Μια κοινή προειδοποίηση από το FBI, τη CISA και ευρωπαϊκούς οργανισμούς έφερε στο προσκήνιο την ομάδα ransomware SafePay, με τις ΗΠΑ, το ΗΒ και τη Γερμανία να κατονομάζονται ως στόχοι της παγκόσμιας εκστρατείας της ομάδας. Η βασική λεπτομέρεια για τους καθημερινούς χρήστες και τις μικρές επιχειρήσεις: οι επιτιθέμενοι στοχεύουν τα αντίγραφα ασφαλείας. Αυτό καθιστά την προστασία αντιγράφων ασφαλείας από το ransomware SafePay ένα πολύ μεγαλύτερο ζήτημα από το να έχετε απλώς ένα δεύτερο αντίγραφο των αρχείων σας.
Το αρχικό άρθρο είναι σύντομο, επομένως αυτή η ανάρτηση εστιάζει στο τι σηματοδοτεί η προειδοποίηση και σε πρακτικά βήματα που μπορείτε να κάνετε. Όπου περιγράφουμε τυπική συμπεριφορά επιτιθέμενων, αυτό αντανακλά γενικές δημόσιες αναφορές για το SafePay και συνήθεις πρακτικές ransomware.
Τι κάνει το Ransomware SafePay και ποιοι είναι οι στόχοι
Το SafePay είναι μια ομάδα ransomware, δηλαδή παραβιάζει δίκτυα, κλειδώνει δεδομένα και απαιτεί πληρωμή για την αποκατάσταση της πρόσβασης. Δημόσιες αναφορές απειλών το περιγράφουν ως επιχείρηση διπλού εκβιασμού: οι επιτιθέμενοι αντιγράφουν δεδομένα από τα συστήματα του θύματος πριν τα κρυπτογραφήσουν και στη συνέχεια απαιτούν πληρωμή σε κρυπτονόμισμα. Η απειλή είναι τόσο η απώλεια πρόσβασης όσο και η διαρροή ευαίσθητων αρχείων.
Η κοινή προειδοποίηση περιγράφει μια παγκόσμια εκστρατεία, με τους εμπλεκόμενους οργανισμούς να εκτείνονται σε ΗΠΑ, ΗΒ και Γερμανία. Οι ομάδες ransomware σπάνια περιορίζονται σε μεγάλες εταιρείες. Μικρές επιχειρήσεις, κλινικές, σχολεία και τοπικά γραφεία συχνά έχουν πολύτιμα δεδομένα αλλά πιο αδύναμες άμυνες, γεγονός που τα καθιστά ελκυστικά. Άτομα με συσκευές δικτυακής αποθήκευσης στο σπίτι ή σε οικιακό γραφείο μπορεί επίσης να εκτεθούν.
Δημόσιες αναφορές για το SafePay αναφέρουν ότι οι διαχειριστές του συνήθως εισέρχονται κλέβοντας ή μαντεύοντας κωδικούς πρόσβασης και εκμεταλλευόμενοι ευπάθειες σε συστήματα ασφαλείας. Τίποτα από αυτά δεν είναι εξωτικό, και γι' αυτό τα βασικά έχουν τόσο μεγάλη σημασία.
Γιατί οι επιτιθέμενοι στοχεύουν πρώτα τα αντίγραφα ασφαλείας
Τα αντίγραφα ασφαλείας είναι το δίχτυ ασφαλείας. Αν ένα θύμα μπορεί να επαναφέρει από ένα καθαρό αντίγραφο, η απαίτηση λύτρων χάνει το μεγαλύτερο μέρος της μόχλευσής της. Έτσι, οι επιτιθέμενοι που το καταλαβαίνουν προσπαθούν να αφαιρέσουν το δίχτυ πριν πατήσουν τη σκανδάλη. Η διαγραφή, κρυπτογράφηση ή καταστροφή των αντιγράφων ασφαλείας πρώτα σημαίνει ότι όταν εμφανιστεί το σημείωμα λύτρων, οι επιλογές ανάκτησης έχουν ήδη χαθεί.
Αυτή είναι η αλλαγή που αξίζει να αφομοιώσετε. Πολλοί άνθρωποι σκέφτονται ένα αντίγραφο ασφαλείας ως κάτι που απλώς υπάρχει. Στην πράξη, ένα αντίγραφο ασφαλείας που είναι προσβάσιμο από το κύριο δίκτυό σας, χρησιμοποιώντας τα ίδια διαπιστευτήρια σύνδεσης, μπορεί να βρεθεί και να καταστραφεί από οποιονδήποτε αποκτήσει αυτή την πρόσβαση. Ένα αντίγραφο που βρίσκεται σε μια μονάδα δίσκου μόνιμα συνδεδεμένη στον υπολογιστή σας, ή ένας φάκελος cloud που συγχρονίζεται αυτόματα, μπορεί να κρυπτογραφηθεί μαζί με όλα τα άλλα.
Πώς να προστατεύσετε τα αντίγραφα ασφαλείας: Offline αντίγραφα, αμεταβλητότητα και κρυπτογράφηση
Η καλή προστασία αντιγράφων ασφαλείας από το ransomware SafePay ξεκινά με την παραδοχή ότι ένας επιτιθέμενος θα αποκτήσει τελικά πρόσβαση στα κύρια συστήματά σας, και στη συνέχεια διασφαλίζοντας ότι τα αντίγραφα ασφαλείας σας θα επιβιώσουν αυτού του σεναρίου. Τρεις ιδέες βοηθούν:
- Διατηρήστε ένα offline ή απομονωμένο αντίγραφο. Μια εξωτερική μονάδα δίσκου που αποσυνδέεται μετά από κάθε δημιουργία αντιγράφου ασφαλείας δεν μπορεί να κρυπτογραφηθεί εξ αποστάσεως. Για τις επιχειρήσεις, αυτό σημαίνει αντίγραφα που δεν είναι συνεχώς προσβάσιμα από το δίκτυο παραγωγής.
- Χρησιμοποιήστε αμετάβλητα αντίγραφα ασφαλείας. Η αμεταβλητότητα σημαίνει ότι ένα αντίγραφο ασφαλείας δεν μπορεί να αλλαχθεί ή να διαγραφεί για καθορισμένο χρονικό διάστημα, ακόμη και από λογαριασμό διαχειριστή. Πολλά εργαλεία δημιουργίας αντιγράφων ασφαλείας και υπηρεσίες αποθήκευσης cloud το προσφέρουν ως ρύθμιση. Αν ένας επιτιθέμενος κλέψει διαπιστευτήρια διαχειριστή, τα κλειδωμένα αντίγραφα παραμένουν άθικτα.
- Κρυπτογραφήστε τα αντίγραφα ασφαλείας σας. Η κρυπτογράφηση δεν θα εμποδίσει έναν επιτιθέμενο να διαγράψει δεδομένα, αλλά προστατεύει το περιεχόμενο αν κλαπεί ένα αντίγραφο. Αυτό έχει σημασία σε περίπτωση διπλού εκβιασμού, όπου τα διαρρεύσαντα δεδομένα αποτελούν μέρος της πίεσης.
Δύο υποστηρικτικές συνήθειες είναι εξίσου σημαντικές. Χρησιμοποιήστε ξεχωριστά διαπιστευτήρια για τα συστήματα αντιγράφων ασφαλείας, ιδανικά προστατευμένα με έλεγχο ταυτότητας πολλαπλών παραγόντων, ώστε ένα κλεμμένο καθημερινό συνθηματικό να μην τα ξεκλειδώνει. Και δοκιμάζετε τακτικά τις επαναφορές. Ένα αντίγραφο ασφαλείας που δεν έχετε επαναφέρει ποτέ είναι μια υπόθεση, όχι ένα σχέδιο.
Βασικές άμυνες που σταματούν την αρχική διείσδυση
Η προστασία των αντιγράφων ασφαλείας είναι η τελευταία γραμμή άμυνας. Το καλύτερο αποτέλεσμα είναι να κρατήσετε τους επιτιθέμενους έξω. Επειδή οι αναφορές δείχνουν σε κλεμμένους ή μαντεμένους κωδικούς πρόσβασης και εκμεταλλευόμενες ευπάθειες, οι πιο χρήσιμες άμυνες είναι οι μη εντυπωσιακές:
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων στο email, την απομακρυσμένη πρόσβαση, τους λογαριασμούς cloud και τις κονσόλες αντιγράφων ασφαλείας.
- Χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς πρόσβασης αποθηκευμένους σε έναν διαχειριστή κωδικών πρόσβασης, ώστε ένα διαρρεύσαν διαπιστευτήριο να μην ανοίγει πολλές πόρτες.
- Ενημερώστε άμεσα, ειδικά τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο, όπως τείχη προστασίας, εργαλεία απομακρυσμένης πρόσβασης και λογισμικό αντιγράφων ασφαλείας. Οι μη διορθωμένες γνωστές αδυναμίες είναι ένας συνηθισμένος τρόπος εισόδου.
- Περιορίστε την απομακρυσμένη πρόσβαση. Απενεργοποιήστε υπηρεσίες που δεν χρησιμοποιείτε και περιορίστε ποιοι μπορούν να έχουν πρόσβαση στις υπόλοιπες.
Ένα VPN μπορεί να βοηθήσει στην ασφάλεια των απομακρυσμένων συνδέσεων σε ένα εταιρικό δίκτυο, αλλά δεν υποκαθιστά την ενημέρωση και τον MFA, και δεν θα προστατεύσει τα αντίγραφα ασφαλείας από μόνο του.
Τι σημαίνει αυτό για εσάς
Η διεθνής φύση αυτής της προειδοποίησης αξίζει να σημειωθεί. Οι κυβερνήσεις που συνεργάζονται διασυνοριακά για κυβερνοαπειλές δεν είναι κάτι νέο· συμμαχίες όπως τα Five Eyes και τα ευρύτερα Fourteen Eyes είναι γνωστές για την ανταλλαγή πληροφοριών, αν και αυτές οι ρυθμίσεις αφορούν δεδομένα επιτήρησης και αποτελούν ξεχωριστό ζήτημα από αυτή την προειδοποίηση ransomware. Το συμπέρασμα για τους αναγνώστες είναι απλούστερο: όταν πολλοί οργανισμοί εκδίδουν μια κοινή προειδοποίηση, η απειλή είναι ευρεία και δεν περιορίζεται σε μια περιοχή ή βιομηχανία.
Για τα άτομα, αυτό σημαίνει να ελέγξετε αν τα αντίγραφα ασφαλείας σας είναι πραγματικά ξεχωριστά από τον υπολογιστή σας. Για τις μικρές επιχειρήσεις, σημαίνει να ρωτήσετε ποιος μπορεί να διαγράψει τα αντίγραφα ασφαλείας σας και αν αυτός ο λογαριασμός προστατεύεται από MFA.
Πρακτικά συμπεράσματα
Η προστασία αντιγράφων ασφαλείας από το ransomware SafePay συνοψίζεται σε έναν σύντομο έλεγχο που μπορείτε να ολοκληρώσετε αυτή την εβδομάδα:
- Ελέγξτε τη ρύθμιση αντιγράφων ασφαλείας σας. Έχετε τουλάχιστον ένα αντίγραφο που είναι offline ή αμετάβλητο;
- Διαχωρίστε τα διαπιστευτήρια. Βεβαιωθείτε ότι η πρόσβαση στα αντίγραφα ασφαλείας χρησιμοποιεί διαφορετικές συνδέσεις από τους καθημερινούς λογαριασμούς.
- Ενεργοποιήστε τον MFA παντού όπου προσφέρεται, ξεκινώντας από το email, την απομακρυσμένη πρόσβαση και τα εργαλεία αντιγράφων ασφαλείας.
- Εγκαταστήστε τις εκκρεμείς ενημερώσεις, δίνοντας προτεραιότητα σε τείχη προστασίας, λογισμικό απομακρυσμένης πρόσβασης και εφαρμογές αντιγράφων ασφαλείας.
- Δοκιμάστε μια επαναφορά μερικών αρχείων για να επιβεβαιώσετε ότι τα αντίγραφα ασφαλείας λειτουργούν πραγματικά.
Κανένα από αυτά τα βήματα δεν είναι περίπλοκο, και μαζί αφαιρούν τη μόχλευση στην οποία βασίζονται οι ομάδες ransomware. Ξεκινήστε με τον έλεγχο σήμερα.
