Οι επιθέσεις ransomware δεν αποτελούν πλέον πρόβλημα που προορίζεται για μεγάλες εταιρείες με βαθιά τσέπη και εξειδικευμένες ομάδες ασφαλείας. Σύμφωνα με τους Michael Sjøberg και Peter Skovbo της Delta Crisis, οι μεσαίου μεγέθους επιχειρήσεις, ο ραχοκοκαλιά πολλών εθνικών οικονομιών, βρίσκονται όλο και περισσότερο παραλυμένες από επιτιθέμενους που κρυπτογραφούν κρίσιμα συστήματα και ζητούν πληρωμή για να αποκαταστήσουν την πρόσβαση. Οι οδηγίες τους, που δημοσιεύθηκαν μέσω της Handelsblatt, προσφέρουν μια σπάνια εσωτερική ματιά στο πώς οι εταιρείες διαπραγματεύονται πραγματικά με κυβερνοεκβιαστές, και ποια βήματα μπορούν να μειώσουν τη ζημιά πριν καν συμβεί μια επίθεση.

Γιατί οι μεσαίου μεγέθους εταιρείες είναι ο νέος στόχος

Για χρόνια, οι τίτλοι για το ransomware επικεντρώνονταν σε νοσοκομεία, κυβερνητικές υπηρεσίες και πολυεθνικές εταιρείες. Αυτή η εικόνα αλλάζει. Οι επιτιθέμενοι έχουν συνειδητοποιήσει ότι οι μικρότερες και μεσαίου μεγέθους επιχειρήσεις συχνά δεν διαθέτουν τα πολυεπίπεδα αμυντικά συστήματα των μεγαλύτερων επιχειρήσεων, ωστόσο εξακολουθούν να κατέχουν πολύτιμα δεδομένα και δεν μπορούν να αντέξουν παρατεταμένο χρόνο διακοπής λειτουργίας. Αυτή η στροφή αντανακλά μια ευρύτερη τάση που τεκμηριώνεται αλλού στο οικοσύστημα ransomware, όπου ορισμένες ομάδες έχουν κινηθεί προς αυτό που οι ερευνητές αποκαλούν καταστολή περιοχής των δικτύων ΜΜΕ, στοχεύοντας ολόκληρα συμπλέγματα μικρότερων οργανισμών αντί να επιλέγουν επίπονα μεμονωμένα θύματα υψηλής αξίας. Η λογική είναι απλή: ο όγκος αντικαθιστά την ακρίβεια, και ακόμη και οι μέτριες πληρωμές λύτρων αθροίζονται όταν πολλαπλασιάζονται σε δεκάδες θύματα.

Η εμπειρία της Delta Crisis υποδηλώνει ότι μόλις συμβεί μια επίθεση, η διαφορά μεταξύ μιας εταιρείας που ανακάμπτει με περιορισμένη ζημιά και μιας που υφίσταται διαρκή βλάβη συχνά εξαρτάται από την προετοιμασία και από το πώς χειρίζεται η ίδια η διαπραγμάτευση τις πρώτες ώρες και ημέρες.

Μέσα σε μια διαπραγμάτευση ransomware

Σύμφωνα με τους Sjøberg και Skovbo, η διαπραγμάτευση με κυβερνοεγκληματίες δεν αφορά απλώς το αν θα πληρώσεις. Απαιτεί κατανόηση του επιχειρηματικού μοντέλου του επιτιθέμενου, επαλήθευση του ποια δεδομένα έχουν πραγματικά κλαπεί ή κρυπτογραφηθεί, και διαχείριση της επικοινωνίας με τρόπο που ούτε να προκαλεί την ομάδα να καταστρέψει δεδομένα ούτε να δηλώνει απελπισία που θα μπορούσε να αυξήσει το αίτημα. Αυτή είναι λεπτή δουλειά, και ολοένα μοιάζει με μια επαγγελματική βιομηχανία υπηρεσιών και στις δύο πλευρές του τραπεζιού. Αυτός ο επαγγελματισμός είναι ορατός σε ολόκληρο το τοπίο του ransomware ευρύτερα. Ομάδες έχουν υιοθετήσει δομημένα μοντέλα ransomware-as-a-service, ένα μοτίβο που παρατηρείται επίσης σε προειδοποιήσεις για την επέκταση του Gunra ransomware σε λειτουργία RaaS, όπου συνεργάτες εκτελούν επιθέσεις χρησιμοποιώντας εργαλεία που έχουν δημιουργηθεί από μια κεντρική ομάδα με αντάλλαγμα μερίδιο των κερδών. Το αποτέλεσμα είναι μια πιο κλιμακώσιμη, επαναλαμβανόμενη διαδικασία εκβιασμού, που είναι ακριβώς ο λόγος για τον οποίο η διαπραγματευτική στρατηγική έχει τόση σημασία για το θύμα.

Το σημείο εισόδου για πολλές από αυτές τις επιθέσεις αξίζει επίσης προσοχής. Οι επιτιθέμενοι συχνά αποκτούν αρχική πρόσβαση μέσω κοινωνικής μηχανικής αντί να εκμεταλλεύονται δυσνόητα τεχνικά ελαττώματα. Καμπάνιες που κάνουν κακή χρήση εργαλείων όπως το Microsoft Teams για να υποδυθούν ψεύτικο προσωπικό υποστήριξης IT δείχνουν πώς ένα μόνο πειστικό τηλεφώνημα ή μήνυμα συνομιλίας μπορεί να ανοίξει την πόρτα σε πλήρη συμβιβασμό του δικτύου, πολύ πριν εμφανιστεί οποιοδήποτε σημείωμα λύτρων.

Τα διακυβεύματα απορρήτου και έκθεσης δεδομένων

Η διαπραγμάτευση ransomware δεν αφορά μόνο την αποκατάσταση πρόσβασης σε κρυπτογραφημένα αρχεία. Οι σύγχρονες ομάδες ransomware συνήθως κλέβουν δεδομένα πριν τα κρυπτογραφήσουν και στη συνέχεια απειλούν να δημοσιεύσουν ή να πουλήσουν αυτές τις πληροφορίες εάν δεν γίνει πληρωμή. Αυτό το μοντέλο διπλού εκβιασμού αυξάνει σημαντικά τα διακυβεύματα για το απόρρητο. Αρχεία πελατών, δεδομένα εργαζομένων και εμπιστευτικές επιχειρηματικές πληροφορίες μπορούν να εκτεθούν ανεξάρτητα από το αν μια εταιρεία πληρώσει. Οι επιτιθέμενοι έχουν επίσης γίνει πιο εξελιγμένοι στην αποφυγή ανίχνευσης κατά τη φάση διείσδυσης, συμπεριλαμβανομένων τεχνικών που απενεργοποιούν εντελώς τα εργαλεία ασφαλείας, όπως φαίνεται σε αναφορές για το GodDamn ransomware που κάνει κακή χρήση υπογεγραμμένου προγράμματος οδήγησης για να απενεργοποιήσει λογισμικό προστασίας από ιούς. Αυτό το είδος μυστικότητας σημαίνει ότι μια παραβίαση μπορεί να περάσει απαρατήρητη για πολύ περισσότερο, δίνοντας στους επιτιθέμενους περισσότερο χρόνο να εξάγουν ευαίσθητα δεδομένα πριν κάποιος συνειδητοποιήσει ότι κάτι δεν πάει καλά.

Τι σημαίνει αυτό για εσάς

Εάν διευθύνετε ή εργάζεστε σε μια μεσαίου μεγέθους εταιρεία, το μήνυμα από την Delta Crisis είναι σαφές: η ετοιμότητα για ransomware δεν είναι πλέον προαιρετική, και ξεκινά πολύ πριν συμβεί μια επίθεση. Η βασική υγιεινή, τα εκτός σύνδεσης αντίγραφα ασφαλείας, τα δοκιμασμένα σχέδια αντιμετώπισης περιστατικών και η εκπαίδευση του προσωπικού κατά της κοινωνικής μηχανικής, παραμένουν η ισχυρότερη άμυνα. Εάν συμβεί μια επίθεση, η απόφαση για το αν και πώς να διαπραγματευτείτε δεν πρέπει ποτέ να λαμβάνεται μεμονωμένα ή υπό πανικό. Οι έμπειροι διαπραγματευτές κατανοούν την ψυχολογία των επιτιθέμενων, επαληθεύουν τους ισχυρισμούς πριν τους εμπιστευτούν και ξέρουν πώς να κερδίσουν χρόνο χωρίς να κλιμακώσουν τις απειλές κατά των κλεμμένων δεδομένων.

Για άτομα των οποίων τα δεδομένα μπορεί να βρίσκονται εντός των συστημάτων μιας εταιρείας, αυτό υπογραμμίζει επίσης γιατί οι οργανισμοί οφείλουν διαφάνεια στους πελάτες όταν συμβεί μια παραβίαση, καθώς οι διαπραγματεύσεις ransomware επηρεάζουν άμεσα το αν οι προσωπικές πληροφορίες παραμένουν ιδιωτικές ή καταλήγουν να διαρρεύσουν.

Βασικά Συμπεράσματα

Οι εταιρείες κάθε μεγέθους θα πρέπει να αντιμετωπίζουν το ransomware ως σενάριο "πότε", όχι "αν". Δημιουργήστε ένα σχέδιο αντιμετώπισης περιστατικών πριν από μια επίθεση, διατηρήστε δοκιμασμένα εκτός σύνδεσης αντίγραφα ασφαλείας και προσδιορίστε εκ των προτέρων ποιος θα χειριστεί την επικοινωνία εάν οι εκβιαστές έρθουν σε επαφή. Εκπαιδεύστε το προσωπικό να αναγνωρίζει απόπειρες κοινωνικής μηχανικής, ιδιαίτερα την υποδυση προσωπικότητας μέσω καθημερινών εργαλείων συνεργασίας. Εάν η διαπραγμάτευση καταστεί απαραίτητη, εμπλέξτε έμπειρους επαγγελματίες αντί να αυτοσχεδιάζετε, καθώς ο τρόπος με τον οποίο ανταποκρίνεται μια εταιρεία τις πρώτες ώρες μπορεί να διαμορφώσει τόσο το οικονομικό αποτέλεσμα όσο και το πόσο προσωπικά ή εταιρικά δεδομένα τελικά εκτίθενται.