Åke Ljungqvist, landschef och VD på Ibas Ontrack i Sverige, förklarar; vi samarbetar med försäkringsbolag, incidenthanterings-team och IT-avdelningar efter att kravet på lösensumma redan har dykt upp på skärmen, så jag har sett hur dessa attacker utvecklas ur dataräddningsperspektiv fler gånger än jag kan räkna.
En ransomwareattack börjar inte med kryptering. Det är det sista steget, och när du blir varse att du utsatts för en attack har angriparen oftast redan befunnit sig i ditt nätverk i flera dagar eller veckor. Jag tänkte gå igenom vad som händer innan du inser att du blivit utsatt för en attack och alla dina data är oåtkomliga, eftersom förståelsen för händelseförloppet påverkar hur du hanterar situationen och vilka alternativ som finns för få tillbaks tillgången till dina data.
Viktiga slutsatser
- Kryptering är det sista steget i en attack, inte det första. De flesta ransomware-grupper tillbringar dagar eller veckor inne i ett nätverk innan de påbörjar själva krypteringen.
- Moderna aktörer kopierar och stjäl dina data innan de krypterar den. Det kallas ”dubbel utpressning”, och det innebär att risken för dataläckage inte försvinner även om man betalar lösen.
- VPN-tjänster utan säkerhetsuppdateringar, exponerade fjärrskrivbord och stulna inloggningsuppgifter är fortfarande de tre vanligaste sätten som angripare tar sig in på.
- Att isolera enheter och bevara bevis under den första timmen har en avgörande inverkan på hur mycket data du kan återfå. Att veta vem du ska kontakta för att få rätt hjälp är lika viktigt.
Att ta sig in
Varje ransomware-attack börjar med en initial åtkomst, och den här delen är sällan dramatisk. Jag tror att folk föreställer sig en genial hacker som knäcker en brandvägg i realtid, men oftast handlar det om något mycket tråkigare: en VPN-enhet utan säkerhetsuppdateringar, en fjärrskrivbordsport som lämnats öppen mot internet eller en anställd som återanvänt ett lösenord som stulits genom nätfiske.
Mäklare av initial åtkomst har gjort detta ännu mer rutinmässigt. Det handlar om kriminella grupper vars hela verksamhet går ut på att bryta sig in i nätverk och sedan sälja den åtkomsten till den som ska utföra själva attacken. Så den som tar sig in och den som så småningom kräver betalning är ofta två olika kriminella verksamheter, som arbetar några steg ifrån varandra.
När de väl är inne rör angriparna inte något värdefullt direkt. De kartlägger nätverket, hittar domänkontrollanter, identifierar backupsystem och tar reda på vilka servrar som innehåller den data som skulle göra mest skada om den försvann. Denna rekognoseringsfas kan ta allt från några timmar till några månader, beroende på hur gruppen arbetar och hur snabbt de upptäcks.
Det mesta av det som händer i denna fas skulle se helt normalt ut för ett otränat öga. Angriparen loggar in med giltiga, stulna inloggningsuppgifter. De bläddrar bland delade enheter precis som vilken anställd som helst skulle göra. Det är en del av anledningen till att det är så svårt att upptäcka dem. Ingenting verkar fel ännu. Systemen fungerar fortfarande, filerna går fortfarande att öppna, och det finns ingen anledning för någon att misstänka att någon annan redan rör sig inne i nätverket och bestämmer vad som ska tas först.
Förflyttning i nätverket
Det är här en enda infekterad bärbar dator förvandlas till en företagsomfattande kris. Angriparna använder den åtkomst de har fått för att röra sig lateralt, vilket innebär att de hoppar från en maskin till en annan och utökar sina behörigheter efter hand tills de kontrollerar domänadministratörens inloggningsuppgifter. Därifrån kan de nå nästan vad som helst i nätverket.
Det är också i detta skede som angriparna specifikt riktar in sig på dina backuper. Jag har sett fall där skadlig programvara riktade in sig på backupband precis innan den ens rörde de primära uppgifterna, eftersom ett företag som kan återställa från backuper inte har någon anledning att betala. Att först radera eller förstöra säkerhetskopiorna är avsiktligt. Det är ett beräknat drag: att ta bort dina alternativ innan de ens ställer sina krav.
Om du vill få en uppfattning om hur detta faktiskt ser ut inifrån när en organisation inser att det händer, går vår guide om hur man hanterar en ransomware-attack igenom vad som behöver göras under de första timmarna, från att isolera enheter till att anlita experter.
Stölden sker innan du har upptäckt någonting
Det här är den del som har förändrats mest under de senaste åren. Angripare kopierar och stjäl nu data innan de krypterar någonting. De kopierar i tysthet känsliga filer till sina egna servrar, och först när den kopieringen är klar utlöser de krypteringen som låser ute dig.
Detta kallas dubbel utpressning, och det är anledningen till att övervägandena kring att betala har blivit så mycket mer komplicerade. Även om du har rena säkerhetskopior och inte behöver dekrypteringsnyckeln alls, har angriparen fortfarande dina data. De kan hota med att offentliggöra eller sälja dem, och i vissa fall anmäla dem till tillsynsmyndigheter. Det hotet försvinner inte bara för att du har återställt dina system. Jag skulle säga att detta är den enskilt största förändringen i hur dessa grupper agerar, och det är därför ”vi har säkerhetskopior” inte längre är det fullständiga svaret på en ransomware-attack.
Vi har tidigare skrivit om det beslut som organisationer står inför här, och frågan om det är värt att betala lösen är sällan ett enkelt ja eller nej. Vissa angripare tillhandahåller inte ett fungerande krypteringsnyckel ens efter betalning. Vissa varianter, särskilt så kallade wipers, är inte utformade för att lämna tillbaka dina data överhuvudtaget.
Varför kryptering inte är hela lösningen för återställning
När lösenbrevet dyker upp antar de flesta att kampen är över – antingen betalar man eller så gör man det inte, och i båda fallen är data borta om inte en dekrypteringsnyckel dyker upp. Det stämmer inte helt. Kryptering förstör inte alltid data så fullständigt som angriparna vill få dig att tro, och beroende på hur skadlig programvaran beter sig och vilka lagringssystem som var inblandade kan det finnas vägar tillbaka till data som inte involverar angriparen alls.
Jag har arbetat med fall där skadade backupband fortfarande gick att återställa, och andra där raderade volymer på NetApp-lagring kunde återställas till okrypterade versioner med hjälp av filsystemets egna konsistenspunkter. Inget fall är det andra likt, vilket är en del av anledningen till att ett förhastat beslut att betala eller att radera allt och börja om från början kan stänga dörren för alternativ som du inte visste att du hade. Vi har dokumenterat några av dessa återställningar om du vill se hur det ser ut i praktiken.
Jag förstår varför instinkten är att radera de drabbade enheterna och bygga upp allt från grunden. Det känns som det säkra valet. Men den instinkten kan förstöra just de bevis som en dataräddare eller en kriminalteknisk utredare behöver för att kunna arbeta. Innan något återinstalleras eller formateras om, skaffa en andra åsikt om vad som går att rädda. Det kan kosta dig en dag eller två, men att radera först kostar dig möjligheten helt och hållet.
Vad du ska göra med detta
Om det är du som får samtalet när detta händer – oavsett om du arbetar i ett IT-team, med incidenthantering eller inom försäkringsbranschen och utvärderar ett skadeståndskrav – bör stegen ovan styra dina första åtgärder. Isolera de drabbade systemen omedelbart, men radera ingenting, och bevara de krypterade uppgifterna och eventuella lösenbrev exakt som de återfinns. Involvera sedan en specialist innan du fattar ett slutgiltigt beslut om att betala; den bedömningen kan avslöja återställningsvägar som förändrar hela beslutet.
Vanliga frågor
Hur länge befinner sig angriparna i ett nätverk innan de släpper ut ransomware? Det varierar mycket, men det är vanligt med flera dagar till några veckor. Vissa grupper agerar snabbare, särskilt när de köper åtkomst från en så kallad initial access broker istället för att själva utföra rekognosering.
Garanterar betalning av lösen att jag får tillbaka mina data? Nej. Vissa offer får aldrig en fungerande krypteringsnyckel, inte ens efter att ha betalat, och dubbel utpressning innebär att dina stulna data fortfarande kan dyka upp senare oavsett om du betalar eller inte.
Kan data återställas utan att man betalar lösen? Ofta, ja. Det beror på vilken variant av ransomware det rör sig om och vilka lagringssystem som drabbats, samt om säkerhetskopiorna endast delvis förstörts. Det är precis den typen av saker som en specialist på dataräddning bör utvärdera innan något beslut om att betala lösen fattas.
Varför riktar angriparna in sig på backuperna först? Eftersom ett företag med intakta backuper inte har någon ekonomisk anledning att betala. Att förstöra eller kryptera säkerhetskopiorna tidigt tar bort det alternativet och ökar pressen att förhandla.
Vad detta innebär
Ransomwaregrupper fortsätter att förfina sin strategi, men själva förloppet har inte förändrats. Det som har förändrats är hur mycket inflytande angriparna bygger upp innan du ens vet att de finns där, vilket är precis varför den första timmen är så avgörande.
Sverige | Svensk
Lokationer
Search
Tillbaka till listningen
