Ransomware to forma złośliwego oprogramowania, która przejmuje kontrolę nad danymi lub urządzeniem ofiary i stawia ją przed strasznym ultimatum: albo zapłacić okup, albo ponieść konsekwencje. Niezależnie od tego, czy jest to przedłużająca się blokada, czy powszechny wyciek danych, zagrożenie jest prawie zawsze na tyle wysokie, aby przekonać ofiary do zapłacenia. 

Indeks analizy zagrożeń IBM Security X-Force z 2023 r. pokazuje, że w zeszłym roku ataki ransomware stanowiły prawie jedną czwartą wszystkich cyberataków. Popularność ransomware jest wynikiem szeroko zakrojonych, globalnych czynników społeczno-ekonomicznych – z których każdy razem tworzy stale obecne zagrożenie dla Twojej organizacji.

Etapy ataku ransomware

Od niezwykle złożonych ataków po wykorzystanie prostych przeoczeń – prawie każdy atak oprogramowania ransomware składa się z czterech do pięciu kluczowych etapów. 

Etap 1: Wykorzystanie luki w zabezpieczeniach

Niezależnie od tego, czy chodzi o lukę w zabezpieczeniach Twojego stosu technologicznego, czy o pojedyncze przeoczenie członka personelu, głównym etapem każdego ataku oprogramowania ransomware jest pewnego rodzaju wektor dostępu. Często słabym ogniwem mogą być Twoi współpracownicy (a nawet Ty sam!). Phishing to jeden z najczęstszych sposobów włamania się do bezpiecznych organizacji; to właśnie pozwoliło atakującym przeprowadzić atak ransomware na brytyjską gazetę Guardian na początku 2023 roku.

Inne próby infiltracji wykorzystują złośliwe strony internetowe lub bezpośrednio atakują luki w oprogramowaniu. 

Etap 2: Uwolnij SZCZURA

Dostęp zdalny jest najczęściej postrzegany w kontekście wsparcia technicznego – po włączeniu tej opcji Twój zespół IT może pomagać współpracownikom w codziennych zadaniach komputerowych. Zdalna pomoc umożliwia innym użytkownikom przejęcie pełnych uprawnień administracyjnych, dając im pełną kontrolę nad każdym procesem na Twoim komputerze. RAT wypacza to, instalując na komputerze bez wiedzy użytkownika.  

Osoby atakujące często wykorzystują RAT jako sposób na obejście ustalonych środków bezpieczeństwa – podczas gdy rozwiązania antywirusowe mogą identyfikować oprogramowanie ransomware poprzez proste wykrycie sygnatury pliku, trojana zdalnego dostępu trudniej jest wykryć przed implantacją. Opierając się na legalnie wyglądających plikach, takich jak pakiety oprogramowania i gry wideo, RAT oferuje różne ścieżki każdemu intrygującemu atakującemu, torując drogę do kolejnego etapu ataku.

Etap 3: Rozpoznanie 

Mając oparcie w systemie ofiary, atakujący może rozpocząć węszenie. Główny nacisk położony jest na zrozumienie systemów lokalnych wraz z domeną, do której mają obecnie dostęp. Stamtąd mogą swobodnie poruszać się w bok. W tym właśnie tkwi główna słabość zabezpieczeń obwodowych; jeśli opiera się tylko na jednej linii obrony, ruch boczny jest znacznie łatwiejszy, a ostateczny atak ma większy zasięg. Jednak w tym momencie osoba atakująca aktywnie rozszerza swoją kontrolę nad systemem i narusza coraz bardziej uprzywilejowane konta, zachowując przy tym możliwie największą dyskrecję. 

Etap 4: Eksfiltracja

Na tym etapie atakujący dotarł do jak największej liczby obszarów organizacji. Dopiero teraz jednak podejmuje się jakiekolwiek działania, które przynoszą bezpośrednią korzyść grupie atakującej. Uwaga skupia się na identyfikacji i eksfiltracji danych – im bardziej wrażliwe, tym lepiej. Wzrost liczby połączonych ataków wymuszenia i oprogramowania ransomware wynika z kontekstu dzisiejszego krajobrazu zarządzania zagrożeniami. Naruszenia danych wiążą się z wysokimi karami finansowymi i wybuchem złego PR; z perspektywy atakującego dane te mogą zostać sprzedane także innym obszarom machiny cyberprzestępczej. W tym momencie napastnicy pochłonęli kolejną ofiarę. Niezależnie od tego, jaki etap końcowy nastąpi, prawdopodobnie będą w stanie zarobić pieniądze, których oczekują. 

Etap 5: Szyfrowanie

Wreszcie, po potajemnym wyssaniu TB danych firmowych – danych logowania, danych osobowych klientów i własności intelektualnej – cyberprzestępcy są w stanie zadać ostateczny cios. Kryptograficzne oprogramowanie ransomware przedostaje się do każdego pliku, do którego może uzyskać dostęp za pośrednictwem zagrożonych sieci, szyfrując je na bieżąco. Zaawansowane formy niektórych odmian oprogramowania ransomware idą jeszcze dalej, wyłączając funkcje umożliwiające przywrócenie systemu w ostatniej chwili i usuwanie wszelkich kopii zapasowych z zainfekowanej sieci. Jednak nie każde oprogramowanie ransomware szyfruje: niektóre blokują ekran urządzenia lub nawet zaleją użytkownika niekończącą się falą wyskakujących okienek.

Wreszcie, gdy urządzenie i powiązane z nim pliki staną się niedostępne, ofiara zostaje poinformowana o swoim złym losie za pomocą żądania okupu. Często ma to postać pliku .txt przechowywanego na pulpicie komputera i zawierającego instrukcje dotyczące zapłacenia okupu. 

Kto jest celem oprogramowania ransomware?

Z każdym udanym atakiem osoba atakująca oprogramowanie ransomware staje się odważniejsza, atakując branże w sposób, który powoduje jak najwięcej bólu. W ostatnich latach jeden obszar był celem ze szczególną bezwzględnością: infrastruktura krytyczna. 

Atak na dostawcę energii może skutkować awarią sieci lub niespójną dostawą energii do domów, budynków komercyjnych lub innych kluczowych dostawców usług. Elektrownie, zakłady uzdatniania wody, systemy transportowe i sieci komunikacyjne to obszary, na których w ciągu ostatnich kilku lat poświęcono szczególną uwagę. Jest to w dużej mierze wynikiem poważnych wad ukrytych głęboko w przemysłowych systemach sterowania, które służą do monitorowania i kontrolowania krytycznych elementów infrastruktury.

Schneider Electric i Siemens to dwa rozwiązania do sterowania przemysłowego, które już zaoferowały atakującym wielołańcuchowe ścieżki ataku. Jednym z niedawnych przykładów jest usterka dotycząca mierników mocy ION i PowerLogic firmy Schneider Electric. Zapewniają one monitorowanie energii organizacjom z sektorów produkcyjnego, energetycznego i wodnego; Exploit ten, oznaczony jako CVE-2022-46680, uzyskał surowy wynik CVSS wynoszący 8.8 na 10 i umożliwia cyberprzestępcom dostęp do danych uwierzytelniających, które pomogłyby im zmienić ustawienia konfiguracyjne i zmodyfikować oprogramowanie sprzętowe.

Dlaczego ataki ransomware się rozprzestrzeniają?

Liczba ataków oprogramowania ransomware w dalszym ciągu gwałtownie rośnie – częściowo ze względu na zmieniającą się gospodarkę światową. Ponieważ oprogramowanie ransomware jest atakiem często motywowanym finansowo, główną rolę w jego popularności odgrywają kwestie społeczno-ekonomiczne, takie jak ubóstwo i nierówność majątkowa. Proces ten również nabrał tempa w ciągu ostatnich kilku lat – częściowo dlatego, że oprogramowanie ransomware jest obecnie najbardziej dostępne w historii. Aspirujący cyberprzestępcy nie potrzebują już dogłębnej wiedzy na temat bezpieczeństwa sieci. Zamiast tego niektórzy twórcy oprogramowania ransomware decydują się na udostępnianie swojego kodu złośliwego oprogramowania w ramach umów typu ransomware jako usługa (RaaS). W tej konfiguracji cyberprzestępca działa jako podmiot stowarzyszony, wykorzystując wcześniej napisany kod i dzieląc się częścią zapłaty okupu z pierwotnym programistą. Ta symbiotyczna relacja okazuje się korzystna dla obu stron: podmioty stowarzyszone mogą czerpać korzyści z wyłudzeń bez konieczności tworzenia własnego złośliwego oprogramowania, podczas gdy programiści mogą zwiększać swoje zyski bez stania na pierwszej linii frontu. 

Ostatnim powodem wzrostu liczby przypadków oprogramowania ransomware jest napięcie geopolityczne. To siła napędowa tak masowych kampanii przeciwko potentatom infrastrukturalnym. Pomysł hakera wspieranego przez państwo był kiedyś izolowany w celu atakowania podmiotów bezpośrednio finansowanych przez złośliwe państwa. Teraz czasy się zmieniły. Wraz z inwazją Rosji na Ukrainę – i rosnącą dostępnością oprogramowania ransomware – niepowiązane podmioty zagrażające z wielkim entuzjazmem zaangażowały się w tę sprawę. Infrastruktura krytyczna, taka jak koleje, została z dumą zatrzymana – jak na przykład włamanie się Cyberpartyzantów na białoruskie koleje, zorganizowane w celu uniemożliwienia przemieszczania się rosyjskich żołnierzy. 

Historia ataków ransomware

Począwszy od eksperymentalnej dyskietki, oprogramowanie ransomware zajęło dużo czasu, aby przekształcić się w niezwykle agresywne ataki, z którymi borykają się współczesne organizacje.

1989: Początki low-tech. Pierwszym udokumentowanym oprogramowaniem ransomware był trojan AIDS. Oprogramowanie ransomware, rozpowszechniane za pośrednictwem dyskietek, ma zdumiewająco niskotechnologiczne korzenie. Katalogi plików na komputerze ofiary zostały ukryte, zanim wyskakujące okienko ransomware zażądało 189 dolarów za ich ujawnienie. Ponieważ jednak szyfrował nazwy plików, a nie rzeczywiste pliki, użytkownicy w końcu byli w stanie sami odwrócić szkody.

2005: Pojawiają się nowe style szyfrowania. Po stosunkowo niewielkiej liczbie ataków oprogramowania ransomware na początku XXI wieku rozpoczął się gwałtowny wzrost liczby infekcji, skoncentrowanych głównie w Rosji i Europie Wschodniej. Pojawiły się pierwsze odmiany wykorzystujące szyfrowanie asymetryczne. Ponieważ nowsze oprogramowanie ransomware oferowało skuteczniejsze metody wyłudzania pieniędzy, coraz większa liczba cyberprzestępców zaczęła rozprzestrzeniać oprogramowanie ransomware na całym świecie.

2009: Niewykrywalne płatności dołączają do walki. Pojawienie się kryptowalut, w szczególności Bitcoina, umożliwiło cyberprzestępcom otrzymywanie niewykrywalnych płatności okupu, co doprowadziło do kolejnej fali aktywności oprogramowania ransomware.

2013: CryptoLocker sprawdza się. Nowoczesna era oprogramowania ransomware rozpoczyna się wraz z wprowadzeniem narzędzia CryptoLocker, co oznacza początek skryptów oprogramowania ransomware opartych na szyfrowaniu, które po wdrożeniu żądają od ofiary uiszczenia płatności w kryptowalucie.

2015: Narodziny RaaS. Wariant oprogramowania ransomware Tox jest pionierem modelu oprogramowania ransomware jako usługi (RaaS), umożliwiającego innym cyberprzestępcom łatwy dostęp i wdrażanie oprogramowania ransomware do własnych złośliwych celów.

2017: WannaCry trafia do NHS. Pojawienie się wirusa WannaCry oznacza pierwszy szeroko stosowany samoreplikujący się kryptorobak, umożliwiający szybkie rozprzestrzenianie się oprogramowania ransomware w sieciach i systemach. 

2018: Ryuk atakuje Wall Street Journal i LA Times. Ryuk zyskuje popularność i ustanawia koncepcję polowania na grubego zwierza w ramach ataków oprogramowania ransomware, których celem są organizacje o dużej wartości w celu uzyskania większych wypłat okupu.

2019: Podwójne wymuszenie staje się normą. Zaczyna rosnąć liczba podwójnych ataków ransomware. Większość incydentów związanych z oprogramowaniem ransomware obsługiwanych przez zespół IBM Security Incident Response obejmuje obecnie zarówno szyfrowanie danych, jak i groźbę ich ujawnienia, jeśli okup nie zostanie zapłacony.

2023: Przejmowanie wątków staje się teraz popularne. Przejmowanie wątków staje się głównym wektorem oprogramowania ransomware, w ramach którego cyberprzestępcy włączają się w rozmowy internetowe swoich celów, aby ułatwić rozprzestrzenianie oprogramowania ransomware i zwiększyć swoje szanse na skuteczne wymuszenie.

Dlaczego nie powinieneś po prostu płacić okupu

W 2019 r. większość ofiar oprogramowania ransomware zapłaciła atakującym. Jednak w pierwszym kwartale 2022 r. odsetek ten uległ zmniejszeniu. Dzieje się tak częściowo z powodu przytłaczającej liczby powodów przemawiających przeciwko dokonaniu tak istotnej wypłaty okupu.

Możesz nie otrzymać klucza deszyfrującego

Średnio w 2021 r. organizacje, które zapłaciły okup, odzyskały jedynie 61% swoich danych. Liczba organizacji, które zapłaciły, a następnie otrzymały wszystkie swoje dane, wyniosła zaledwie 4%. Gdy hakerzy otrzymają okup, Twoje dane nadal są dla nich warte pieniędzy – sprzedaż i wyciek zapewnia im jeszcze większy zwrot z inwestycji.

Możesz wielokrotnie otrzymywać żądania okupu

Przytłaczająca większość ofiar, które płacą, w dalszej perspektywie spotyka się z większą liczbą ataków okupowych. Wiodący raport z 2022 roku przeanalizował, co się dzieje, gdy organizacja po prostu płaci atakującym, i odkrył potwornie wysoki wskaźnik ponownych przestępstw. Spośród wszystkich ofiar, które przyznały się do zapłacenia okupu, 80% z nich zostało później uderzonych po raz drugi, przy czym 68% z nich doświadczyło ataków w tym samym miesiącu, podczas których żądano wyższego okupu. Jednym z powodów jest fakt, że osoby decydujące się na zapłatę są postrzegane jako bezbronne cele. 9% zapłaciło po raz trzeci.

Wkrótce możesz złamać prawo

Departament Skarbu USA wydał już ostrzeżenie doradcze dotyczące przyszłych problemów prawnych. Udział w płatnościach za oprogramowanie ransomware – czy to jako ofiara, firma ubezpieczeniowa czy instytucja finansowa – może potencjalnie naruszyć przepisy dotyczące bezpieczeństwa międzynarodowego. Dzieje się tak głównie dzięki ostatniemu punktowi, który podkreśla realia ekonomiczne oprogramowania ransomware.

Finansujesz działalność przestępczą

Dzięki każdej ofierze, która płaci, grupy hakerskie są w stanie opracować jeszcze bardziej zaawansowane metody wykorzystania złośliwego oprogramowania do infiltracji bardziej narażonych firm. Zapłata okupu nie tylko pogarsza samo oprogramowanie ransomware, ale bezpośrednio finansuje agresywne państwa narodowe, które często finansują takie publiczne i destrukcyjne ataki.

Z drugiej strony, im więcej przeszkód napotykają hakerzy w swojej działalności przestępczej, tym maleje szansa, że ​​będą w stanie w dalszym ciągu szkodzić innym firmom. 

Różne typy ransomware 

Oprogramowanie ransomware często przybiera różne formy i chociaż oprogramowanie ransomware oparte na szyfrowaniu jest jednym z najpowszechniejszych typów, szyfrowanie wrażliwych danych nie jest jedynym sposobem, w jaki dane organizacji mogą być chronione ostrzem noża. 

Scareware

Scareware to zaawansowany technologicznie kuzyn oprogramowania ransomware. Często w takich przypadkach złośliwy ładunek uruchamia wiadomość rzekomo pochodzącą od organów ścigania lub nawet pochodzącą z legalnej infekcji wirusowej. Może skierować użytkownika w stronę fałszywego oprogramowania antywirusowego, powodując, że ofiary będą płacić za przywilej pobierania własnego oprogramowania ransomware. 

Blokady ekranu

Ta forma oprogramowania ransomware blokuje dostęp użytkownika nie poprzez szyfrowanie, ale po prostu uniemożliwiając użytkownikowi interakcję z którymkolwiek z jego plików. Zablokowanie całego urządzenia ofiary zwykle odbywa się poprzez zablokowanie dostępu do systemu operacyjnego. Zamiast normalnie uruchamiać się, urządzenie po prostu wyświetla żądanie okupu.

Wycieraczki

Chociaż oprogramowanie ransomware oparte na szyfrowaniu często wabi ofiary do zapłaty, obiecując, że wszystko wróci do normy, programy wycierające przyjmują bardziej agresywne podejście. Żądanie okupu grozi zniszczeniem wszystkich danych, jeśli nie zostaną zapłacone. Nawet w przypadkach, w których ofiary się kłócą, dane są często usuwane niezależnie od tego. Sam destrukcyjny potencjał wycieraczek sprawia, że ​​są one szczególnie dobrze wykorzystywanym narzędziem dla podmiotów działających w państwie narodowym i haktywistów. 

Popularne warianty ransomware

W błotnistym, stale rozwijającym się świecie oprogramowania ransomware warianty mogą pojawić się w jednej chwili i zniknąć w następnej. W ciągu ostatniej dekady na scenę wkroczyło czterech głównych graczy, a każdy z nich odegrał wyjątkową rolę w wypychaniu nielegalnego przemysłu na nowe tereny.

WannaCry

WannaCry był pierwszym znaczącym przykładem kryptorobaka – rodzaju oprogramowania ransomware, które potrafi rozprzestrzeniać się na inne urządzenia w sieci. Jego celem było ponad 200,000 150 komputerów w XNUMX krajach, wykorzystując lukę EternalBlue w systemie Microsoft Windows, której administratorom nie udało się załatać. Oprócz szyfrowania cennych danych, oprogramowanie ransomware WannaCry stwarzało również zagrożenie wyczyszczeniem plików, jeśli płatność nie zostanie otrzymana w ciągu siedmiu dni.

Atak WannaCry jest jednym z największych odnotowanych dotychczas incydentów związanych z oprogramowaniem ransomware, a jego koszty są szacowane osiągając nawet 4 miliardy dolarów. Jego wpływ na szeroką skalę i szybkie rozprzestrzenianie się uwypukliły istotne konsekwencje, jakie mogą mieć niezałatane luki i zaniedbania administratorów systemów w obliczu takich cyberzagrożeń.

Zło

REvil, określany także jako Sodin lub Sodinokibi, odegrał znaczącą rolę w spopularyzowaniu modelu ransomware-as-a-service (RaaS) służącego do dystrybucji oprogramowania ransomware. Takie podejście umożliwia innym cyberprzestępcom dostęp do ransomware REvil i wykorzystywanie ich do własnych szkodliwych działań. REvil zyskał rozgłos dzięki zaangażowaniu w ataki polegające na polowaniu na grubego zwierza i taktyce podwójnego wymuszenia.

W 2021 r. REvil był odpowiedzialny za znaczące ataki na JBS USA i Kaseya Limited. JBS, czołowa firma zajmująca się przetwórstwem wołowiny w Stanach Zjednoczonych, doświadczyła zakłóceń, które doprowadziły do ​​zapłaty okupu w wysokości 11 milionów dolarów. Atak miał wpływ na działalność przetwórstwa wołowiny JBS w całych Stanach Zjednoczonych. Firma Kaseya Limited, dostawca oprogramowania, odnotowała skutki znacznych przestojów spowodowanych atakiem, które dotknęły ponad tysiąc klientów.

Na początku 2022 roku Rosyjska Federalna Służba Bezpieczeństwa oświadczyła, że ​​rozwiązała REvil i zaczęła oskarżać kilku jej członków o przeszłe zbrodnie.

Ryuk

Zaobserwowane po raz pierwszy w 2018 r. oprogramowanie ransomware Ryuk stało na czele ataków typu „ransomware dużej gry”, których celem były w szczególności podmioty o dużej wartości; ich żądania okupu regularnie przekraczały milion dolarów. Ryuk jest przygotowany do atakowania tak odnoszących sukcesy organizacji dzięki swojej agresywnej zdolności identyfikowania i wyłączania plików kopii zapasowych oraz funkcji przywracania systemu. W 2021 r. zidentyfikowano nowy szczep Ryuka posiadający możliwości kryptorobaka, co jeszcze bardziej zwiększa jego zdolność do szybkich i rozległych infekcji.

Darkside

DarkSide to wariant oprogramowania ransomware, który prawdopodobnie jest obsługiwany przez grupę podejrzaną o siedzibę w Rosji. 7 maja 2021 roku firma DarkSide przeprowadziła znaczący cyberatak na US Colonial Pipeline, który uznawany jest za najpoważniejszy jak dotąd cyberatak na infrastrukturę krytyczną w Stanach Zjednoczonych. W wyniku ataku rurociąg dostarczający około 45 procent paliwa na wschodnie wybrzeże USA został tymczasowo wyłączony. 

Grupa DarkSide nie tylko przeprowadza bezpośrednie ataki oprogramowaniem ransomware, ale także licencjonuje swoje oprogramowanie ransomware innym podmiotom stowarzyszonym z cyberprzestępcami, umożliwiając grupie zwiększenie zasięgu i zysków.

Jak chronić się przed oprogramowaniem ransomware

Bardzo ważne jest dokładne zbadanie źródła ataku ransomware i podjęcie odpowiednich kroków w celu rozwiązania problemu. Jeśli atak nastąpił w wyniku kliknięcia przez pracownika ryzykownego łącza, ważne jest, aby ulepszyć szkolenie pracowników w zakresie identyfikowanie ataków phishingowych i podkreślaj znaczenie utrzymywania bezpiecznych, unikalnych haseł, takich jak hasła. Wdrożenie oprogramowania do uwierzytelniania dwuskładnikowego dla wszystkich urządzeń i pracowników może zapewnić dodatkową warstwę ochrony.

Regularna aktualizacja oprogramowania i sprzętu jest niezbędna do ograniczenia potencjalnych luk w zabezpieczeniach. Aby nadążać za stale ewoluującymi taktykami stosowanymi przez atakujących, konieczne jest wzmocnienie infrastruktury cyberbezpieczeństwa. Regularna konfiguracja sieci może pomóc w przechwyceniu szkodliwego ruchu i utrudnić przestępcom zaatakowanie Twojej organizacji.

Identyfikacja wszelkich luk w zabezpieczeniach i szybkie ich eliminowanie ma kluczowe znaczenie. Każde zdarzenie związane z bezpieczeństwem należy postrzegać jako okazję do uzyskania wglądu w słabe punkty infrastruktury i poprawy ogólnego stanu bezpieczeństwa. Bezpieczeństwo to ciągły proces, który wymaga ciągłego testowania i doskonalenia, aby wyprzedzić potencjalne zagrożenia.

Jak LayerX chroni przed oprogramowaniem ransomware

W miarę jak taktyka oprogramowania ransomware urosła w siłę, zmieniły się luki w zabezpieczeniach, które torują drogę atakującym. Jednocześnie przeglądarka stała się podstawowym elementem nowoczesnego obszaru roboczego, podobnie jak aplikacje zarządzane i całkowicie niezatwierdzone. Znajdujące się pomiędzy bezpiecznym środowiskiem chronionego punktu końcowego a siecią WWW to wyjątkowe skrzyżowanie tych aplikacji – i słaby punkt wielu organizacji. 

LayerX chroni zasoby, na które zespół ds. bezpieczeństwa przedsiębiorstwa nie ma wpływu, wprowadzając głęboką szczegółowość. To wyróżnia wszelkie działania, które mogą wprowadzić ryzyko pobrania oprogramowania ransomware lub RAT. Skoncentrowanie się na ochronie na poziomie lokalnym umożliwia wdrożenie LayerX z rozszerzeniem przeglądarki umożliwiającym szybką instalację na poziomie profilu użytkownika. Widoczność skierowana przede wszystkim do użytkownika jest połączona z wiodącą w branży analizą znajdującą się w czołówce chmury wywiadowczej o zagrożeniach LayerX. Po proaktywnej identyfikacji elementów wysokiego ryzyka elementy wymuszające LayerX podejmują zdecydowane działania – neutralizując wszelkie zagrożenia związane z powszechnym szyfrowaniem bez ryzyka zakłócania pracy użytkownika. Dzięki LayerX organizacje mogą wdrożyć pełną ochronę w dowolnym miejscu, w którym użytkownicy uzyskują dostęp do Internetu.