Τι Δείχνουν τα Νέα Στοιχεία για την Επαναληπτική Εκβίαση Ransomware

Νέα στοιχεία που ανέφερε ο Connor Jones στο DataBreaches.Net επιβεβαιώνουν αυτό που οι ερευνητές ασφαλείας υποψιάζονταν εδώ και χρόνια: η πληρωμή μιας συμμορίας ransomware δεν τελειώνει την δοκιμασία, συχνά απλώς σηματοδοτεί την έναρξη του δεύτερου γύρου. Σύμφωνα με δεδομένα έρευνας που αναφέρονται παράλληλα με το δημοσίευμα, το 58 τοις εκατό των επηρεαζόμενων οργανισμών του Ηνωμένου Βασιλείου επέλεξαν να πληρώσουν ένα αίτημα λύτρων πέρυσι. Από αυτούς που πλήρωσαν, το 22 τοις εκατό χτυπήθηκαν ξανά από την ίδια ή μια διαφορετική εγκληματική ομάδα που απαιτούσε δεύτερη πληρωμή.

Αυτό σημαίνει ότι περίπου ένας στους πέντε οργανισμούς που έλαβαν τη δύσκολη απόφαση να πληρώσουν δεν πήραν τίποτα ανθεκτικό για τα χρήματά τους. Ο κύκλος εκβίασης απλώς επαναρυθμίστηκε, μερικές φορές μέσα σε εβδομάδες. Αυτό το μοτίβο των επαναληπτικών πληρωμών εκβίασης ransomware γίνεται καθοριστικό χαρακτηριστικό του τρέχοντος τοπίου απειλών και αναγκάζει τις ομάδες ασφαλείας και τα στελέχη να ξανασκεφτούν όλο τον υπολογισμό για το αν η πληρωμή είναι ποτέ μια λογική απάντηση.

Γιατί η Πληρωμή Μία Φορά Προκαλεί Δεύτερη Επίθεση

Η λογική πίσω από την επαναληπτική εκβίαση είναι απλή από την οπτική του εγκληματία. Μόλις ένας οργανισμός δείξει ότι είναι διατεθειμένος να πληρώσει, γίνεται σημαδεμένος στόχος. Οι χειριστές ransomware κρατούν αρχεία με τα θύματα που ενέδωσαν, πόσο γρήγορα πλήρωσαν και πόσα ήταν διατεθειμένα να δώσουν. Αυτές οι πληροφορίες συχνά κυκλοφορούν μεταξύ των δικτύων συνεργατών και μερικές φορές πωλούνται ή κοινοποιούνται μεταξύ εγκληματικών ομάδων που λειτουργούν υπό το μοντέλο ransomware-as-a-service.

Ένα θύμα που πληρώνει 500.000 δολάρια μία φορά έχει ουσιαστικά σηματοδοτήσει ότι διαθέτει τόσο τα αποθέματα μετρητών όσο και την ανοχή κινδύνου για να πληρώσει ξανά. Οι επιτιθέμενοι γνωρίζουν ότι μια δεύτερη εισβολή, ακόμα και λιγότερο εξελιγμένη, έχει καλές πιθανότητες να πετύχει εάν οι υποκείμενες ευπάθειες που επέτρεψαν την πρώτη παραβίαση δεν αποκαταστάθηκαν ποτέ πλήρως. Σε πολλές περιπτώσεις διπλής και τριπλής εκβίασης, τα κλεμμένα δεδομένα δεν διαγράφονται καν μετά την πληρωμή, παρά τις υποσχέσεις για το αντίθετο, αφήνοντας την πόρτα ανοιχτή για μια επακόλουθη απαίτηση που βασίζεται στην απειλή δημοσίευσης των ίδιων κλεμμένων πληροφοριών.

Αυτός είναι ακριβώς ο λόγος για τον οποίο οι υπηρεσίες επιβολής του νόμου, συμπεριλαμβανομένου του FBI, συμβουλεύουν σταθερά κατά της πληρωμής λύτρων. Η πληρωμή δεν εγγυάται την ανάκτηση δεδομένων, δεν εγγυάται τη διαγραφή των κλεμμένων αρχείων και, όπως δείχνουν αυτά τα νέα δεδομένα, δεν εγγυάται ότι οι επιτιθέμενοι θα μείνουν μακριά.

Προληπτικές Άμυνες που Μειώνουν τον Κίνδυνο Ransomware

Αν η πληρωμή δεν επιλύει αξιόπιστα το πρόβλημα, η πιο βιώσιμη διαδρομή είναι η μείωση των πιθανοτήτων μιας επιτυχημένης παραβίασης εξαρχής. Αρκετά επίπεδα άμυνας εμφανίζονται σταθερά στα ευρήματα αντιμετώπισης περιστατικών ως η διαφορά μεταξύ ενός περιορισμένου συμβάντος και ενός καταστροφικού.

Η κατάτμηση δικτύου περιορίζει το πόσο μακριά μπορεί να κινηθεί ένας επιτιθέμενος μόλις αποκτήσει ένα αρχικό πάτημα. Αντί για ένα επίπεδο δίκτυο όπου ένα μόνο παραβιασμένο διαπιστευτήριο ανοίγει πρόσβαση σε όλα, τα κατατμημένα περιβάλλοντα αναγκάζουν τους επιτιθέμενους να παλεύουν για κάθε επιπλέον εκατοστό, δίνοντας χρόνο στους αμυνόμενους να ανιχνεύσουν και να ανταποκριθούν.

Οι έλεγχοι πρόσβασης μηδενικής εμπιστοσύνης υποθέτουν ότι κανένας χρήστης ή συσκευή δεν είναι αυτομάτως αξιόπιστος, ακόμη και εντός της εταιρικής περιμέτρου. Κάθε αίτημα πρόσβασης επαληθεύεται, γεγονός που καθιστά πολύ δυσκολότερο για τα κλεμμένα διαπιστευτήρια μόνα τους να ξεκλειδώσουν κρίσιμα συστήματα.

Τα αξιόπιστα, δοκιμασμένα και απομονωμένα αντίγραφα ασφαλείας παραμένουν μία από τις πιο αποτελεσματικές άμυνες κατά του ransomware που είναι διαθέσιμες. Τα κρυπτογραφημένα αρχεία σταματούν να αποτελούν μοχλό πίεσης όταν ένας οργανισμός μπορεί να αποκαταστήσει τη λειτουργία του από καθαρά αντίγραφα ασφαλείας χωρίς διαπραγμάτευση με κανέναν. Η λέξη-κλειδί είναι δοκιμασμένα: τα αντίγραφα ασφαλείας που δεν έχουν επαληθευτεί μέσω πραγματικών ασκήσεων αποκατάστασης συχνά αποτυγχάνουν ακριβώς όταν χρειάζονται περισσότερο.

Ο έλεγχος ταυτότητας πολλαπλών παραγόντων, η έγκαιρη επιδιόρθωση συστημάτων που εκτίθενται στο διαδίκτυο και η συνεχής παρακολούθηση για ασυνήθιστη πλευρική κίνηση ολοκληρώνουν τη βασική γραμμή που χωρίζει τους οργανισμούς που ανακάμπτουν γρήγορα από εκείνους που καταλήγουν να αντιμετωπίζουν δεύτερη απαίτηση εκβίασης.

Τι Πρέπει να Κάνουν οι Οργανισμοί αντί να Πληρώνουν

Όταν συμβαίνει ένα περιστατικό ransomware, το ένστικτο να πληρώσουν γρήγορα και να εξαφανιστεί το πρόβλημα είναι κατανοητό, ειδικά υπό την πίεση πελατών, ρυθμιστικών αρχών ή ενός διοικητικού συμβουλίου που απαιτεί γρήγορη επίλυση. Αλλά τα δεδομένα επαναληπτικής εκβίασης καθιστούν σαφές ότι η πληρωμή δεν είναι μια αξιόπιστη στρατηγική εξόδου. Οι οργανισμοί εξυπηρετούνται καλύτερα αν εμπλέξουν νωρίς τις αρχές επιβολής του νόμου, προσλάβουν επαγγελματίες αντιμετώπισης περιστατικών που μπορούν να αξιολογήσουν το πραγματικό εύρος της έκθεσης δεδομένων και είναι διαφανείς με τα επηρεαζόμενα ενδιαφερόμενα μέρη αντί να υποθέτουν ότι μια σιωπηλή πληρωμή θα εξαφανίσει το ζήτημα.

Τι Σημαίνει Αυτό Για Εσάς

Είτε διαχειρίζεστε την πληροφορική για μια μικρή επιχείρηση είτε επιβλέπετε την πολιτική ασφαλείας σε έναν μεγαλύτερο οργανισμό, αυτά τα δεδομένα είναι ένα σαφές σήμα για ανακατανομή των προτεραιοτήτων. Τα χρήματα που προορίζονται για αποθεματικά λύτρων ξοδεύονται πολύ καλύτερα σε έργα κατάτμησης, αναπτύξεις μηδενικής εμπιστοσύνης και υποδομή αντιγράφων ασφαλείας που δοκιμάζεται τακτικά. Τα ασφαλιστήρια συμβόλαια κυβερνοχώρου και οι συμβάσεις διατήρησης αντιμετώπισης περιστατικών θα πρέπει επίσης να επανεξεταστούν για να διασφαλιστεί ότι δίνουν έμφαση στην πρόληψη και την ικανότητα ανάκαμψης αντί να καλύπτουν απλώς μια πληρωμή.

Για τα άτομα, το συμπέρασμα είναι παρόμοιο σε μικρότερη κλίμακα: ισχυροί, μοναδικοί κωδικοί πρόσβασης, έλεγχος ταυτότητας πολλαπλών παραγόντων και τακτικά αντίγραφα ασφαλείας προσωπικών και οικογενειακών συσκευών μειώνουν την πιθανότητα μια μεμονωμένη μόλυνση ransomware να γίνει επαναλαμβανόμενος εφιάλτης.

Χειροπιαστά Συμπεράσματα

  • Αντιμετωπίστε την πληρωμή λύτρων ως έσχατη λύση, όχι ως σχέδιο πρώτης ανταπόκρισης· τα δεδομένα δείχνουν ότι συχνά αποτυγχάνει να τερματίσει την απειλή.
  • Επενδύστε στην κατάτμηση δικτύου ώστε ένας μόνο παραβιασμένος λογαριασμός να μην μπορεί να εκθέσει ολόκληρο το περιβάλλον.
  • Υιοθετήστε αρχές μηδενικής εμπιστοσύνης για εσωτερική και απομακρυσμένη πρόσβαση, επαληθεύοντας κάθε αίτημα αντί να εμπιστεύεστε μόνο την τοποθεσία δικτύου.
  • Διατηρήστε απομονωμένα, τακτικά δοκιμασμένα αντίγραφα ασφαλείας ώστε η ανάκαμψη να μην εξαρτάται από διαπραγμάτευση με εγκληματίες.
  • Δημιουργήστε ένα σχέδιο αντιμετώπισης περιστατικών τώρα, πριν συμβεί μια επίθεση, ώστε οι αποφάσεις να μην λαμβάνονται υπό πανικό και πίεση.

Η αύξηση των επαναληπτικών πληρωμών εκβίασης ransomware είναι ένα ισχυρό επιχείρημα για τη μετατόπιση πόρων από την αντιδραστική διαπραγμάτευση στην προληπτική άμυνα. Οι οργανισμοί που κάνουν αυτή τη μετατόπιση τώρα θα είναι σε πολύ καλύτερη θέση από εκείνους που ακόμη ελπίζουν ότι μια μόνο πληρωμή θα εξαφανίσει το πρόβλημα.