Jak właściwie działa oprogramowanie ransomware?

Shaun Stockman, starszy dyrektor ds. rozwoju biznesowego na Amerykę w firmie Ontrack: Współpracujemy z ubezpieczycielami, zespołami DFIR i działami IT tuż po tym, gdy na ekranie klienta pojawił się komunikat z żądaniem okupu, więc z perspektywy odzyskiwania danych widziałem, jak przebiegają te ataki, więcej razy, niż jestem w stanie zliczyć.

Oprogramowanie ransomware nie zaczyna się od szyfrowania. To ostatni etap, a zanim je zauważysz, atakujący zazwyczaj przebywa w Twojej sieci już od kilku dni lub tygodni. Chciałbym omówić, co dzieje się przed zablokowaniem dostępu do danych, ponieważ zrozumienie tej sekwencji wydarzeń zmienia sposób, w jaki na to reagujesz, a także wpływa na dostępne opcje przywrócenia danych.

Najważniejsze wnioski

• Szyfrowanie jest ostatnim etapem ataku, a nie pierwszym. Większość grup wykorzystujących oprogramowanie ransomware spędza dni lub tygodnie w atakowanej sieci, zanim cokolwiek zablokuje.
• Współczesne ataki polegają na kradzieży danych przed ich zaszyfrowaniem. Jest to tzw. „podwójne wymuszenie”, co oznacza, że zapłacenie okupu nie eliminuje ryzyka ujawnienia danych.
• Niezabezpieczone sieci VPN, narażone połączenia zdalnego pulpitu oraz skradzione dane uwierzytelniające pozostają trzema najczęstszymi sposobami, w jakie atakujący uzyskują dostęp.
• Izolacja urządzeń i zabezpieczenie dowodów w ciągu pierwszej godziny ma realny wpływ na to, ile danych uda się odzyskać. Równie ważne jest, aby wiedzieć, do kogo zadzwonić.

Wstęp do sieci

Każdy atak ransomware zaczyna się od uzyskania wstępnego dostępu, a ta część rzadko przebiega w dramatyczny sposób. Myślę, że ludzie wyobrażają sobie genialnego hakera łamiącego zaporę ogniową w czasie rzeczywistym, ale zazwyczaj jest to coś znacznie bardziej nudnego: urządzenie VPN bez aktualizacji, port pulpitu zdalnego pozostawiony otwarty w sieci lub pracownik, który ponownie użył hasła wyłudzonego w ataku phishingowym.

Pośrednicy zapewniający wstępny dostęp sprawili, że stało się to jeszcze bardziej rutynowe. Są to grupy przestępcze, których cała działalność polega na włamaniu się do sieci, a następnie sprzedaży tego dostępu osobom stojącym za oprogramowaniem ransomware. Tak więc osoba, która dostaje się do sieci, i osoba, która ostatecznie żąda zapłaty, to często dwie różne grupy przestępcze, działające w odległości kilku kroków od siebie.

Po uzyskaniu dostępu atakujący nie sięgają od razu po nic wartościowego. Tworzą mapę sieci, odnajdują kontrolery domen, identyfikują systemy kopii zapasowych i ustalają, na których serwerach znajdują się dane, których utrata byłaby najbardziej dotkliwa. Ta faza rozpoznania może trwać od kilku godzin do kilku miesięcy, w zależności od sposobu działania grupy i tego, jak szybko wykryje ona poszukiwane zasoby.

Większość działań w tej fazie wyglądałaby zupełnie normalnie dla niewprawnego oka. Atakujący loguje się przy użyciu ważnych, skradzionych danych uwierzytelniających. Przegląda dyski współdzielone tak, jak zrobiłby to każdy pracownik. To jeden z powodów, dla których wykrycie ataku jest tak trudne. Na razie nic nie wskazuje na nieprawidłowości. Systemy nadal działają, pliki nadal się otwierają i nikt nie ma powodu, by podejrzewać, że ktoś inny krąży już po sieci, zastanawiając się, co zabrać w pierwszej kolejności.

Poruszanie się po sieci

W tym momencie pojedynczy zainfekowany laptop przeradza się w kryzys obejmujący całą firmę. Atakujący wykorzystują uzyskany dostęp do przemieszczania się w sieci w poziomie, co oznacza, że przeskakują z jednego komputera na drugi, stopniowo zwiększając swoje uprawnienia, aż do momentu, gdy przejmą kontrolę nad danymi logowania administratora domeny. Od tego momentu mają dostęp do niemal wszystkiego w sieci.

Na tym etapie atakujący celowo atakują kopie zapasowe. Widziałem przypadki, w których złośliwe oprogramowanie atakowało taśmy kopii zapasowych i migawki (snap shoty), zanim jeszcze dotarło do danych podstawowych, ponieważ firma, która może przywrócić dane z kopii zapasowej, nie ma powodu, by płacić. Usunięcie lub uszkodzenie kopii zapasowych na samym początku jest celowe. To przemyślane posunięcie: pozbawiania ofiary możliwości wyboru, zanim jeszcze atakujący sformułują swoje żądania.

Jeśli chcesz dowiedzieć się, jak to faktycznie wygląda od środka, gdy organizacja zda sobie sprawę z zaistniałej sytuacji, nasz przewodnik dotyczący postępowania w przypadku ataku ransomware opisuje krok po kroku, co należy zrobić w ciągu pierwszych godzin – od izolacji urządzeń po skorzystanie z pomocy prawnej.

Kradzież ma miejsce jeszcze przed pojawieniem się ekranu blokady

To właśnie ta część uległa największym zmianom w ciągu ostatnich kilku lat. Atakujący obecnie wykradają dane, zanim cokolwiek zaszyfrują. Po cichu kopiują poufne pliki na swoje serwery i dopiero po zakończeniu kopiowania uruchamiają szyfrowanie, które blokuje użytkownikowi dostęp.

Nazywa się to podwójnym wymuszeniem i właśnie dlatego rozważania dotyczące zapłaty stały się o wiele bardziej skomplikowane. Nawet jeśli dysponujesz nienaruszonymi kopiami zapasowymi i w ogóle nie potrzebujesz klucza deszyfrującego, atakujący nadal posiada Twoje dane. Może grozić ich opublikowaniem lub sprzedażą, a w niektórych przypadkach zgłoszeniem ich organom regulacyjnym. To zagrożenie nie znika tylko dlatego, że przywróciłeś swoje systemy. Powiedziałbym, że jest to największa zmiana w sposobie działania tych grup i właśnie dlatego stwierdzenie „mamy kopie zapasowe” nie jest już pełną odpowiedzią na atak ransomware.

Pisaliśmy już wcześniej o decyzji, przed którą stają organizacje w tej sytuacji, a pytanie, czy opłacenie okupu się opłaca, rzadko ma prostą odpowiedź „tak” lub „nie”. Niektórzy atakujący nie dostarczają działającego narzędzia deszyfrującego nawet po dokonaniu płatności. Niektóre warianty, w szczególności programy typu „wiper”, w ogóle nie są zaprojektowane tak, by zwrócić dostęp do danych.

Dlaczego szyfrowanie to nie wszystko w procesie odzyskiwania danych

Gdy pojawia się żądanie okupu, większość ludzi zakłada, że walka się skończyła – albo zapłacisz, albo nie, a w obu przypadkach dane przepadną, chyba że pojawi się klucz deszyfrujący. To nie do końca prawda. Szyfrowanie nie zawsze niszczy dane tak całkowicie, jak chcieliby, abyśmy wierzyli, a w zależności od zachowania złośliwego oprogramowania i rodzaju używanych systemów pamięci masowej mogą istnieć sposoby odzyskania danych, które w ogóle nie wymagają udziału atakującego.

Pracowałem nad przypadkami, w których uszkodzone taśmy z kopią zapasową nadal dało się odzyskać, a także nad innymi, w których usunięte woluminy w pamięci masowej NetApp można było przywrócić do niezaszyfrowanych wersji, korzystając z punktów spójności samego systemu plików. Nie ma dwóch identycznych przypadków, co jest jednym z powodów, dla których pochopna decyzja o zapłaceniu okupu lub całkowitym wyczyszczeniu danych i rozpoczęciu od nowa może zamknąć możliwości, o których nawet nie wiedziałeś. Udokumentowaliśmy kilka takich przypadków odzyskania danych, jeśli chcesz zobaczyć, jak to wygląda w praktyce.

Rozumiem, dlaczego instynktownie chce się skasować uszkodzone dyski i odbudować system od podstaw. Wydaje się to bezpiecznym posunięciem. Jednak taki instynkt może zniszczyć właśnie te dowody, których potrzebuje inżynier ds. odzyskiwania danych lub śledczy. Zanim cokolwiek zostanie ponownie zainstalowane lub sformatowane, zasięgnij drugiej opinii na temat tego, co da się odzyskać. Może to kosztować dzień lub dwa, ale sformatowanie danych z góry całkowicie pozbawia cię tej możliwości.

Co z tym zrobić

Jeśli to do Ciebie dzwonią, gdy coś takiego się wydarzy – niezależnie od tego, czy pracujesz w zespole IT, w dziale DFIR, czy też po stronie ubezpieczyciela oceniającego roszczenie – powyższa sekwencja działań powinna wyznaczyć Twoje pierwsze kroki. Natychmiast odizoluj dotknięte systemy, ale niczego nie kasuj i zachowaj zaszyfrowane dane oraz wszelkie żądania okupu dokładnie w stanie, w jakim je zastałeś. Następnie przed podjęciem ostatecznej decyzji o zapłaceniu okupu skonsultuj się ze specjalistą; taka ocena może ujawnić możliwości odzyskania danych, które całkowicie zmienią przebieg decyzji.

Często zadawane pytania

Jak długo atakujący pozostają w sieci, zanim uruchomią oprogramowanie ransomware? Czas ten jest bardzo zróżnicowany, ale typowy okres przebywania w sieci wynosi od kilku dni do kilku tygodni. Niektóre grupy działają szybciej, zwłaszcza. gdy kupują dostęp od pośrednika zapewniającego wstępny dostęp (IAB), zamiast przeprowadzać własny rozpoznanie.

Czy zapłacenie okupu gwarantuje odzyskanie danych? Nie. Niektóre ofiary nigdy nie otrzymują działającego klucza deszyfrującego, nawet po zapłaceniu, a podwójne wymuszenie oznacza, że skradzione dane mogą wyciec później, niezależnie od tego, czy zapłacono okup, czy nie.

Czy dane można odzyskać bez płacenia okupu? Często tak. Zależy to od odmiany oprogramowania ransomware i tego, jakie systemy pamięci masowej zostały zaatakowane, a także od tego, czy kopie zapasowe zostały zniszczone tylko częściowo. Właśnie tego rodzaju kwestie powinien ocenić specjalista ds. odzyskiwania danych, zanim zostanie podjęta jakakolwiek decyzja dotycząca okupu.

Dlaczego atakujący atakują najpierw kopie zapasowe? Ponieważ firma posiadająca nienaruszone kopie zapasowe nie ma podstawowego powodu, by płacić. Wczesne zniszczenie lub zaszyfrowanie kopii zapasowych eliminuje tę opcję i zwiększa presję na negocjacje.

Jak wygląda obecna sytuacja

Grupy ransomware nieustannie udoskonalają swoje taktyki, ale sama sekwencja działań nie uległa zmianie. Zmieniła się natomiast skala przewagi, jaką atakujący zyskują, zanim w ogóle zdamy sobie sprawę z ich obecności – i właśnie dlatego pierwsza godzina ma tak ogromne znaczenie.