Policie rozložila ransomware síť KillSec, zabavila její servery a odcizená data a spojila skupinu s přibližně 1 000 podezřelými útoky po celém světě. Pokud vás zajímá demontáž ransomwaru KillSec a co dělat dál, krátká odpověď zní: dobrá zpráva, ale ne důvod k uvolnění. Tento příspěvek pokrývá, co operace mění, co ne, a které praktické kroky jsou nejdůležitější pro uživatele Windows a malé kanceláře, které závisí na jediném routeru.

Čeho demontáž KillSec vlastně dosáhla

Podle zpráv orgány činné v trestním řízení zabavily servery KillSec a odcizená data na nich uložená a spojily skupinu s přibližně 1 000 podezřelými útoky. Další zpravodajství popisuje úsilí jako „Operace KillSwitch" a uvádí, že vyšetřovatelé převzali kontrolu nad dark webovým únikovým serverem skupiny, stránkou používanou k vyhrožování obětem zveřejněním odcizených souborů. Některá média uvádějí nižší číslo, přibližně 500 potvrzených úspěšných útoků, což je užitečná připomínka, že „podezřelé" a „potvrzené" jsou různé počty. Nejnovější informace o operaci a podezřelých najdete v naší zprávě o zatčeních v souvislosti s demontáží ransomwaru KillSec.

Co to dělá: odstraňuje infrastrukturu skupiny, narušuje její schopnost vydírat oběti prostřednictvím únikového serveru a poskytuje vyšetřovatelům data, která mohou použít k identifikaci a informování postižených organizací.

Co to nedělá: nedešifruje soubory, které již byly uzamčeny, a nezaručuje, že odcizená data byla zničena. Zabavené servery nejsou totéž jako každá kopie každého souboru. Ransomwarové nástroje a techniky také obvykle přežívají jakoukoli jednotlivou skupinu, protože spolupracovníci se mohou přesunout k jiným značkám. Berte demontáž jako pauzu v aktivitě jedné skupiny, ne jako konec hrozby.

Co VPN může a nemůže udělat proti ransomwaru

Marketing VPN někdy naznačuje širokou ochranu, takže zde je jasná verze.

VPN šifruje provoz mezi vaším zařízením a serverem VPN. To pomáhá na nedůvěryhodných sítích, jako je veřejné Wi-Fi, a skrývá vaše prohlížení před poskytovatelem internetu. Je to nástroj soukromí.

Nezastaví ransomware. VPN nezablokuje škodlivou přílohu, kterou otevřete, neodstraní malware již přítomný ve vašem PC ani nevrátí šifrování vašich souborů. Zprávy o KillSec uvádějí, že skupina kradla data zneužíváním zranitelností a špatně zabezpečených přístupových bodů. To poukazuje na neaktualizovaný software a slabý vzdálený přístup jako skutečné problémy a spotřebitelská VPN s ani jedním z nich nic neudělá.

Jediné místo, kde mohou VPN záležet, je vzdálený přístup pro firmy: správně nakonfigurovaná, aktualizovaná VPN s řízeným přístupem je lepší než vystavovat služby jako vzdálená plocha přímo internetu. Ale samotná VPN brána se stává vstupním bodem, který musí být aktualizován a chráněn vícefaktorovým ověřováním.

Kroky pro uživatele Windows a malé kanceláře založené na routeru

Tyto kroky řeší slabiny, které ransomware skupiny běžně zneužívají, bez potřeby speciálních nástrojů.

Pro uživatele Windows:

  • Instalujte aktualizace včas. Zapněte automatické Windows Update a aktualizujte prohlížeče, čtečky PDF a další aplikace.
  • Udržujte offline nebo verzované zálohy. Dodržujte princip 3-2-1: tři kopie, dva typy úložiště, jedna uložená offline nebo odpojená. Otestujte obnovení.
  • Pro každodenní práci používejte standardní účet. Účty správce si rezervujte pro instalaci softwaru.
  • Zapněte vestavěné ochrany. Ponechte Microsoft Defender spuštěný a zvažte zapnutí řízeného přístupu ke složkám.
  • Zapněte vícefaktorové ověřování pro e-mail, cloudové úložiště a jakýkoli vzdálený přístup.

Pro malé kanceláře spoléhající na jediný router:

  • Aktualizujte firmware routeru a vyměňte zařízení, která již nedostávají aktualizace.
  • Změňte výchozí hesla správce a zakažte vzdálenou správu z internetu, pokud ji skutečně nepotřebujete.
  • Zavřete nepotřebné otevřené porty. Nevystavujte vzdálenou plochu ani sdílené složky přímo.
  • Segmentujte síť tam, kde je to možné, například samostatná síť pro hosty, aby jedna infikovaná stanice nemohla snadno dosáhnout na vše.
  • Zkontrolujte, kdo má vzdálený přístup, a odstraňte účty bývalých zaměstnanců nebo dodavatelů.

Pokud jste byli zasaženi: Jak reagovat a zkontrolovat vystavení

Pokud se domníváte, že jste byli obětí KillSec nebo jakéhokoli ransomwaru, jednejte v tomto pořadí:

  1. Izolujte postižená zařízení. Odpojte je od sítě a Wi-Fi, ale zatím je nemažte, protože mohou obsahovat důkazy.
  2. Nahlaste to. Kontaktujte místní orgány činné v trestním řízení nebo váš národní kanál pro hlášení kyberkriminality. Vyšetřovatelé v podobném případě mohou být schopni sdílet informace s oběťmi, takže hlášení může pomoci.
  3. Nepředpokládejte, že únikový server je celý příběh. S zabaveným serverem skupiny může být hrozba zveřejnění snížena, ale stále byste měli předpokládat, že data od vás získaná mohou být vystavena jinde.
  4. Změňte přihlašovací údaje. Obnovte hesla pro e-mail, cloud, bankovnictví a účty správce z čistého zařízení a zapněte vícefaktorové ověřování.
  5. Sledujte podvody. Pokud šlo o osobní údaje nebo údaje zákazníků, sledujte účty a buďte opatrní ohledně následného phishingu, který odkazuje na incident.
  6. Obnovte z čistých záloh teprve poté, co je cesta proniknutí nalezena a uzavřena, jinak riskujete, že budete zasaženi znovu.

Co to pro vás znamená

Pro většinu čtenářů demontáž den ze dne mění jen málo. Je to významné vítězství proti jedné skupině a může pomoci některým obětem dozvědět se, že byly postiženy. Ale slabiny, které zneužila, jako jsou neaktualizované systémy a špatně zabezpečené přístupové body, existují v nesčetných domácnostech a kancelářích. VPN je neopraví. Aktualizace, zálohy, silné ověřování a uzamčený router ano.

Klíčové poznatky

  • Berte demontáž ransomwaru KillSec jako dobrou zprávu, ne jako cílovou čáru. Co dělat nyní, je utáhnout vlastní obranu.
  • Nespoléhejte na VPN jako na ochranu proti ransomwaru; je to nástroj soukromí.
  • Aktualizujte Windows, aplikace a firmware routeru tento týden.
  • Ověřte, že máte nedávnou offline zálohu a že z ní dokážete obnovit.
  • Zkontrolujte vzdálený přístup a zapněte vícefaktorové ověřování.

Věnujte dnes deset minut kontrole nastavení aktualizací Windows a možností správy a vzdáleného přístupu vašeho routeru. Nejnovější podrobnosti o operaci a podezřelých najdete v našem zpravodajství o zatčeních KillSec.