Рансъмуерът саботира възстановяването, преди да криптира каквото и да е

Повечето хора си представят атака с рансъмуер като едно-единствено внезапно събитие: файловете биват криптирани, появява се бележка с искане за откуп, а организацията се бърка да реагира. В действителност най-разрушителната част от атаката с рансъмуер често се случва, преди дори един файл да бъде заключен. Нападателите умишлено унищожават архивите и възможностите за възстановяване първо, така че когато криптирането най-накрая удари, жертвите не разполагат с никаква предпазна мрежа, на която да разчитат.

Това е основният извод зад нарастващия фокус в операциите по сигурността: инженеринг за откриване, изграден специално за улавяне на саботаж преди криптиране. Две поведения се открояват като надеждни ранни предупредителни знаци. Първото е изтриване на сенчести копия, при което нападателите заличават Windows Volume Shadow Copies, вградените моментни снимки, които позволяват на администраторите да се върнат към по-ранна, чиста версия на системата. Второто е злоупотребата с обекти на групова политика (GPO), за да се разпространяват злонамерени полезни товари в цялата мрежа наведнъж, превръщайки един компрометиран акаунт в механизъм за масово разпространение.

И двете действия са тихи в сравнение със самото криптиране. Те не заключват никого от нищо веднага. Точно затова са опасни: те се случват в прозореца, преди някой да забележи, че нещо не е наред, и са специално проектирани да направят възстановяването невъзможно, след като атаката стане очевидна.

Защо инженерингът за откриване променя времевата линия

Традиционният мониторинг на сигурността обикновено се фокусира върху момента на въздействие, точката, в която файловете са криптирани и системите потъват в мрак. Дотогава щетите до голяма степен са нанесени. Инженерингът за откриване обръща тази времева линия, като изгражда сигнали около подготвителните стъпки, които нападателите предприемат преди началото на криптирането.

Сигнализирането за изтриване на сенчести копия означава да се третира като присъщо подозрително събитие, а не като рутинна поддръжка. Легитимните администратори рядко трябва да изтриват сенчести копия в големи количества на множество системи за кратък период. Когато този модел се появи, това е силен сигнал, че нещо активно работи за премахване на способността на организацията да се възстанови самостоятелно.

По подобен начин наблюдението за промени в GPO, които пускат нови скриптове или изпълними файлове в цялата организация, улавя нападателите точно в момента, в който се опитват да мащабират достъпа си. GPO са мощен административен инструмент именно защото могат да достигнат до всяка машина в домейна. Тази мощ е и това, което ги прави привлекателна цел за нападатели, които искат да разпространят полезен товар с рансъмуер възможно най-широко и бързо.

Чрез изграждане на правила за откриване около тези специфични, добре разбрани поведения на нападателите, екипите по сигурността получават шанс да се намесят преди началото на криптирането, а не след това. Това е значителна промяна от реактивна реакция при инциденти към проактивно прекъсване.

Залогът за поверителността зад унищожаването на архиви

Струва си да спрем на това защо унищожаването на архиви има толкова голямо значение отвъд непосредственото оперативно главоболие. Когато възможностите за възстановяване са унищожени, организациите са притиснати към много по-тесен набор от избори, а един от най-често срещаните е плащането на откупа. Изследванията върху резултатите от рансъмуер показват, че значителен дял от организациите все още избират да платят, въпреки че това не гарантира нищо. По-ранното ни покритие на 34% от фирмите в АНЗ все още плащат рансъмуер установи, че плащането далеч не е надеждно решение и това решение често се взема точно под вида натиск, който унищожаването на архиви създава.

Тук има и измерение на поверителността. Когато архивите изчезнат и преговорите станат единственият път напред, организациите също така е по-вероятно да бъдат изправени пред риск от изтичане на данни. Нападателите често съчетават криптирането с кражба на данни, заплашвайки да изтекат чувствителна информация за клиенти или служители, ако плащането не бъде извършено. Унищожаването на архиви премахва опцията просто да се възстанови и да се откаже преговори, което увеличава шансовете откраднатите лични данни да се превърнат в лост за натиск. Улавянето на атаката по-рано, преди архивите да бъдат заличени, запазва повече от просто ИТ инфраструктура. То запазва способността на организацията да каже „не" на искане за откуп, без да залага личните данни на хората, на които служи.

Какво означава това за вас

Ако управлявате ИТ системи за бизнес, това е напомняне, че защитата срещу рансъмуер не може да спре до антивирусната програма на крайните точки или откриването на криптирани файлове. Истинската точка на влияние често е часове или дни по-рано, в тихите административни промени, които предхождат видимата атака. Ако сте просто потребител или служител, чиито данни се съхраняват в тези системи, изводът е по-непряк, но все пак важен: организациите, които инвестират в ранен инженеринг за откриване, е по-малко вероятно да се окажат в позиция, в която са принудени да платят откуп или да преговарят с нападатели, които държат личната ви информация.

Практически изводи

За екипите по сигурността няколко конкретни стъпки следват пряко от това: изградете сигнали специално за събития на изтриване на сенчести копия, вместо да ги третирате като фонов шум, наблюдавайте промените в GPO за необичаен обхват или време, и дръжте поне едно копие на архива, което е изолирано от домейна напълно, така че един компрометиран администраторски акаунт да не може да го достигне. За всички останали това е добра причина да попитате организациите, които държат вашите данни, какъв всъщност е техният план за възстановяване и дали той зависи от архиви, които нападател може да изтрие за минути.