Kiristysohjelma sabotoi palautuksen ennen kuin se salaa mitään

Useimmat ihmiset kuvittelevat kiristysohjaustyökkäyksen yksittäiseksi, äkilliseksi tapahtumaksi: tiedostot salataan, lunnaita vaativa viesti ilmestyy, ja organisaatio ryhtyy sekasortoisesti toimiin. Todellisuudessa tuhoisin osa kiristysohjaustyökkäystä tapahtuu usein ennen kuin yksikään tiedosto on lukittu. Hyökkääjät tuhoavat tarkoituksella varmuuskopiot ja palautusvaihtoehdot ensin, jotta kun salaus lopulta iskee, uhreilla ei ole enää turvaverkkoa, johon turvautua.

Tämä on keskeinen oivallus kasvavan tarkastelun takana turvallisuusoperaatioissa: havaintosuunnittelu (detection engineering), joka on rakennettu erityisesti havaitsemaan salausta edeltävä sabotaasi. Kaksi toimintatapaa erottuu luotettavina varhaisina varoitusmerkkeinä. Ensimmäinen on varjokopioiden poisto, jossa hyökkääjät pyyhkivät Windowsin varjokopiot (Volume Shadow Copies), sisäänrakennetut tilannevedokset, joiden avulla järjestelmänvalvojat voivat palauttaa järjestelmän aiempaan, puhtaaseen versioon. Toinen on ryhmäkäytäntöobjektien (GPO) väärinkäyttö haitallisten kuormien työntämiseksi koko verkkoon kerralla, mikä muuttaa yhden vaarantuneen tilin massajakelumekanismiksi.

Molemmat toimet ovat hiljaisia verrattuna itse salaukseen. Ne eivät lukitse ketään pois mistään välittömästi. Juuri siksi ne ovat vaarallisia: ne tapahtuvat ikkunassa ennen kuin kukaan huomaa jotain olevan vialla, ja ne on erityisesti suunniteltu tekemään palautus mahdottomaksi, kun hyökkäys tulee ilmeiseksi.

Miksi havaintosuunnittelu muuttaa aikajanaa

Perinteinen turvallisuuden valvonta keskittyy yleensä vaikutuksen hetkeen, siihen pisteeseen, jolloin tiedostot salataan ja järjestelmät pimennevät. Siihen mennessä vahinko on pitkälti tapahtunut. Havaintosuunnittelu kääntää aikajanan rakentamalla hälytykset valmistelevien vaiheiden ympärille, joita hyökkääjät suorittavat ennen salausta.

Hälyttäminen varjokopioiden poistosta tarkoittaa sen käsittelemistä luonnostaan epäilyttävänä tapahtumana eikä rutiininomaisena ylläpitotyönä. Lakiperusteisilla järjestelmänvalvojilla on harvoin tarvetta poistaa varjokopioita joukoittain useista järjestelmistä lyhyessä ajassa. Kun tällainen kuvio ilmenee, se on vahva merkki siitä, että jokin toimii aktiivisesti poistaakseen organisaation kyvyn palautua omatoimisesti.

Vastaavasti GPO-muutosten valvonta, jotka työntävät uusia skriptejä tai suoritettavia tiedostoja organisaation laajuisesti, nappaa hyökkääjät täsmälleen sillä hetkellä, kun he yrittävät laajentaa pääsyään. GPO:t ovat tehokas järjestelmänhallintatyökalu juuri siksi, että ne voivat tavoittaa jokaisen koneen toimialueella. Tämä teho on myös se, mikä tekee niistä houkuttelevan kohteen hyökkääjille, jotka haluavat levittää kiristysohjelmakuorman mahdollisimman laajasti ja nopeasti.

Rakentamalla havaintosäännöt näiden erityisten, hyvin ymmärrettyjen hyökkääjäkäyttäytymisten ympärille, turvallisuustiimit saavat mahdollisuuden puuttua asiaan ennen salausta, ei sen jälkeen. Tämä on merkityksellinen siirtymä reaktiivisesta tapahtumavasteesta proaktiiviseen häirintään.

Yksityisyyden panokset varmuuskopioiden tuhoamisen takana

On syytä pysähtyä pohtimaan, miksi varmuuskopioiden tuhoaminen on niin tärkeää välittömän operatiivisen päänsäryn lisäksi. Kun palautusvaihtoehdot tuhotaan, organisaatiot työnnetään kohti paljon kapeampaa valikoimaa vaihtoehtoja, ja yksi yleisimmistä on lunnaiden maksaminen. Tutkimukset kiristysohjelmatuloksista ovat osoittaneet, että merkittävä osa organisaatioista päättää edelleen maksaa, vaikka se ei takaa mitään. Aiempi kattavuutemme aiheesta 34% ANZ-yrityksistä maksaa edelleen lunnaita havaitsi, että maksaminen on kaukana luotettavasta korjauksesta, ja tuo päätös tehdään usein juuri sellaisen paineen alla, jonka varmuuskopioiden tuhoaminen luo.

Tässä on myös yksityisyyden ulottuvuus. Kun varmuuskopiot ovat poissa ja neuvottelu on ainoa mahdollinen tie eteenpäin, organisaatiot kohtaavat myös todennäköisemmin tietovuotoriskin. Hyökkääjät yhdistävät usein salauksen tietovarkauteen, uhkaamalla vuotaa arkaluonteisia asiakas- tai työntekijätietoja, jos maksua ei suoriteta. Varmuuskopioiden tuhoaminen poistaa vaihtoehdon yksinkertaisesti palauttaa ja kieltäytyä neuvotteluista, mikä lisää todennäköisyyttä, että varastetut henkilötiedot päätyvät vipuvoimaksi. Hyökkäyksen nappaaminen aiemmin, ennen varmuuskopioiden pyyhkimistä, säilyttää enemmän kuin pelkän IT-infrastruktuurin. Se säilyttää organisaation kyvyn sanoa ei lunnaita koskevalle vaatimukselle uhraamatta niiden ihmisten henkilötietoja, joita se palvelee.

Mitä tämä tarkoittaa sinulle

Jos hallinnoit IT-järjestelmiä yritykselle, tämä on muistutus siitä, että kiristysohjelmapuolustus ei voi pysähtyä päätepisteiden virustorjuntaan tai salattujen tiedostojen havaitsemiseen. Todellinen vipuvaikutuksen kohta on usein tunteja tai päiviä aiemmin, hiljaisissa järjestelmänhallinnan muutoksissa, jotka edeltävät näkyvää hyökkäystä. Jos olet vain kuluttaja tai työntekijä, jonka tiedot sijaitsevat näissä järjestelmissä, oivallus on epäsuorempi mutta silti tärkeä: organisaatiot, jotka investoivat varhaiseen havaintosuunnitteluun, päätyvät harvemmin tilanteeseen, jossa ne pakotetaan maksamaan lunnaita tai neuvottelemaan hyökkääjien kanssa, joilla on hallussaan sinun henkilötietojasi.

Konkreettiset oivallukset

Turvallisuustiimeille muutama konkreettinen askel seuraa suoraan tästä: rakenna hälytykset erityisesti varjokopioiden poistotapahtumille sen sijaan, että käsittelet niitä taustakohinana, valvo GPO-muutoksia epätavallisen laajuuden tai ajoituksen varalta, ja pidä vähintään yksi varmuuskopio, joka on täysin eristetty toimialueesta, jotta yksittäinen vaarantunut järjestelmänvalvojatili ei voi tavoittaa sitä. Kaikille muille tämä on hyvä syy kysyä organisaatioilta, jotka pitävät hallussaan tietojasi, miltä heidän palautussuunnitelmansa todella näyttää, ja riippuuko se varmuuskopioista, jotka hyökkääjä voisi poistaa minuuteissa.