Μια αναφορά για μια ομάδα που αυτοαποκαλείται n0n περιγράφει μια τακτική στροφή στον κυβερνοεκβιασμό: ransomware χωρίς κρυπτογράφηση, με καταστροφή αντιγράφων ασφαλείας. Αντί να κλειδώνουν αρχεία και να απαιτούν πληρωμή για ένα κλειδί αποκρυπτογράφησης, η ομάδα φέρεται να εξαφανίζει τις επιλογές ανάκτησης και να απειλεί να εκθέσει κλεμμένα δεδομένα. Το άρθρο-πηγή που εξετάσαμε ήταν περικομμένο, οπότε αυτή η ανάρτηση περιορίζεται στη γενική εικόνα που περιγράφει και σε ευρέως κατανοητές αμυντικές πρακτικές, παρά σε λεπτομέρειες που δεν μπορούμε να επαληθεύσουμε. ## Πώς λειτουργεί το σενάριο καταστροφής αντιγράφων ασφαλείας του n0n Σύμφωνα με την αναφορά, η προσέγγιση του n0n παρακάμπτει το στάδιο κρυπτογράφησης που χαρακτήριζε το ransomware για χρόνια. Η έμφαση πέφτει σε δύο πράγματα: την καταστροφή των αντιγράφων ασφαλείας του θύματος και την απειλή δημοσιοποίησης δεδομένων που η ομάδα έχει πάρει. Η λογική είναι απλή. Το παραδοσιακό ransomware δημιουργεί πίεση καθιστώντας τα συστήματα άχρηστα. Οι αμυνόμενοι απαντούν με επαναφορά από αντίγραφα ασφαλείας, γι' αυτό πολλοί χειριστές ransomware προσπαθούν εδώ και καιρό να βρουν και να διαγράψουν πρώτα τα προσβάσιμα αντίγραφα ασφαλείας. Η αφαίρεση αυτού του δικτύου ασφαλείας ανεβάζει το διακύβευμα χωρίς να χρειάζεται να κρυπτογραφήσουν ούτε ένα αρχείο παραγωγής. Δεν έχουμε επιβεβαιωμένες τεχνικές λεπτομέρειες για τα εργαλεία, τα σημεία εισόδου ή τον αριθμό θυμάτων του n0n από το υλικό που παρασχέθηκε, οπότε δεν θα κάνουμε εικασίες γι' αυτά. Αυτό που έχει σημασία για τους αμυνόμενους είναι το μοτίβο: οι επιτιθέμενοι που αποκτούν προνομιακή πρόσβαση μπορούν να χτυπήσουν απευθείας την υποδομή αντιγράφων ασφαλείας. ## Γιατί ο εκβιασμός χωρίς κρυπτογράφηση μετατοπίζει την πίεση στην έκθεση δεδομένων Όταν δεν υπάρχει κρυπτογράφηση, συχνά δεν υπάρχει προφανής διακοπή λειτουργίας. Τα συστήματα συνεχίζουν να λειτουργούν, κάτι που μπορεί να κάνει μια εισβολή πιο ήσυχη και πιο δύσκολη να εντοπιστεί. Το μέσο πίεσης προέρχεται από αλλού: την απειλή ότι ευαίσθητα δεδομένα θα δημοσιευτούν ή θα πωληθούν. Αυτό αλλάζει τον υπολογισμό του θύματος. Η επαναφορά από ένα καθαρό αντίγραφο ασφαλείας λύνει το πρόβλημα της διακοπής λειτουργίας, αλλά δεν κάνει τίποτα για δεδομένα που έχουν ήδη φύγει από το δίκτυο. Αρχεία πελατών, πληροφορίες εργαζομένων, συμβόλαια και εσωτερικές επικοινωνίες δεν μπορούν να "επαναφερθούν" μόλις βρεθούν στα χέρια κάποιου άλλου. Γι' αυτό άλλωστε η ιδιωτικότητα έχει σημασία εδώ. Οι οργανισμοί που κατέχουν προσωπικά δεδομένα αντιμετωπίζουν ρυθμιστικές, νομικές και φημιακές συνέπειες από την έκθεση, ανεξάρτητα από το αν οι διακομιστές τους κλειδώθηκαν ποτέ. Παρόμοια δυναμική εμφανίστηκε στην [υπόθεση εκβιασμού δεδομένων της Revolut](/en/revolut-data-extortion-breach-no-hack-still-a-crisis), όπου η κρίση προήλθε από εκβιασμό σχετικά με δεδομένα και όχι από κλασικό κακόβουλο λογισμικό στους διακομιστές. ## Γιατί τα παραδοσιακά αντίγραφα ασφαλείας και τα offline αντίγραφα δεν αρκούν Για χρόνια, η τυπική συμβουλή ήταν να διατηρούνται offline αντίγραφα ασφαλείας. Αυτό εξακολουθεί να ισχύει, αλλά η αναφορά για το n0n υποδηλώνει ότι δεν αρκεί πλέον από μόνο του. Αξίζει να κατανοηθούν μερικά κενά: - **Τα αντίγραφα ασφαλείας προστατεύουν τη διαθεσιμότητα, όχι την εμπιστευτικότητα.** Μια τέλεια επαναφορά δεν αναιρεί την κλοπή δεδομένων. - **Τα συστήματα αντιγράφων ασφαλείας είναι προσβάσιμα.** Οι κονσόλες αντιγράφων ασφαλείας, το cloud storage και τα διαπιστευτήρια διαχειριστή είναι συχνά προσβάσιμα από το ίδιο περιβάλλον που έχει παραβιαστεί από τον εισβολέα. - **Τα offline αντίγραφα μπορεί να είναι παλιά.** Αντίγραφα ασφαλείας που είναι αποσυνδεδεμένα αλλά σπάνια ελέγχονται ή ενημερώνονται μπορεί να μην υποστηρίζουν πλήρη ανάκτηση όταν αυτό έχει σημασία. - **Τα νόμιμα εργαλεία κρύβουν την κλοπή.** Τα δεδομένα μπορούν να φύγουν μέσω συνηθισμένων καναλιών cloud storage. Σε μια [προγενέστερη περίπτωση που αφορούσε το Vice Society](/en/how-vice-society-ransomware-abused-onedrive-for-data-theft), οι επιτιθέμενοι καταχράστηκαν το OneDrive για κλοπή δεδομένων, υπενθυμίζοντας ότι οι αξιόπιστες υπηρεσίες μπορούν να γίνουν οδοί διαρροής. Το συμπέρασμα δεν είναι ότι τα αντίγραφα ασφαλείας είναι άχρηστα. Παραμένουν απαραίτητα. Είναι απλώς ένα στρώμα, και οι επιτιθέμενοι το γνωρίζουν προφανώς. ## Βήματα ενίσχυσης: Αμετάβλητα αντίγραφα ασφαλείας, τμηματοποίηση και παρακολούθηση Οι αμυνόμενοι μπορούν να μειώσουν την έκθεση σε αυτό το μοντέλο με ελέγχους που αντιμετωπίζουν τόσο την καταστροφή αντιγράφων ασφαλείας όσο και την κλοπή δεδομένων. **Κάντε τα αντίγραφα ασφαλείας αμετάβλητα.** Χρησιμοποιήστε αποθηκευτικό χώρο που δεν μπορεί να τροποποιηθεί ή να διαγραφεί για καθορισμένη περίοδο διατήρησης, ακόμη και από λογαριασμό διαχειριστή. Αυτό περιορίζει έναν επιτιθέμενο που αποκτά προνομιακά διαπιστευτήρια. **Διαχωρίστε την πρόσβαση στα αντίγραφα ασφαλείας από την καθημερινή πρόσβαση διαχειριστή.** Τα συστήματα αντιγράφων ασφαλείας θα πρέπει να χρησιμοποιούν δικά τους διαπιστευτήρια, προστατευμένα με έλεγχο ταυτότητας πολλαπλών παραγόντων, και δεν θα πρέπει να μοιράζονται τομέα σύνδεσης με γενικούς διακομιστές όπου είναι πρακτικό. **Τμηματοποιήστε το δίκτυο.** Περιορίστε ποια συστήματα μπορούν να επικοινωνούν με την υποδομή αντιγράφων ασφαλείας και με το διαδίκτυο. Η τμηματοποίηση επιβραδύνει την πλευρική κίνηση και κάνει τις μεγάλες μεταφορές δεδομένων πιο εύκολα ανιχνεύσιμες. **Κρυπτογραφήστε δεδομένα σε ηρεμία.** Η κρυπτογράφηση ευαίσθητων δεδομένων και περιεχομένου αντιγράφων ασφαλείας μπορεί να μειώσει την αξία οποιουδήποτε κλαπεί. **Παρακολουθείτε για διαρροή δεδομένων και παραποίηση αντιγράφων ασφαλείας.** Ειδοποιήστε για ασυνήθιστες εξερχόμενες μεταφορές, ξαφνική διαγραφή snapshots, αλλαγές στις πολιτικές διατήρησης και νέα χρήση εργαλείων αντιγραφής στο cloud. **Δοκιμάστε τις επαναφορές και εξασκηθείτε στην απόκριση.** Γνωρίζετε πόσο χρόνο διαρκεί η ανάκτηση και ποιος παίρνει την απόφαση όταν φτάσει μια απειλή δημοσιοποίησης δεδομένων. ## Τι σημαίνει αυτό για εσάς Αν διευθύνετε ή συμβουλεύετε μια μικρή ή μεσαία επιχείρηση, το βασικό σημείο είναι ότι το "έχουμε αντίγραφα ασφαλείας" δεν είναι πλέον πλήρης απάντηση στο ransomware. Κάντε μια δεύτερη ερώτηση: "Τι συμβαίνει αν τα δεδομένα κλαπούν και τα αντίγραφα ασφαλείας χαθούν;" Τα άτομα επηρεάζονται έμμεσα. Όταν οργανισμοί που κατέχουν τα προσωπικά σας δεδομένα εκβιάζονται, οι πληροφορίες σας είναι αυτό που διακυβεύεται. Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων και προσέξτε για phishing που αναφέρεται σε παραβίαση, καθώς οι εκστρατείες εκβιασμού μπορούν να γεννήσουν επακόλουθες απάτες όπως αυτή που περιγράφεται στην κάλυψή μας για την [απάτη Ransom Busters που στοχεύει θύματα](/en/ransom-busters-scam-preys-on-ransomware-victims). ## Ελέγξτε τα αντίγραφα ασφαλείας και τους ελέγχους πρόσβασής σας τώρα Το ransomware χωρίς κρυπτογράφηση με καταστροφή αντιγράφων ασφαλείας ανταμείβει τους επιτιθέμενους που βρίσκουν αδύναμους ελέγχους πρόσβασης και μη προστατευμένα αντίγραφα ασφαλείας. Ξεκινήστε αυτή την εβδομάδα: 1. Καταγράψτε πού βρίσκονται τα αντίγραφα ασφαλείας σας και ποιος μπορεί να τα διαγράψει. 2. Ενεργοποιήστε την αμεταβλητότητα και διαχωρίστε τα διαπιστευτήρια αντιγράφων ασφαλείας. 3. Απαιτήστε έλεγχο ταυτότητας πολλαπλών παραγόντων σε όλους τους λογαριασμούς διαχειριστή και αντιγράφων ασφαλείας. 4. Ρυθμίστε ειδοποιήσεις για μεγάλες εξερχόμενες μεταφορές και διαγραφές αντιγράφων ασφαλείας. 5. Εκτελέστε μια δοκιμή επαναφοράς και καταγράψτε το αποτέλεσμα. Η ταχύτητα έχει επίσης σημασία. Οι επιτιθέμενοι συμπιέζουν τον χρόνο που έχουν τα θύματα για να αντιδράσουν, όπως εξηγείται στο άρθρο μας για το [γιατί οι συμμορίες ransomware δίνουν πλέον στα θύματα μόνο 7 ημέρες](/en/why-ransomware-gangs-now-give-victims-just-7-days). Η καλύτερη στιγμή για να ελέγξετε τις άμυνές σας είναι πριν εμφανιστεί μια προθεσμία στα εισερχόμενά σας.