Ransomware jen zřídka začíná jediným neopatrným kliknutím. Nový rozbor od Adaptive Security katalogizuje 20 cest vstupu a popisuje, jak se útok pohybuje od prvního opěrného bodu k šifrování a vydírání. Mezi nejčastější dveře patří phishing, ukradené přihlašovací údaje, zneužití aplikací dostupných z internetu, password spraying a vystavené vzdálené služby. Pochopení vektorů infekce ransomwarem a obrany je prvním krokem k zavření těchto dveří v domácím prostředí nebo při práci na dálku.
Jak se ransomware dostane dovnitř: nejčastější cesty vstupu
Podle zprávy první opěrný bod obvykle přichází jednou z pěti cest:
- Phishing: e-maily nebo zprávy, které někoho přimějí otevřít soubor, odkaz nebo přihlašovací stránku.
- Ukradené přihlašovací údaje: platná uživatelská jména a hesla, která útočníci získali jinde.
- Zneužití aplikací dostupných z internetu: nezáplatovaný software nebo zařízení dosažitelná z internetu.
- Password spraying: zkoušení několika běžných hesel proti mnoha účtům.
- Vystavené vzdálené služby: nástroje pro vzdálený přístup ponechané otevřené do internetu.
Útok pak postupuje přes spuštění, eskalaci oprávnění, perzistenci, laterální pohyb, krádež dat, šifrování a vydírání. Krok šifrování je poslední fází, nikoli první. To je důležité, protože to znamená, že obránci mají často několik šancí útok odhalit a zastavit, než dojde k uzamčení jakéhokoli souboru.
Ukradeným přihlášením je třeba věnovat zvláštní pozornost. Naše pokrytí tématu jak infostealer malware pohání útoky s ukradenými přihlášeními vysvětluje, jak mohou být přihlašovací údaje získané z jednoho infikovaného zařízení později použity k průchodu předními dveřmi. Pro širší pohled na necesty e-mailem si přečtěte náš článek o tom, jak se ransomware šíří mimo phishingové e-maily.
Rané varovné signály před zašifrováním souborů
Protože se útok odvíjí v etapách, příznaky se často objevují dlouho před výkupným. Etapy popsané ve zdroji naznačují, na co si dávat pozor:
- Neočekávaná přihlášení nebo uzamčení účtů: opakovaná neúspěšná přihlášení nebo upozornění z neznámých lokalit mohou ukazovat na password spraying nebo opakované použití přihlašovacích údajů.
- Nové účty nebo změněná oprávnění: eskalace oprávnění a perzistence často zahrnují vytváření nebo úpravu účtů.
- Neznámé nástroje nebo nastavení vzdáleného přístupu: vzdálená služba, kterou jste nepovolili, je červenou vlajkou.
- Bezpečnostní software vypnut: útočníci se běžně snaží vypnout ochrany před šifrováním.
- Neobvyklá síťová aktivita: velké odchozí přenosy mohou naznačovat krádež dat před vydíráním.
Žádný jednotlivý příznak není důkazem útoku, ale několik společně ospravedlňuje okamžitou akci: změňte hesla, odpojte postižené zařízení a zkontrolujte své účty na změny, které jste neprovedli.
Kde VPN a nastavení vzdáleného přístupu pomáhají a kde ne
VPN je často popisována jako všelék na bezpečnost. Není, a stojí za to být přesný ohledně její role.
Kde může VPN pomoci:
- Šifruje provoz v nedůvěryhodných sítích, jako je veřejná Wi-Fi, což snižuje riziko odposlechu.
- Při použití jako brány ke zdrojům pro práci na dálku může udržet interní služby mimo otevřený internet. Umístění vzdálené služby za správně nakonfigurovanou VPN se silným ověřováním je obecně bezpečnější než její přímé vystavení.
Kde VPN nepomáhá:
- Nezastaví phishingový e-mail v doručení malwaru.
- Neochrání heslo, které již bylo ukradeno. Pokud útočník má platné přihlašovací údaje, VPN nijak nebrání jejich použití.
- Nezáplatuje zranitelný software. Ve skutečnosti jsou VPN brány a další okrajová zařízení sama dostupná z internetu, takže nezáplatovaná může se stát vstupním bodem.
Závěr je, že nástroje pro vzdálený přístup jsou součástí vaší útočné plochy. VPN, na kterou se spoléháte, potřebuje stejnou péči jako jakýkoli jiný systém dostupný z internetu: aktuální aktualizace, silná jedinečná hesla a vícefaktorové ověřování.
Praktické kroky k zabezpečení PC, routerů a domácích sítí
Následující kroky řeší výše uvedené cesty vstupu bez potřeby specializovaných dovedností.
- Používejte jedinečná hesla a správce hesel. To omezuje škody, když je jedno přihlášení ukradeno.
- Zapněte vícefaktorové ověřování pro e-mail, cloudové úložiště, vzdálený přístup a finanční účty.
- Záplatujte rychle. Zapněte automatické aktualizace pro operační systém, prohlížeč, aplikace a firmware routeru.
- Zavřete, co nepoužíváte. Vypněte vzdálenou plochu a všechny funkce vzdálené správy routeru, pokud je skutečně nepotřebujete. Pokud je potřebujete, umístěte je za VPN nebo jinou chráněnou bránu, místo abyste je přímo vystavovali.
- Změňte výchozí přihlašovací údaje routeru a používejte silné šifrování Wi-Fi.
- Udržujte spuštěnou renomovanou ochranu koncových bodů a nevypínejte ji kvůli instalaci softwaru.
- Zálohujte důležité soubory offline nebo ve formě, kterou nelze přepsat z vašeho hlavního zařízení, a otestujte, že je dokážete obnovit.
- Oddělte zařízení, kde je to možné, například udržováním pracovního vybavení mimo stejný síťový segment jako zařízení pro chytrou domácnost.
Co to znamená pro vás
Pokud pracujete z domova, váš router, nastavení vzdáleného přístupu a přihlášení k účtům tvoří obvod, který útočníci testují. Povědomí o phishingu stále záleží, ale je to jen jedny z několika dveří. Většina ostatních cest se redukuje na dva návyky: udržovat software aktualizovaný a chránit přihlašovací údaje. VPN může být užitečnou vrstvou, zejména ve veřejných sítích, ale nemůže nahradit záplatování, vícefaktorové ověřování nebo dobrou hygienu hesel.
Klíčové poznatky
- Proveďte audit toho, co je dosažitelné z internetu: vzdálená plocha, administrátorské stránky routeru a všechny nástroje pro vzdálený přístup.
- Zkontrolujte hygienu přihlašovacích údajů: jedinečná hesla, MFA všude a žádné opakované použití mezi pracovními a osobními účty.
- Aktualizujte routery a další okrajová zařízení, nejen notebooky.
- Udržujte otestované zálohy, aby obnova nezávisela na zaplacení výkupného.
Chcete-li pochopit, jak ukradená přihlášení umožňují tyto útoky, přečtěte si našeho průvodce o infostealer malwaru, a pro hlubší pokrytí necest e-mailem viz jak se ransomware šíří mimo phishingové e-maily. Znalost vektorů infekce ransomwarem a obrany vám umožní zavřít nejpravděpodobnější dveře dříve, než je útočník vyzkouší.
