Съвместно предупреждение от ФБР, CISA и агенции на ЕС постави групата за рансъмуер SafePay в центъра на вниманието, като САЩ, Великобритания и Германия са посочени като цели на глобалната кампания на групата. Ключовият детайл за обикновените потребители и малките бизнеси: атакуващите посягат на резервните копия. Това прави защитата на резервните копия от рансъмуер SafePay по-голям въпрос от простото притежаване на второ копие на вашите файлове.

Изходната статия е кратка, затова този пост се фокусира върху това какво сигнализира предупреждението и върху практичните стъпки, които можете да предприемете. Когато описваме типичното поведение на атакуващите, то отразява общи публични доклади за SafePay и обичайната практика при рансъмуер.

Какво прави рансъмуерът SafePay и кой е мишена

SafePay е група за рансъмуер, което означава, че прониква в мрежи, заключва данни и иска плащане за възстановяване на достъпа. Публичните доклади за заплахите я описват като операция с двойно изнудване: атакуващите копират данни от системите на жертвата, преди да ги криптират, след което искат плащане в криптовалута. Заплахата е както загуба на достъп, така и изтичане на чувствителни файлове.

Съвместното предупреждение описва глобална кампания, а участващите агенции обхващат САЩ, Великобритания и Германия. Групите за рансъмуер рядко се ограничават до големи корпорации. Малките бизнеси, клиниките, училищата и местните офиси често имат ценни данни, но по-слаби защити, което ги прави привлекателни. Физически лица с устройства за мрежово съхранение у дома или в домашен офис също могат да бъдат изложени.

Публичните доклади за SafePay казват, че операторите ѝ обикновено влизат чрез кражба или отгатване на пароли и чрез експлоатиране на уязвимости в системите за сигурност. Нищо от това не е екзотично и точно затова основите имат толкова голямо значение.

Защо атакуващите посягат първо на резервните копия

Резервните копия са предпазната мрежа. Ако жертвата може да възстанови от чисто копие, искането за откуп губи по-голямата част от своята сила. Затова атакуващите, които разбират това, се опитват да премахнат мрежата, преди да дръпнат спусъка. Изтриването, криптирането или повреждането на резервните копия първо означава, че когато се появи бележката за откуп, опциите за възстановяване вече са изчезнали.

Това е промяната, която си струва да се осмисли. Много хора мислят за резервното копие като за нещо, което просто съществува. На практика резервно копие, което е достъпно от основната ви мрежа, използвайки същите идентификационни данни за вход, може да бъде намерено и унищожено от всеки, който получи този достъп. Копие, разположено на диск, постоянно включен към компютъра ви, или облачна папка, която се синхронизира автоматично, може да бъде криптирано заедно с всичко останало.

Как да защитите резервните копия: офлайн копия, неизменяемост и криптиране

Добрата защита на резервните копия от рансъмуер SafePay започва с допускането, че атакуващият в крайна сметка ще получи достъп до основните ви системи, и след това се уверява, че резервните ви копия оцеляват в този сценарий. Три идеи помагат:

  • Пазете офлайн или изолирано копие. Външен диск, който се изключва след всяко резервно копиране, не може да бъде криптиран дистанционно. За бизнесите това означава копия, които не са непрекъснато достъпни от производствената мрежа.
  • Използвайте неизменяеми резервни копия. Неизменяемостта означава, че резервно копие не може да бъде променено или изтрито за определен период, дори от администраторски акаунт. Много инструменти за резервно копиране и услуги за облачно съхранение предлагат това като настройка. Ако атакуващият открадне администраторски идентификационни данни, заключените копия остават непокътнати.
  • Криптирайте резервните си копия. Криптирането няма да спре атакуващия да изтрие данни, но защитава съдържанието, ако копие бъде откраднато. Това е важно в случай на двойно изнудване, където изтеклите данни са част от натиска.

Два подкрепящи навика са също толкова важни. Използвайте отделни идентификационни данни за системите за резервно копиране, идеално защитени с многофакторно удостоверяване, така че открадната ежедневна парола да не ги отключва. И тествайте възстановяването редовно. Резервно копие, което никога не сте възстановявали, е предположение, а не план.

Основни защити, които спират първоначалното проникване

Защитата на резервните копия е последната линия на отбрана. По-добрият резултат е да държите атакуващите навън. Тъй като докладите сочат към откраднати или отгатнати пароли и експлоатирани уязвимости, най-полезните защити са непривлекателните:

  • Активирайте многофакторно удостоверяване за имейл, отдалечен достъп, облачни акаунти и конзоли за резервни копия.
  • Използвайте силни, уникални пароли, съхранявани в мениджър на пароли, така че една изтекла идентификационна данна да не отваря множество врати.
  • Прилагайте пачове своевременно, особено за системи, изложени на интернет, като защитни стени, инструменти за отдалечен достъп и софтуер за резервно копиране. Непачнатите известни уязвимости са чест начин за проникване.
  • Ограничете отдалечения достъп. Изключете услугите, които не използвате, и ограничете кой може да достигне до останалите.

VPN може да помогне за защита на отдалечени връзки към работна мрежа, но не е заместител на пачването и MFA и няма да защити резервните копия самостоятелно.

Какво означава това за вас

Международният характер на това предупреждение заслужава внимание. Правителствата, които си сътрудничат през граници по отношение на киберзаплахи, не са новост; съюзи като Five Eyes и по-широкият Fourteen Eyes са известни с обмена на разузнавателна информация, въпреки че тези споразумения се отнасят до данни от наблюдение и са отделен въпрос от това предупреждение за рансъмуер. Изводът за читателите е по-прост: когато множество агенции издават съвместно предупреждение, заплахата е широка и не се ограничава до един регион или индустрия.

За физическите лица това означава да проверят дали резервните им копия са наистина отделни от компютъра им. За малките бизнеси това означава да попитат кой може да изтрие резервните ви копия и дали този акаунт е защитен с MFA.

Практически изводи

Защитата на резервните копия от рансъмуер SafePay се свежда до кратък одит, който можете да завършите тази седмица:

  1. Проверете настройката си за резервни копия. Имате ли поне едно копие, което е офлайн или неизменяемо?
  2. Разделете идентификационните данни. Уверете се, че достъпът до резервните копия използва различни данни за вход от ежедневните акаунти.
  3. Включете MFA навсякъде, където се предлага, като започнете с имейл, отдалечен достъп и инструменти за резервно копиране.
  4. Инсталирайте чакащите актуализации, като дадете приоритет на защитни стени, софтуер за отдалечен достъп и приложения за резервно копиране.
  5. Тествайте възстановяване на няколко файла, за да потвърдите, че резервните копия наистина работят.

Нито една от тези стъпки не е сложна и заедно те отнемат силата, на която групите за рансъмуер разчитат. Започнете с одита още днес.