С години наред ransomware се свързваше с много конкретна представа: криптирани файлове и бележка за откуп на екрана. Предупреждение на Kaspersky, цитирано от доминиканското издание Acento, подсказва, че тази представа е непълна. Ако се питаш ransomware без криптиране какво е, краткият отговор е форма на цифрово изнудване, при която престъпниците могат да блокират компютри, да прекъснат операции и да заплашват с публикуване на открадната информация, без да разчитат файловете да бъдат криптирани.
Наличният материал за това предупреждение е кратък, затова е добре да се разграничи какво се знае от това, което представляват общи препоръки. Това, което е ясно, е промяната в подхода: изнудването вече не разчита само на загубата на достъп, а на заплахата от разкриване на данни.
Ransomware без криптиране: какво е и с какво се различава от класическия
Класическият ransomware работи като катинар: криптира файловете и изисква плащане срещу ключа. Жертвата, ако има добри резервни копия, може да възстанови системите си и да намали натиска от страна на нападателя.
Описаната от Kaspersky форма измества центъра на изнудването. Според предупреждението престъпниците могат да:
- Блокират компютри.
- Прекъснат операциите на компанията.
- Заплашват с публикуване на открадната информация.
Тоест натискът идва от два фронта едновременно: парализата на бизнеса и рискът чувствителни данни да се окажат пред очите на трети страни. Липсата на криптиране на файлове не означава, че щетата е по-малка; означава, че нападателят вече не се нуждае от това парче, за да има лост.
Защо резервните копия не са достатъчни срещу изнудване чрез изтичане
Резервните копия остават задължителни, но решават само един проблем: възстановяване на информация и връщане към работа. Те не могат да отменят кражба на данни.
Ако нападателите вече са отнесли фактури, списъци с клиенти, договори или лични данни, възстановяването на резервно копие не ги връща под твой контрол. Заплахата те да бъдат публикувани остава в сила, дори системите ти да работят отново. Затова възстановяването вече не е равносилно на затваряне на кризата.
Това променя основния въпрос. Преди се питаше "можем ли да възстановим файловете си?". Сега трябва да се питаме и "какво биха могли да ни откраднат и какво би станало, ако то стане публично?".
Как се промъкват нападателите и какви легитимни инструменти използват
Обобщеното от Acento предупреждение не описва подробно пътищата за проникване, затова няма да приписваме на Kaspersky конкретни техники. Това, което можем да обясним, е свързан модел, който вече сме разглеждали: определени кампании без криптиране разчитат на легитимни инструменти, които вече съществуват в системите на жертвата, вместо да зависят от очевидни зловредни програми. Подробно го описваме в нашия анализ за ransomware без криптиране living off the land, където се обяснява как нападателите използват това, което вече ти е под ръка.
Логиката е проста: инструмент за администриране или програма за ежедневна употреба пораждат по-малко подозрение от непознат файл. Затова наблюдението само за наличието на "вируси" вече не е достатъчно; важно е също да се следи необичайното поведение на легитимния софтуер.
Какво означава това за теб (What This Means For You)
Ако управляваш малък или среден бизнес, основният урок е, че планът ти за реакция не може да завършва с резервното копие. Прекъсване на операциите, съчетано със заплаха за изтичане, засяга непрекъсваемостта на бизнеса, доверието на клиентите ти и потенциално задължения за защита на личните данни.
Ако си индивидуален потребител, рискът е по-косвен, но реален: твоите данни често са в ръцете на компании и услуги, които могат да бъдат обект на този вид изнудване. Колкото по-малко чувствителна информация споделяш и съхраняваш без нужда, толкова по-малко може да бъде разкрита.
Принципът, който обединява двата случая, е един и същ: ограничи това, което може да бъде откраднато.
Практични мерки за намаляване на излагането
Няма единно решение, но тези общи мерки помагат да се намали въздействието на всяко изнудване, основано на данни:
- Направи опис на чувствителните си данни. Знай каква информация имаш, къде се съхранява и кой може да има достъп до нея.
- Премахни това, което не ти е нужно. Старите или ненужни данни са данни, които могат да изтекат, без да носят стойност.
- Прилагай принципа на минималните права. Всеки човек трябва да има достъп само до това, което му е необходимо за работата.
- Активирай многофакторно удостоверяване за имейл, отдалечено администриране и облачни услуги.
- Поддържай отделни и тествани резервни копия, като знаеш, че те защитават наличността, а не поверителността.
- Криптирай чувствителната информация в покой, така че кражбата да е по-малко полезна за нападателя.
- Поддържай системите и приложенията актуализирани и проверявай кои инструменти за администриране са активирани и кой ги използва.
- Подготви план за реакция, който включва какво да се прави, ако бъдат откраднати данни, не само ако бъдат блокирани устройства.
Заключение: отвъд въпроса какво е ransomware без криптиране
Да разбереш ransomware без криптиране какво е е първата стъпка; следващата е да действаш спрямо това, което означава. Предупреждението на Kaspersky показва, че престъпниците могат да парализират компания и да оказват натиск с публикуването на откраднати данни, със или без криптирани файлове. Резервните копия остават необходими, но вече не са единствената линия на защита.
Това е добър момент да прегледаш как твоята организация съхранява и защитава чувствителната си информация: какво пазиш, къде, за колко време и кой може да я види. Ако искаш да задълбочиш в това как нападателите злоупотребяват с легитимни инструменти, прочети нашето обяснение за ransomware без криптиране, който използва твоите собствени инструменти и започни още днес да намаляваш това, което биха могли да ти откраднат.
