Proofpoint: At betale ransomware-bander inviterer til gentagne angreb

Hvorfor en betaling af løsesum ikke afslutter problemet

Når ransomware låser en virksomheds systemer, er instinktet om at betale og komme videre forståeligt. En ny undersøgelse fra sikkerhedsfirmaet Proofpoint, der omfatter 953 virksomheder, tyder på, at dette instinkt kan give bagslag. Ifølge resultaterne bliver organisationer, der betaler et ransomwarekrav, ofte mere attraktive mål, ikke mindre. Når en kriminel gruppe har bekræftet, at et offer er villig til at betale, kan det samme offer blive markeret til et opfølgende angreb.

Det er vigtigt, fordi logikken bag løsesumsbetalinger altid har hvilet på en simpel handel: penge mod afslutning. Ledelser godkender betalinger i troen på, at det genopretter systemer, får stjålne data slettet, begrænser forretningsafbrydelser og beskytter kunderne. Proofpoints undersøgelse viser, at denne handel er langt mindre pålidelig, end de fleste organisationer antager. At betale afslutter ikke nødvendigvis forholdet til angriberen; i nogle tilfælde starter det et nyt.

Forretningslogikken bag et andet krav

Ransomwaregrupper fungerer som virksomheder, og virksomheder leder efter tilbagevendende kunder. En virksomhed, der allerede har vist, at den vil betale, er fra en kriminel synsvinkel en bevist indtægtskilde. Den har driftskapital, en ledelse, der er villig til hurtigt at godkende betaling, og har formodentlig stadig de sårbarheder, der gjorde det første angreb vellykket i første omgang.

Sidstnævnte punkt er afgørende. At betale en løsesum håndterer den umiddelbare krise, men det afhjælper sjældent de underliggende sikkerhedshuller, der lukkede angriberne ind. Hvis den samme phishingvektor, upatchede software eller eksponerede fjernadgangspunkt stadig er der efter hændelsen, er der intet, der forhindrer den samme gruppe, eller en affiliate der har købt adgang til de samme offerdata, i at prøve igen. Vores tidligere dækning af Proofpoints undersøgelse af ransomware-betalere går dybere i, hvor hyppigt disse gentagne hændelser forekommer, og hvorfor selve betalingen kan fungere som et signal til andre kriminelle grupper om, at et mål er blødt.

Reducer afpresningsrisikoen, før den opstår

Den gode nyhed er, at organisationer ikke er magtesløse her. De tiltag, der reducerer ransomware-risikoen, er stort set de samme, som sikkerhedsteams har anbefalet i årevis, de får blot mere hastende karakter i lyset af disse data.

At vedligeholde offline, testede sikkerhedskopier forbliver den mest effektive metode til helt at undgå at skulle stå over for beslutningen om at betale eller ej. Hvis systemer kan gendannes fra backup uden at røre angriberens dekrypteringsnøgle, kollapser hele afpresningspræmissen. Netværkssegmentering er også vigtig: at begrænse, hvor langt en angriber kan bevæge sig, når de først er inde, reducerer nedslagsradius for ethvert enkelt kompromis, hvilket igen mindsker forhandlingsmagten under en løsesumsforhandling.

Kontinuerlig trusselovervågning og endpoint-detektion hjælper med at fange indtrængen, før de eskalerer til fuld krypteringshændelser. Mange ransomwareangreb udfolder sig over dage eller uger mellem den indledende adgang og den endelige payload; det vindue er en mulighed for at gribe ind. Sikker praksis for fjernadgang, herunder brug af en VPN til krypterede forbindelser og multifaktorautentifikation for alle, der logger ind uden for virksomhedens netværk, lukker en af de mest almindelige indgangsveje, som kriminelle udnytter. Ingen af disse foranstaltninger garanterer immunitet, men til sammen mindsker de sandsynligheden for, at en virksomhed overhovedet ender med at stå over for en løsesumsseddel.

Hvad dette betyder for dig

Hvis din organisation nogensinde bliver ramt af ransomware, tyder Proofpoints resultater på, at betaling ikke bør behandles som en ren løsning. Før der godkendes nogen betaling, er det værd at spørge, om den underliggende sårbarhed er blevet identificeret og lukket, for hvis den ikke er det, kan betalingen blot være den første rate i et vedvarende forhold til angriberen.

Det er også et tidspunkt at involvere retshåndhævelse tidligt snarere end som en eftertanke. Agenturer, der sporer ransomwaregrupper, kan nogle gange tilbyde dekrypteringsværktøjer, trusselsintelligens om en specifik bandes adfærd eller kontekst om, hvorvidt en gruppe har en historie med gentagen afpresning. At hente ekstern ekspertise inden for incident response, før der træffes en betalingsbeslutning, snarere end efter, giver en organisation et klarere billede af dens reelle muligheder.

For mindre virksomheder uden dedikerede sikkerhedsteams er beregningen den samme, men ressourcerne er færre. Det gør forebyggelse endnu vigtigere: grundlæggende hygiejne som regelmæssige backups, patchet software og sikre fjernadgangsværktøjer gør mere for at reducere risikoen, end nogen beslutning efter en hændelse nogensinde kan.

Hovedpointer

Den centrale lære fra denne Proofpoint-undersøgelse er ligetil: en løsesumsbetaling køber tid, ikke nødvendigvis sikkerhed. Organisationer bør behandle enhver ransomwarehændelse som tegn på et sikkerhedsgab, der skal lukkes, uanset om der foretages en betaling eller ej. Praktiske tiltag, der er værd at prioritere, omfatter vedligeholdelse af offline backups, segmentering af netværk, overvågning for tidlige tegn på indtrængen og sikring af fjernadgang med stærk autentifikation og krypterede forbindelser.

Vigtigst af alt bør enhver betalingsbeslutning træffes sammen med en seriøs plan for udbedring, ikke i stedet for en. Ransomwarebander driver en forretning, og dataene antyder, at de ved præcis, hvilke kunder der er værd at fakturere to gange.