zich een geniale hacker voorstellen die in realtime een firewall kraakt, maar meestal is het iets veel saaiers: een niet-gepatchte VPN-apparaat, een remote desktop-poort die openstaat naar het internet, of een medewerker die een via phishing verkregen wachtwoord hergebruikt heeft.
Initial access brokers hebben dit nog routinematiger gemaakt. Dit zijn criminele groepen die zich volledig bezighouden met het binnendringen van netwerken en het vervolgens verkopen van die toegang aan degenen die de ransomware beheren. Dus de persoon die binnenkomt en de persoon die uiteindelijk betaling eist, zijn vaak twee verschillende criminele operaties, die een paar stappen uit elkaar werken.
Zodra ze binnen zijn, raken aanvallers niet meteen iets waardevols aan. Ze brengen het netwerk in kaart, zoeken domeincontrollers, identificeren back-upsystemen en zoeken uit op welke servers de gegevens staan die de meeste schade zouden aanrichten als ze zouden verdwijnen. Deze verkenningsfase kan enkele uren tot enkele maanden duren, afhankelijk van hoe de groep te werk gaat en hoe snel ze worden opgemerkt.
Het meeste van wat er in deze fase gebeurt, zou er voor een ongetraind oog volkomen normaal uitzien. De aanvaller logt in met geldige, gestolen inloggegevens. Ze bladeren door gedeelde schijven zoals elke medewerker dat zou doen. Dat is een van de redenen waarom detectie zo moeilijk is. Er lijkt nog niets mis te zijn. De systemen werken nog steeds, de bestanden openen nog steeds, en er is geen reden voor iemand om te vermoeden dat er al iemand anders in het netwerk rondloopt die beslist wat hij als eerste mee wil nemen.
Dit is het moment waarop één geïnfecteerde laptop uitgroeit tot een bedrijfsbrede crisis. Aanvallers gebruiken de toegang die ze hebben verkregen om zich lateraal te verplaatsen, wat betekent dat ze van de ene machine naar de andere springen en gaandeweg hun rechten uitbreiden totdat ze de inloggegevens van de domeinbeheerder in handen hebben. Vanaf dat moment hebben ze toegang tot vrijwel alles op het netwerk.
In deze fase richten aanvallers zich ook specifiek op uw back-ups. Ik heb gevallen gezien waarin de malware zich richtte op back-uptapes en snapshots nog voordat de primaire gegevens werden aangetast, omdat een bedrijf dat gegevens kan herstellen vanuit een back-up geen reden heeft om te betalen. Het eerst verwijderen of beschadigen van back-ups is opzettelijk. Dat is een berekende zet: jouw opties wegnemen nog voordat ze hun eisen stellen.
Als je een idee wilt krijgen van hoe dit er van binnenuit daadwerkelijk uitziet zodra een organisatie zich realiseert dat het gebeurt, legt onze gids over het omgaan met een ransomware-aanval uit wat er in de eerste uren moet gebeuren, van het isoleren van apparaten tot het inschakelen van juridisch advies.
Aanvallers exfiltreren vaak gegevens voordat ze ook maar iets versleutelen. Ze kopiëren stilletjes gevoelige bestanden naar hun eigen servers, en pas als die kopie voltooid is, activeren ze de versleuteling die je de toegang ontzegt.
Dit wordt ‘dubbele afpersing’ genoemd, en het is de reden waarom de afweging rond het betalen zo veel ingewikkelder is geworden. Zelfs als je schone back-ups hebt en de decoderingssleutel helemaal niet nodig hebt, heeft de aanvaller nog steeds je gegevens in zijn bezit. Hij kan dreigen deze te publiceren of te verkopen, en in sommige gevallen aangifte doen bij toezichthouders. Die dreiging verdwijnt niet zomaar omdat je je systemen hebt hersteld. Ik zou zeggen dat dit de allergrootste verandering is in de manier waarop deze groepen te werk gaan, en daarom is ‘we hebben back-ups’ niet langer het volledige antwoord op een ransomware-aanval.
We hebben eerder geschreven over de afweging waar organisaties hier voor staan, en of het betalen van het losgeld de moeite waard is, is zelden een eenvoudig ja of nee. Sommige aanvallers leveren zelfs na betaling geen werkende ontsleuteltool. Sommige varianten, met name ‘wipers’, zijn helemaal niet ontworpen om je gegevens terug te geven.
Zodra het losgeldbriefje verschijnt, gaan de meeste mensen ervan uit dat de strijd voorbij is: je betaalt of je betaalt niet, en hoe dan ook zijn de gegevens kwijt, tenzij er een decoderingssleutel opduikt. Dat klopt niet helemaal. Versleuteling vernietigt gegevens niet altijd zo grondig als aanvallers je willen doen geloven, en afhankelijk van hoe de malware zich gedraagt en welke opslagsystemen erbij betrokken waren, kunnen er wegen terug naar de gegevens zijn waarbij de aanvaller helemaal geen rol speelt.
Ik heb zaken behandeld waarbij onleesbaar gemaakte back-uptapes nog steeds herstelbaar waren, en andere waarbij verwijderde volumes op NetApp-storage systemen konden worden teruggezet naar onversleutelde versies. Geen twee gevallen zijn hetzelfde, en dat is mede de reden waarom een overhaaste beslissing om te betalen of alles te wissen en opnieuw te beginnen, mogelijkheden kan uitsluiten waarvan je niet wist dat je ze had. We hebben een aantal van deze hersteloperaties gedocumenteerd, mocht je willen zien hoe dat er in de praktijk uitziet.
Ik begrijp waarom de neiging bestaat om de getroffen schijven te wissen en helemaal opnieuw op te bouwen. Het voelt als de veilige keuze. Maar die neiging kan juist het bewijsmateriaal vernietigen dat een hersteltechnicus of forensisch onderzoeker nodig heeft om mee te werken. Voordat er iets opnieuw wordt geïnstalleerd of geformatteerd, moet je een second opinion vragen over wat er nog te herstellen valt. Dat kost je misschien een dag of twee, maar als je eerst alles wist, ben je die mogelijkheid helemaal kwijt.
Als jij degene bent die wordt gebeld wanneer dit gebeurt – of je nu deel uitmaakt van een IT-team, een DFIR-team of aan de verzekeringskant een claim beoordeelt – dan moet de bovenstaande volgorde je eerste stappen bepalen. Isoleer de getroffen systemen onmiddellijk, maar wis niets, en bewaar de versleutelde gegevens en eventuele losgeldbrief precies zoals je ze aantreft. Schakel vervolgens een specialist in voordat je een definitief besluit neemt over het betalen; die beoordeling kan herstelmogelijkheden aan het licht brengen die de hele beslissing veranderen.
Kunnen gegevens worden hersteld zonder het losgeld te betalen? Vaak wel. Het hangt af van de ransomwarevariant en welke opslagsystemen zijn getroffen, en of back-ups slechts gedeeltelijk zijn vernietigd. Dit is precies het soort zaken dat een specialist in gegevensherstel moet beoordelen voordat er een besluit over het losgeld wordt genomen.
Garandeert het betalen van het losgeld dat ik mijn gegevens terugkrijg? Nee. Sommige slachtoffers ontvangen zelfs na betaling nooit een werkende decoderingssleutel, en door ‘dubbele afpersing’ kunnen je gestolen gegevens later nog steeds opduiken, ongeacht of je hebt betaald.
Hoe lang bevinden aanvallers zich in een netwerk voordat ze ransomware inzetten? Dat varieert sterk, maar een verblijftijd van enkele dagen tot een paar weken komt vaak voor. Sommige groepen handelen sneller, vooral wanneer ze toegang kopen bij een ‘initial access broker’ in plaats van zelf verkenning te doen.
Waarom richten aanvallers zich eerst op back-ups? Omdat een bedrijf met intacte back-ups geen financiële reden heeft om te betalen. Door back-ups in een vroeg stadium te vernietigen of te versleutelen, wordt die optie weggenomen en neemt de druk om te onderhandelen toe.
Ransomwaregroepen blijven hun aanpak verfijnen, maar de volgorde zelf is niet veranderd. Wat wel is veranderd, is hoeveel invloed aanvallers opbouwen voordat je zelfs maar doorhebt dat ze er zijn, en dat is precies waarom het eerste uur zo cruciaal is.
Meer over data recovery na ransomware aanval