Kiristysohjelmat eivät enää ole vain tiedostojen lukitsemista ja maksuvaatimuksia. Index Enginesin julkistamien uusien havaintojen mukaan osa muunnelmista rakennetaan toisen tavoitteen varaan: kiristysohjelmat väistävät havaitsemisen ja palautumisen, jotta uhreilla on vähemmän keinoja päästä jaloilleen maksamatta. Tässä on, mitä yritys sanoo, miltä laajempi kaava näyttää ja mitä voit tehdä asialle. ## Mitä Index Enginesin tutkimus väittää Index Engines, joka kuvailee itseään kyberturvallisuuden edelläkävijäksi, ilmoitti CyberSense Research Lab -laboratorionsa uusimmista havainnoista lehdistötiedotteella. Pääväite on, että uudemmat kiristysohjelmamuunnelmat on suunniteltu väistämään havaitsemista ja heikentämään palautumistoimia. Käytettävissämme oleva osa tiedotteesta on lyhyt, joten emme spekuloi tietyillä muunnelmilla, teknisillä menetelmillä tai tilastoilla. On myös syytä muistaa, että tämä on yrityksen ilmoitus, ja Index Engines myy tuotteita kyberturvallisuuden alalla. Suhtaudu havaintoihin yhden toimittajan tutkimuksena riippumattoman vahvistuksen sijaan. Silti taustalla oleva viesti vastaa sitä neuvoa, jota tietoturva-ammattilaiset ovat antaneet vuosien ajan: hyökkääjät kohdistavat turvaverkkoihin, eivät vain dataan. ## Miten nykyaikaiset kiristysohjelmat väistävät havaitsemisen ja kohdistuvat varmuuskopioihin Kun tutkijat sanovat, että kiristysohjelma on rakennettu väistämään havaitsemista, he tarkoittavat yleensä, että se on suunniteltu välttämään työkaluja, joiden pitäisi havaita se, kuten antivirusohjelmistot tai valvontajärjestelmät. Kun he sanovat, että se heikentää palautumista, he tarkoittavat, että se tähtää asioihin, joita käyttäisit järjestelmiesi palauttamiseen, ilmeisimmin varmuuskopioihin. Tällä on merkitystä, koska monet organisaatiot pitävät varmuuskopioita takuuna. Ajattelu menee näin: jos jotain menee pieleen, palautamme varmuuskopiosta. Tämä suunnitelma toimii vain, jos varmuuskopiot ovat ehjiä, saavutettavissa ja puhtaita. Jos haitallinen koodi pääsee varmuuskopioihin tai hiljaisesti turmelee dataa ajan myötä, palautus voi tuoda ongelman takaisin tiedostojen mukana. Siksi yksi suojauskerros on riskialtis. Havaitsemisohjelmisto voi jättää asioita huomaamatta. Varmuuskopiot voivat kärsiä. Kumpikaan ei ole yksinään täydellinen vastaus, ja tutkimus korostaa vaaraa olettaa, että toinen kattaa toisen. ## Miksi pienyritykset ja yksityishenkilöt ovat vaarassa Suurilla yrityksillä on tietoturvatiimit ja palautumisbudjetit. Pienemmillä organisaatioilla ja yksityishenkilöillä on usein yksi varmuuskopioasema, joka on kytkettynä koko ajan, tai pilvisynkronointikansio, jota he pitävät varmuuskopiona. Synkronointi ei ole sama asia kuin varmuuskopiointi: jos tiedostot salataan tai turmellaan paikallisesti, synkronointipalvelu saattaa uskollisesti kopioida vahingon. Seuraukset menevät myös menetetyn pääsyn pidemmälle. Viimeaikaiset tapaukset osoittavat, että hyökkäyksen aikana viety data voi päätyä julkaistuksi. [Stormous-kiristysohjelmahyökkäyksessä hollantilaiseen kirkkoverkkoon](/en/stormous-ransomware-hits-dutch-church-network-leaks-10gb) ryhmä otti vastuun ja vuoti dataa, mikä muistuttaa, että jopa organisaatiot, jotka palauttavat järjestelmänsä, voivat silti kohdata paljastumisen. Varastettu data voi myös päätyä myyntiin, kuten [väitetyssä Paraguayn väestörekisteritietokannan listauksessa](/en/paraguay-civil-registry-breach-exposes-5-million-records). Hyvät varmuuskopiot auttavat sinua palautumaan, mutta ne eivät palauta vuodettua dataa. ## Käytännön puolustuskeinot: varmuuskopiot, segmentointi ja reagointisuunnitelma Mikään tästä ei vaadi paniikkia. Muutama tapa parantaa merkittävästi mahdollisuuksiasi. - **Noudata 3-2-1-ajatusta.** Pidä kolme kopiota tärkeästä datasta kahdella eri tallennustyypillä, ja yksi kopio sijaitsee muualla tai offline-tilassa. - **Käytä offline- tai muuttumattomia varmuuskopioita.** Offline-kopio, joka ei ole yhteydessä verkkoosi, tai muuttumaton kopio, jota ei voi muuttaa tai poistaa tietyn ajanjakson aikana, on hyökkääjälle paljon vaikeampi saavuttaa. - **Testaa palautukset.** Varmuuskopio, jota et ole koskaan palauttanut, on oletus, ei suunnitelma. Kokeile palauttaa muutama tiedosto ja säännöllisesti koko järjestelmä varmistaaksesi, että se toimii. - **Segmentoi verkkosi.** Erota varmuuskopiojärjestelmät, palvelimet ja arkaluonteinen data jokapäiväisistä laitteista, jotta yhden koneen tartunta ei voi helposti levitä kaikkialle. - **Rajoita pääsyä.** Käytä ainutlaatuisia tunnuksia ja monivaiheista todennusta varmuuskopiojärjestelmille ja ylläpitäjätileille, ja anna ihmisille vain se pääsy, jota he tarvitsevat. - **Pidä ohjelmistot ajan tasalla.** Päivitykset sulkevat monia ovia, joista hyökkääjät kulkevat. - **Kirjoita reagointisuunnitelma.** Päätä etukäteen, kehen ottaa yhteyttä, miten eristät kärsineet laitteet, missä puhtaat varmuuskopiot sijaitsevat ja kuka hoitaa viestinnän. Tulosta kopio, koska tiedostosi voivat olla käyttämättömissä tapahtuman aikana. ## Mitä tämä tarkoittaa sinulle Jos pyörität yritystä, johtopäätös on, että havaitsemistyökaluja ja varmuuskopioita tulisi kohdella erillisinä, päällekkäisinä suojakeinoina, ja molemmat tulisi vahvistaa. Jos olet yksityishenkilö, tarkista, että varmuuskopiosi eivät ole pysyvästi liitettyinä tietokoneeseesi ja että ainakin yksi kopio on irrotettu tai suojattu muutoksilta. VPN suojaa liikennettäsi siirron aikana, mutta se ei pysäytä kiristysohjelmaa, joka on jo laskeutunut laitteellesi. Varmuuskopiohygienia, päivitykset ja sähköpostiliitteiden ja linkkien varovainen käsittely tekevät tässä raskaan työn. ## Tarkasta palautumisjärjestelysi nyt Index Enginesin ilmoitus on hyödyllinen herätys, vaikka yksityiskohdat ovat vielä rajallisia. Kiristysohjelmat, jotka väistävät havaitsemisen ja palautumisen, ovat riski, johon voit valmistautua. Tällä viikolla käytä tunti tarkastellaksesi, missä varmuuskopiosi sijaitsevat, varmista että ainakin yksi kopio on offline-tilassa tai muuttumaton, testaa palautus, tarkista verkon segmentointi ja kirjoita yksinkertainen reagointisuunnitelma. Saadaksesi tosielämän kuvan siitä, mitä hyökkäyksen jälkeen voi tapahtua, lue raporttimme [Stormous-kiristysohjelmatapauksesta ja sen 10 GB:n datavuodosta](/en/stormous-ransomware-hits-dutch-church-network-leaks-10gb).