Prisiminkite tą jausmą, kai kompiuteris staiga pradeda elgtis keistai – ventiliatorius ūžia kaip niekad anksčiau, diskas dirba be perstojo, o po kelių minučių ekrane išnyra užrašas raudonu fonu, kad visi jūsų failai užšifruoti ir už jų grąžinimą reikia sumokėti bitkoinais. Būtent taip dažniausiai atrodo susidūrimas su ransomware – viena iš pavojingiausių ir finansiškai skaudžiausių kibernetinio saugumo grėsmių, su kuria šiandien susiduria tiek pavieniai vartotojai, tiek didžiausios korporacijos.
Šis reiškinys nėra naujas – pirmieji tokio tipo virusai fiksuoti dar praėjusio amžiaus pabaigoje, tačiau tik pastarąjį dešimtmetį jis tapo tikru verslo modeliu nusikaltėliams. Ir kalbu būtent apie verslą – šiandieninis ransomware ekosistemoje sukasi milijardai dolerių, veikia profesionalūs komandos su klientų aptarnavimo skyriais, o kai kurios grupuotės netgi turi savo „reputacijos” sistemas darknet forumuose.
Kaip iš tikrųjų veikia šis šifravimo košmaras
Techniniu požiūriu ransomware veikimo principas yra gana paprastas, nors realizacija gali būti itin sudėtinga. Programa patenka į sistemą, po to ji naudoja stiprius šifravimo algoritmus (dažniausiai AES-256 kartu su RSA-2048 ar panašiais) failams užrakinti. Simetrinis šifravimas naudojamas greičiui – juk reikia užšifruoti gigabaitus duomenų per minutes, o asimetrinis raktų valdymui, kad tik užpuolikas galėtų duoti dešifravimo raktą.
Kai kurie variantai, kaip WannaCry ar NotPetya, elgiasi dar agresyviau – jie plinta savarankiškai per tinklą, išnaudodami operacinės sistemos pažeidžiamumus. WannaCry 2017 metais per kelias dienas užkrėtė daugiau nei 200 000 kompiuterių 150 šalyse, naudodamasis EternalBlue išnaudojimu, kurį iš NSA pasisavino ir viešai paskelbė grupuotė Shadow Brokers. Tai buvo tikras įrodymas, kad viena nepataisyta sistema gali sukelti globalinio masto chaosą.
Įdomu tai, kad šiuolaikinis ransomware retai apsiriboja vien failų šifravimu. Vadinamoji „double extortion” taktika reiškia, kad nusikaltėliai pirmiausia išsiurbia jautrius duomenis iš tinklo, o tik po to juos užšifruoja. Jei auka atsisako mokėti, grasinama duomenis paviešinti arba parduoti. Tai smarkiai padidina spaudimą, nes net atkūrus duomenis iš atsarginių kopijų, informacijos nutekėjimo grėsmė išlieka.
Užkrėtimo keliai – kur slypi pavojus
Dažniausias įsiskverbimo būdas – phishing el. laiškai. Nusikaltėliai sukuria labai įtikinamus pranešimus, imituojančius sąskaitas faktūras, siuntų sekimo informaciją ar net vidinius įmonės dokumentus. Užtenka vieno darbuotojo, atidariusio kenkėjišką priedą ar paspaudusio nuorodą, kad visa organizacijos infrastruktūra atsidurtų pavojuje.
Kitas populiarus vektorius – RDP (Remote Desktop Protocol) atakos. Daugybė įmonių, ypač po pandemijos, kai nuotolinis darbas tapo norma, paliko atviras arba silpnai apsaugotas nuotolinio prisijungimo paslaugas. Nusikaltėliai skenuoja internetą ieškodami tokių atvirų prievadų, tada bando brute-force atakas ar naudoja anksčiau nutekintus prisijungimo duomenis.
Taip pat neverta pamiršti ir tiekimo grandinės atakų (supply chain attacks). Klasikinis pavyzdys – SolarWinds incidentas, kai užpuolikai įsiskverbė per legalios programinės įrangos atnaujinimą. Nors tai nebuvo klasikinis ransomware atvejis, principas panašus – jei pavyksta pažeisti patikimą tiekėją, galima pasiekti šimtus ar tūkstančius jo klientų vienu metu.
Kai auka tampa milijoninio verslo dalimi
Ransomware-as-a-Service (RaaS) modelis pakeitė visą peizažą. Anksčiau reikėjo turėti technines žinias, kad sukurtum kenkėjišką programą. Dabar tiesiog galima „išsinuomoti” jau paruoštą įrankį iš platformos, sumokant procentą nuo gauto išpirkos mokesčio. Tai reiškia, kad net technologiškai nekvalifikuoti asmenys gali paleisti sudėtingas atakas.
Grupuotės kaip LockBit, Conti (dabar jau suskaidyta į kelias mažesnes struktūras), BlackCat/ALPHV veikia beveik kaip legalios IT kompanijos – turi partnerystes, „affiliate” programas, netgi klientų aptarnavimo chatus aukoms, kur galima derėtis dėl kainos. Kai kurios grupuotės netgi siūlo „nuolaidas”, jei mokate greitai, arba priima dalinius mokėjimus.
Finansiniai skaičiai kelia nerimą – vidutinė išpirkos suma didelėms organizacijoms 2023-2024 metais siekė kelis šimtus tūkstančių dolerių, o kai kuriais atvejais reikalavimai perkopė kelis milijonus. Tačiau tikroji žala ne vien mokėjimas – tai prastovos, prarastas verslas, reputacijos nuostoliai, teisiniai kaštai ir kompensacijos klientams.
Ar mokėti, ar nemokėti – amžinas dilemos klausimas
Šis klausimas kelia daug diskusijų tarp saugumo specialistų. Oficiali daugumos teisėsaugos institucijų pozicija – nemokėti, nes tai finansuoja nusikalstamą veiklą ir skatina naujas atakas. Tačiau realybėje sprendimą dažnai priima ne principai, o skaičiai – jei ligoninė negali pasiekti pacientų duomenų arba gamykla sustabdė gamybą, kartais mokėti atrodo vienintelė racionalus pasirinkimas.
Deja, statistika rodo, kad mokėjimas negarantuoja nieko. Apie 20-30% aukų, sumokėjusių išpirką, vis tiek negauna veikiančio dešifravimo rakto arba jis dešifruoja tik dalį duomenų su klaidomis. Be to, sumokėjusios aukos dažnai pakartotinai tampa taikiniu – nusikaltėliai žino, kad jos linkusios mokėti.
Kai kuriose šalyse ir valstijose (pavyzdžiui, tam tikrose JAV valstijose viešojo sektoriaus institucijoms) mokėjimas išpirkos jau yra tiesiog uždraustas įstatymu. Tai priverčia organizacijas investuoti į prevenciją, o ne tikėtis, kad pinigai išspręs problemą po fakto.
Gynyba, kuri tikrai veikia praktikoje
Pirma ir svarbiausia rekomendacija – atsarginės kopijos pagal 3-2-1 taisyklę: trys duomenų kopijos, dviejose skirtingose laikmenose, viena iš jų saugoma atskirai (offline arba air-gapped). Svarbu, kad bent viena kopija būtų nepasiekiama iš tinklo, nes pažangesnis ransomware specialiai ieško ir šifruoja arba trina prieinamas atsargines kopijas prieš pradedant pagrindinį šifravimą.
Antras esminis dalykas – reguliarus programinės įrangos atnaujinimas. Dauguma sėkmingų atakų išnaudoja jau žinomus pažeidžiamumus, kuriems pataisos egzistuoja mėnesiais ar net metais prieš ataką. Patch management procesas turėtų būti automatizuotas ten, kur tai įmanoma, ypač kritinėms sistemoms ir tinklo įrangai.
Segmentacija tinkle taip pat žymiai apriboja žalą. Jei visa organizacijos infrastruktūra veikia kaip vienas didelis tinklas be atskyrimo, vienas užkrėstas kompiuteris gali per kelias valandas paveikti viską. Tinkamai suskirstytas tinklas su griežtais prieigos apribojimais tarp segmentų reiškia, kad ataka lieka izoliuota mažesnėje zonoje.
Daugiafaktorinė autentifikacija (MFA) visiems nuotolinio prisijungimo taškams – tai jau ne rekomendacija, o būtinybė. Dauguma RDP ir VPN atakų pasisektų kur kas rečiau, jei būtų reikalaujama papildomo patvirtinimo faktoriaus.
Ir galiausiai – žmonės. Techninės priemonės niekada nebus visiškai efektyvios, jei darbuotojai nesupranta pavojaus. Reguliarūs phishing simuliacijos testai, aiškūs protokolai, ką daryti pastebėjus įtartiną laišką, ir kultūra, kurioje darbuotojai nebijo pranešti apie klaidą (o ne slepia ją baimindamiesi bausmės) – visa tai reikšmingai sumažina riziką.
Ką daryti, jei jau per vėlu
Jei ataka jau įvyko, pirmas žingsnis – izoliuoti užkrėstas sistemas nuo tinklo, kad sustabdytumėte plitimą. Neišjunkite kompiuterio iš karto, nes tai gali sunaikinti forensinius įrodymus ir kai kuriais atvejais net dešifravimo galimybes, jei šifravimo procesas dar nebaigtas.
Prieš darant bet ką kita, verta patikrinti svetainę No More Ransom (nomoreransom.org) – tai bendras Europolo, teisėsaugos institucijų ir kibernetinio saugumo kompanijų projektas, kuriame kaupiami nemokami dešifravimo įrankiai daugeliui žinomų ransomware šeimų. Kartais pasiseka, ir jūsų atvejo variantas jau turi sprendimą.
Svarbu pranešti apie incidentą atitinkamoms institucijoms – Lietuvoje tai Nacionalinis kibernetinio saugumo centras (NKSC). Ne tik dėl teisinių priežasčių, bet ir todėl, kad jūsų informacija gali padėti kitiems, susidūrusiems su tuo pačiu variantu.
Vietoj griežto punktualaus apibendrinimo – keletas minčių pasivaikščiojimui
Ransomware nėra kažkoks abstraktus pavojus, apie kurį skaitome naujienose ir pagalvojame „manęs tai neliečia”. Tai realybė, kuri kasdien liečia mažas parduotuves, ligonines, mokyklas ir didžiausias korporacijas vienodai negailestingai. Skirtumas tik tas, kad vieniems tai kainuoja kelis šimtus eurų prarastų darbo valandų, o kitiems – milijonus ir metus trunkantį reputacijos atstatymą.
Jei ką nors turėtumėte išsinešti iš šio straipsnio, tegul tai būna paprasta mintis – saugumas nėra vienkartinis veiksmas, o nuolatinis procesas. Nėra tokio dalyko kaip „įdiegėme antivirusą, dabar esame saugūs”. Reikia atsarginių kopijų, kurios tikrai veikia (patikrinkite jas periodiškai, ne tik sukurkite ir pamirškite), atnaujinimų, kurie diegiami laiku, ir žmonių, kurie žino, ką daryti krizės akimirką.
Verta prisiminti ir tai, kad kibernetinio saugumo investicijos dažnai atrodo bereikalingos iki tos akimirkos, kai jų labiausiai reikia. Tai panašu į draudimą – niekas nedžiaugiasi mokėdamas įmokas, bet kai įvyksta nelaimė, būtent tada supranti, kodėl tai buvo verta. Geriau skirti biudžetą prevencijai dabar, nei vėliau aiškintis su klientais, kodėl jų duomenys atsidūrė darknet’e.
Ir dar viena mintis pabaigai – technologijos keičiasi, bet žmogiškasis faktorius lieka silpniausia grandimi beveik visada. Investuokite ne tik į firewall’us ir endpoint apsaugą, bet ir į žmonių švietimą. Kartais paprasčiausias pokalbis su komanda apie tai, kaip atpažinti įtartiną el. laišką, gali apsaugoti daugiau nei brangiausia programinė įranga.
