Μια μεξικανική εταιρεία ταχυμεταφορών έζησε έναν από τους χειρότερους εφιάλτες για κάθε μικρή ή μεσαία επιχείρηση: να περάσει τρεις μήνες με επιτιθέμενους κρυμμένους μέσα στο δίκτυό της προτού συνειδητοποιήσει ότι κάτι δεν πήγαινε καλά. Όταν τελικά το αντιλήφθηκαν, ήταν ήδη αργά. Οι κυβερνοεγκληματίες είχαν κλέψει ευαίσθητες πληροφορίες και κρυπτογραφήσει έως και έξι διακομιστές χρησιμοποιώντας το BitLocker, το εργαλείο κρυπτογράφησης που ενσωματώνει εγγενώς τα Windows. Η εταιρεία πλήρωσε λιγότερα από 5.000 δολάρια για να ανακτήσει την πρόσβαση, όμως αυτό αποδείχθηκε μόλις η αρχή ενός πολύ μεγαλύτερου προβλήματος: χρειάστηκε να ανοικοδομήσει πλήρως την ψηφιακή της υποδομή, επειδή δεν μπορούσε πλέον να εμπιστευτεί κανένα σύστημα που είχαν αγγίξει οι επιτιθέμενοι.
Τρεις αόρατοι μήνες: το πραγματικό κόστος του χρόνου παραμονής
Το πιο αποκαλυπτικό σε αυτή την υπόθεση δεν είναι η τελική κρυπτογράφηση, αλλά ο χρόνος που οι επιτιθέμενοι παρέμειναν απαρατήρητοι. Τρεις μήνες είναι αρκετοί για να χαρτογραφηθεί ένα ολόκληρο εταιρικό δίκτυο, να εντοπιστούν τα πολυτιμότερα δεδομένα, να κλαπούν αντίγραφα αυτών των πληροφοριών και μόνο τότε να εκτελεστεί η κρυπτογράφηση. Αυτό το μοτίβο, γνωστό ως διπλή εκβίαση, έχει γίνει καθιερωμένο μεταξύ ομάδων ransomware: πρώτα εξάγουν δεδομένα για να αποκτήσουν έναν δεύτερο μοχλό πίεσης (απειλώντας να τα δημοσιοποιήσουν) και έπειτα μπλοκάρουν τα συστήματα για να εξαναγκάσουν την πληρωμή.
Η χρήση του BitLocker σε αυτή την επίθεση είναι ιδιαίτερα εντυπωσιακή. Αντί να αναπτύξουν εξατομικευμένο κακόβουλο λογισμικό κρυπτογράφησης, που μπορεί να εντοπιστεί από antivirus ή λύσεις ασφαλείας, οι επιτιθέμενοι εκμεταλλεύτηκαν ένα νόμιμο εργαλείο που ήταν ήδη εγκατεστημένο στους ίδιους τους διακομιστές του θύματος. Αυτή η τακτική, γνωστή ως «living off the land» (ζω από ό,τι υπάρχει), γίνεται ολοένα και πιο συνηθισμένη επειδή μειώνει τις πιθανότητες το λογισμικό ασφαλείας να χαρακτηρίσει τη δραστηριότητα ως ύποπτη. Για μια ΜΜΕ με περιορισμένους πόρους παρακολούθησης, αυτό σημαίνει ότι τα προειδοποιητικά σήματα μπορούν να περάσουν εντελώς απαρατήρητα.
Η πληρωμή των λύτρων δεν επιλύει το υποκείμενο πρόβλημα
Ένα από τα σημαντικότερα διδάγματα αυτής της υπόθεσης είναι ότι η πληρωμή των λύτρων, ακόμη κι ενός σχετικά χαμηλού ποσού όπως λιγότερα από 5.000 δολάρια, δεν εξαλείφει την πραγματική ζημιά. Η εταιρεία ανέκτησε τα κλειδιά αποκρυπτογράφησης, αλλά αυτό δεν της επέστρεψε την εμπιστοσύνη στην ίδια της την υποδομή. Όταν ένας επιτιθέμενος έχει αποκτήσει παρατεταμένη πρόσβαση σε ένα δίκτυο, οποιοδήποτε σύστημα, διαπιστευτήριο ή ρύθμιση μπορεί να έχει παραβιαστεί ή τροποποιηθεί. Γι’ αυτό η πλήρης ανοικοδόμηση, αν και δαπανηρή και διασπαστική, είναι συνήθως η μόνη υπεύθυνη επιλογή.
Αυτό έχει άμεσες επιπτώσεις στην ιδιωτικότητα. Αν οι επιτιθέμενοι έκλεψαν πληροφορίες πριν κρυπτογραφήσουν τους διακομιστές, αυτά τα δεδομένα (που θα μπορούσαν να περιλαμβάνουν στοιχεία πελατών, εργαζομένων ή εμπορικών συνεργατών) βρίσκονται ήδη εκτός του ελέγχου της εταιρείας, ανεξάρτητα από το αν πληρώθηκαν τα λύτρα ή όχι. Είναι το ίδιο είδος έκθεσης δεδομένων που έχει τροφοδοτήσει ευρύτερες ανησυχίες σχετικά με την παρακολούθηση και τη διαχείριση προσωπικών πληροφοριών, ένα ζήτημα που διαπερνά και ρυθμιστικές συζητήσεις όπως αυτή για το Chat Control στην Ευρωπαϊκή Ένωση, όπου συζητείται ποιος μπορεί να έχει πρόσβαση σε ιδιωτικές επικοινωνίες και υπό ποιες προϋποθέσεις. Το δίδαγμα είναι το ίδιο και στα δύο σενάρια: από τη στιγμή που τα δεδομένα φεύγουν από ασφαλή χέρια, είναι πρακτικά αδύνατο να διασφαλιστεί ότι δεν θα χρησιμοποιηθούν καταχρηστικά.
Τι σημαίνει αυτό για εσένα
Αν διευθύνεις μια ΜΜΕ ή εργάζεσαι σε μια μικρή ομάδα IT, αυτή η υπόθεση θα πρέπει να λειτουργήσει ως συγκεκριμένη προειδοποίηση και όχι ως μακρινή ιστορία. Οι ΜΜΕ είναι ελκυστικοί στόχοι ακριβώς επειδή συνήθως έχουν λιγότερα επίπεδα άμυνας από ό,τι οι μεγάλες εταιρείες, αλλά διαχειρίζονται εξίσου πολύτιμα δεδομένα: οικονομικές πληροφορίες, δεδομένα πελατών και διαπιστευτήρια πρόσβασης σε συστήματα cloud.
Ορισμένα πρακτικά μέτρα που μειώνουν τον κίνδυνο να βρεθεί η επιχείρησή σου σε παρόμοια κατάσταση περιλαμβάνουν: τη διατήρηση αντιγράφων ασφαλείας πραγματικά απομονωμένων από το κύριο δίκτυο (offline ή σε αμετάβλητη αποθήκευση), την αναθεώρηση και τον περιορισμό των ατόμων που διαθέτουν δικαιώματα διαχειριστή, και την παρακολούθηση της χρήσης νόμιμων εργαλείων του λειτουργικού συστήματος που θα μπορούσαν να χρησιμοποιηθούν κακόβουλα, όπως συνέβη εδώ με το BitLocker. Αξίζει επίσης να εξετάσεις πώς προστατεύεται η εσωτερική και απομακρυσμένη κίνηση δικτύου, ειδικά αν το προσωπικό συνδέεται από τοποθεσίες εκτός γραφείου· σε αυτές τις περιπτώσεις, η κατανόηση των εργαλείων προστασίας που είναι διαθέσιμα για την περιοχή σου, όπως περιγράφεται σε αυτόν τον οδηγό για το καλύτερο VPN για το Ελ Σαλβαδόρ, μπορεί να σε βοηθήσει να αξιολογήσεις παρόμοιες επιλογές που ισχύουν για το Μεξικό και άλλες χώρες της περιοχής.
Επιπλέον, είναι χρήσιμο να έχεις κατά νου ότι η κλοπή δεδομένων κατά τη διάρκεια μιας επίθεσης ransomware δεν είναι μεμονωμένο γεγονός: οι πληροφορίες που υπεξαιρούνται μπορεί να καταλήξουν να κυκλοφορούν ή να χρησιμοποιούνται για άλλους σκοπούς, ένας κίνδυνος που συνδέεται με ευρύτερες ανησυχίες για την παρακολούθηση και τη χρήση προσωπικών δεδομένων, όπως έχει τεκμηριωθεί σε περιπτώσεις όπου υπηρεσίες παρακολούθησαν συσκευές χρησιμοποιώντας διαφημιστικά δεδομένα σε μεγάλη κλίμακα.
Συμπέρασμα
Αυτή η επίθεση ransomware σε μια μεξικανική ΜΜΕ επιβεβαιώνει κάτι που πολλοί ειδικοί στην κυβερνοασφάλεια επαναλαμβάνουν εδώ και χρόνια: η πληρωμή των λύτρων σπανίως είναι το τέλος της ιστορίας. Τρεις μήνες μη εξουσιοδοτημένης πρόσβασης, η κλοπή δεδομένων και η ανάγκη ανοικοδόμησης ολόκληρης της υποδομής από το μηδέν δείχνουν ότι η πρόληψη και η έγκαιρη ανίχνευση αξίζουν πολύ περισσότερο από οποιαδήποτε μεταγενέστερη διαπραγμάτευση με τους επιτιθέμενους. Αν η επιχείρησή σου δεν διαθέτει ακόμη ένα σαφές σχέδιο αντιγράφων ασφαλείας, παρακολούθησης και αντιμετώπισης περιστατικών, τώρα είναι μια καλή στιγμή να το επανεξετάσεις πριν γίνεις το επόμενο στατιστικό στοιχείο.
