Proofpoint: Η πληρωμή συμμοριών ransomware προσκαλεί επαναλαμβανόμενες επιθέσεις

Γιατί η πληρωμή λύτρων δεν τερματίζει το πρόβλημα

Όταν το ransomware κλειδώνει τα συστήματα μιας εταιρείας, το ένστικτο να πληρώσει και να προχωρήσει είναι κατανοητό. Μια νέα έρευνα από την εταιρεία ασφαλείας Proofpoint, που καλύπτει 953 εταιρείες, υποδηλώνει ότι αυτό το ένστικτο μπορεί να έχει αντίθετα αποτελέσματα. Σύμφωνα με τα ευρήματα, οι οργανισμοί που πληρώνουν μια απαίτηση ransomware γίνονται συχνά πιο ελκυστικοί στόχοι, όχι λιγότερο. Μόλις μια εγκληματική ομάδα επιβεβαιώσει ότι ένα θύμα είναι πρόθυμο να πληρώσει, το ίδιο θύμα μπορεί να σημειωθεί για επακόλουθη επίθεση.

Αυτό έχει σημασία επειδή η λογική πίσω από τις πληρωμές λύτρων βασιζόταν πάντα σε μια απλή ανταλλαγή: χρήματα για κλείσιμο της υπόθεσης. Τα στελέχη εγκρίνουν πληρωμές πιστεύοντας ότι αποκαθιστά τα συστήματα, διαγράφει τα κλεμμένα δεδομένα, περιορίζει τη διακοπή εργασιών και προστατεύει τους πελάτες. Η έρευνα της Proofpoint δείχνει ότι αυτή η ανταλλαγή είναι πολύ λιγότερο αξιόπιστη από ό,τι υποθέτουν οι περισσότεροι οργανισμοί. Η πληρωμή δεν τερματίζει απαραίτητα τη σχέση με τον επιτιθέμενο· σε ορισμένες περιπτώσεις, ξεκινά μια νέα.

Η επιχειρηματική λογική πίσω από μια δεύτερη απαίτηση

Οι ομάδες ransomware λειτουργούν σαν επιχειρήσεις και οι επιχειρήσεις αναζητούν επαναλαμβανόμενους πελάτες. Μια εταιρεία που έχει ήδη αποδείξει ότι θα πληρώσει είναι, από την οπτική ενός εγκληματία, μια αποδεδειγμένη πηγή εσόδων. Διαθέτει κεφάλαιο κίνησης, μια ηγετική ομάδα πρόθυμη να εγκρίνει γρήγορα την πληρωμή και πιθανότατα εξακολουθεί να έχει ευπάθειες που επέτρεψαν την πρώτη επίθεση εξαρχής.

Αυτό το τελευταίο σημείο είναι κρίσιμο. Η πληρωμή λύτρων αντιμετωπίζει την άμεση κρίση, αλλά σπάνια διορθώνει τα υποκείμενα κενά ασφαλείας που επέτρεψαν στους επιτιθέμενους να εισέλθουν. Εάν το ίδιο διάνυσμα phishing, το μη ενημερωμένο λογισμικό ή το εκτεθειμένο σημείο απομακρυσμένης πρόσβασης εξακολουθεί να υπάρχει μετά το περιστατικό, τίποτα δεν εμποδίζει την ίδια ομάδα, ή μια θυγατρική που αγόρασε πρόσβαση στα ίδια δεδομένα θύματος, να προσπαθήσει ξανά. Η προηγούμενη κάλυψή μας για την έρευνα της Proofpoint σχετικά με αυτούς που πληρώνουν ransomware εμβαθύνει στο πόσο συχνά συμβαίνουν αυτά τα επαναλαμβανόμενα περιστατικά και γιατί η ίδια η πληρωμή μπορεί να λειτουργήσει ως σήμα σε άλλες εγκληματικές ομάδες ότι ένας στόχος είναι ευάλωτος.

Μείωση του κινδύνου εκβιασμού πριν ξεκινήσει

Τα καλά νέα είναι ότι οι οργανισμοί δεν είναι ανίσχυροι εδώ. Τα βήματα που μειώνουν τον κίνδυνο ransomware είναι σε μεγάλο βαθμό τα ίδια βήματα που συνιστούν εδώ και χρόνια οι ομάδες ασφαλείας, απλώς αποκτούν μεγαλύτερη επείγουσα σημασία υπό το φως αυτών των δεδομένων.

Η διατήρηση αντιγράφων ασφαλείας εκτός σύνδεσης και δοκιμασμένων παραμένει ο πιο αποτελεσματικός τρόπος για να αποφύγει κανείς εξαρχής το δίλημμα «να πληρώσω ή να μην πληρώσω». Εάν τα συστήματα μπορούν να αποκατασταθούν από αντίγραφα ασφαλείας χωρίς να χρειαστεί το κλειδί αποκρυπτογράφησης του επιτιθέμενου, ολόκληρη η λογική του εκβιασμού καταρρέει. Η κατάτμηση δικτύου έχει επίσης σημασία: ο περιορισμός του πόσο μακριά μπορεί να κινηθεί ένας επιτιθέμενος αφού εισέλθει μειώνει την ακτίνα ζημιάς κάθε μεμονωμένης παραβίασης, γεγονός που με τη σειρά του μειώνει τη διαπραγματευτική ισχύ κατά τη διάρκεια μιας διαπραγμάτευσης λύτρων.

Η συνεχής παρακολούθηση απειλών και ο εντοπισμός τελικών σημείων βοηθούν στον εντοπισμό εισβολών πριν κλιμακωθούν σε πλήρη συμβάντα κρυπτογράφησης. Πολλές επιθέσεις ransomware εκτυλίσσονται σε διάστημα ημερών ή εβδομάδων μεταξύ της αρχικής πρόσβασης και του τελικού ωφέλιμου φορτίου· αυτό το παράθυρο είναι μια ευκαιρία για παρέμβαση. Οι ασφαλείς πρακτικές απομακρυσμένης πρόσβασης, συμπεριλαμβανομένης της χρήσης VPN για κρυπτογραφημένες συνδέσεις και του ελέγχου ταυτότητας πολλαπλών παραγόντων για οποιονδήποτε συνδέεται από έξω από το εταιρικό δίκτυο, κλείνουν ένα από τα πιο κοινά σημεία εισόδου που εκμεταλλεύονται οι εγκληματίες. Κανένα από αυτά τα μέτρα δεν εγγυάται ανοσία, αλλά μαζί μειώνουν τις πιθανότητες να βρεθεί μια επιχείρηση αντιμέτωπη με σημείωμα λύτρων εξαρχής.

Τι σημαίνει αυτό για εσάς

Εάν ο οργανισμός σας πέσει ποτέ θύμα ransomware, τα ευρήματα της Proofpoint υποδηλώνουν ότι η πληρωμή δεν πρέπει να αντιμετωπίζεται ως καθαρή λύση. Πριν εγκρίνετε οποιαδήποτε πληρωμή, αξίζει να αναρωτηθείτε αν έχει εντοπιστεί και κλείσει η υποκείμενη ευπάθεια, διότι αν δεν έχει κλείσει, η πληρωμή μπορεί απλώς να είναι η πρώτη δόση σε μια συνεχιζόμενη σχέση με τον επιτιθέμενο.

Είναι επίσης μια στιγμή για να εμπλακούν οι αρχές επιβολής του νόμου νωρίς και όχι εκ των υστέρων. Οι υπηρεσίες που παρακολουθούν ομάδες ransomware μπορούν μερικές φορές να προσφέρουν εργαλεία αποκρυπτογράφησης, πληροφορίες απειλών σχετικά με τη συμπεριφορά μιας συγκεκριμένης συμμορίας ή πλαίσιο για το αν μια ομάδα έχει ιστορικό επαναλαμβανόμενου εκβιασμού. Η πρόσληψη εξωτερικής εμπειρογνωμοσύνης απόκρισης σε περιστατικά πριν από τη λήψη απόφασης πληρωμής, αντί μετά, δίνει σε έναν οργανισμό σαφέστερη εικόνα των πραγματικών επιλογών του.

Για μικρότερες επιχειρήσεις χωρίς ειδικές ομάδες ασφαλείας, ο υπολογισμός είναι παρόμοιος αλλά οι πόροι είναι λιγότεροι. Αυτό καθιστά την πρόληψη ακόμη πιο σημαντική: βασική υγιεινή όπως τακτικά αντίγραφα ασφαλείας, ενημερωμένο λογισμικό και ασφαλή εργαλεία απομακρυσμένης πρόσβασης κάνουν περισσότερα για τη μείωση του κινδύνου από οποιαδήποτε απόφαση μετά το περιστατικό.

Βασικά συμπεράσματα

Το βασικό δίδαγμα από αυτήν την έρευνα της Proofpoint είναι ξεκάθαρο: μια πληρωμή λύτρων αγοράζει χρόνο, όχι απαραίτητα ασφάλεια. Οι οργανισμοί θα πρέπει να αντιμετωπίζουν κάθε περιστατικό ransomware ως απόδειξη ενός κενού ασφαλείας που χρειάζεται διόρθωση, ανεξάρτητα από το αν γίνεται πληρωμή. Πρακτικά βήματα που αξίζει να τεθούν σε προτεραιότητα περιλαμβάνουν τη διατήρηση αντιγράφων ασφαλείας εκτός σύνδεσης, την κατάτμηση δικτύων, την παρακολούθηση για πρώιμα σημάδια εισβολής και την ασφάλιση της απομακρυσμένης πρόσβασης με ισχυρό έλεγχο ταυτότητας και κρυπτογραφημένες συνδέσεις.

Το σημαντικότερο είναι ότι οποιαδήποτε απόφαση πληρωμής θα πρέπει να λαμβάνεται παράλληλα με ένα σοβαρό σχέδιο αποκατάστασης, όχι αντί αυτού. Οι συμμορίες ransomware λειτουργούν μια επιχείρηση και τα δεδομένα υποδηλώνουν ότι γνωρίζουν ακριβώς ποιους πελάτες αξίζει να χρεώσουν δύο φορές.