Zajedničko upozorenje FBI-a, CISA-e i EU agencija stavilo je ransomware grupu SafePay u središte pozornosti, pri čemu su SAD, Ujedinjeno Kraljevstvo i Njemačka navedeni kao mete globalne kampanje te grupe. Ključni detalj za svakodnevne korisnike i mala poduzeća: napadači ciljaju sigurnosne kopije. To čini zaštitu sigurnosnih kopija od SafePay ransomwarea važnijim pitanjem od pukog posjedovanja druge kopije vaših datoteka.

Izvorni je članak kratak, pa se ovaj post usredotočuje na ono na što upozorenje ukazuje i na praktične korake koje možete poduzeti. Gdje opisujemo tipično ponašanje napadača, ono odražava opće javno izvještavanje o SafePayu i uobičajenu praksu ransomwarea.

Što SafePay ransomware čini i koga cilja

SafePay je ransomware grupa, što znači da provaljuje u mreže, zaključava podatke i zahtijeva plaćanje za vraćanje pristupa. Javna izvješća o prijetnjama opisuju je kao operaciju dvostruke iznude: napadači kopiraju podatke iz žrtvinih sustava prije nego što ih šifriraju, a zatim zahtijevaju plaćanje u kriptovaluti. Prijetnja je i gubitak pristupa i curenje osjetljivih datoteka.

Zajedničko upozorenje opisuje globalnu kampanju, a uključene agencije djeluju u SAD-u, UK-u i Njemačkoj. Ransomware grupe rijetko se ograničavaju na velike korporacije. Mala poduzeća, klinike, škole i lokalni uredi često imaju vrijedne podatke, ali slabiju obranu, što ih čini privlačnima. Pojedinci s mrežnim pohranjivačima kod kuće ili u kućnom uredu također mogu biti izloženi.

Javno izvještavanje o SafePayu kaže da njegovi operateri obično ulaze krađom ili pogađanjem lozinki te iskorištavanjem ranjivosti u sigurnosnim sustavima. Ništa od toga nije egzotično i zato su osnove toliko važne.

Zašto napadači prvo ciljaju sigurnosne kopije

Sigurnosne kopije su sigurnosna mreža. Ako žrtva može obnoviti iz čiste kopije, zahtjev za otkupninom gubi većinu svoje poluge. Stoga napadači koji to razumiju pokušavaju ukloniti mrežu prije nego što povuku okidač. Brisanje, šifriranje ili korumpiranje sigurnosnih kopija najprije znači da su, kada se pojavi poruka s otkupninom, mogućnosti oporavka već nestale.

To je promjena koju vrijedi usvojiti. Mnogi ljudi o sigurnosnoj kopiji razmišljaju kao o nečemu što jednostavno postoji. U praksi, sigurnosnu kopiju koja je dostupna s vaše glavne mreže, koristeći iste vjerodajnice za prijavu, može pronaći i uništiti svatko tko dobije taj pristup. Kopija koja se nalazi na disku trajno priključenom na vaše računalo ili u cloud mapi koja se automatski sinkronizira može biti šifrirana zajedno sa svim ostalim.

Kako zaštititi sigurnosne kopije: izvanmrežne kopije, nepromjenjivost i šifriranje

Dobra zaštita sigurnosnih kopija od SafePay ransomwarea počinje pretpostavkom da će napadač na kraju imati pristup vašim glavnim sustavima, a zatim osiguravanjem da vaše sigurnosne kopije prežive taj scenarij. Pomažu tri ideje:

  • Čuvajte izvanmrežnu ili izoliranu kopiju. Vanjski disk koji se odspoji nakon svake sigurnosne kopije ne može se šifrirati na daljinu. Za poduzeća to znači kopije koje nisu neprekidno dostupne iz produkcijske mreže.
  • Koristite nepromjenjive sigurnosne kopije. Nepromjenjivost znači da se sigurnosna kopija ne može mijenjati ni brisati tijekom određenog razdoblja, čak ni s administratorskim računom. Mnogi alati za sigurnosne kopije i usluge pohrane u cloudu nude to kao postavku. Ako napadač ukrade administratorske vjerodajnice, zaključane kopije ostaju netaknute.
  • Šifrirajte svoje sigurnosne kopije. Šifriranje neće spriječiti napadača da izbriše podatke, ali štiti sadržaj ako se kopija ukrade. To je važno u slučaju dvostruke iznude, gdje je curenje podataka dio pritiska.

Dvije prateće navike jednako su važne. Koristite odvojene vjerodajnice za sustave sigurnosnih kopija, idealno zaštićene višefaktorskom autentifikacijom, kako ukradena svakodnevna lozinka ne bi otključala te sustave. I redovito testirajte obnavljanje. Sigurnosna kopija koju nikada niste obnovili je pretpostavka, a ne plan.

Osnovne obrane koje zaustavljaju početni upad

Zaštita sigurnosnih kopija posljednja je linija obrane. Bolji je ishod spriječiti napadače da uopće uđu. Budući da izvješća upućuju na ukradene ili pogađane lozinke i iskorištene ranjivosti, najkorisnije obrane su one neugledne:

  • Omogućite višefaktorsku autentifikaciju na e-pošti, daljinskom pristupu, cloud računima i konzolama za sigurnosne kopije.
  • Koristite jake, jedinstvene lozinke pohranjene u upravitelju lozinki, kako jedna procurjela vjerodajnica ne bi otvorila više vrata.
  • Ažurirajte pravovremeno, posebno sustave izložene internetu kao što su vatrozidi, alati za daljinski pristup i softver za sigurnosne kopije. Nezakrpljene poznate ranjivosti čest su način ulaska.
  • Ograničite daljinski pristup. Isključite usluge koje ne koristite i ograničite tko može pristupiti ostalima.

VPN može pomoći u osiguravanju daljinskih veza s poslovnom mrežom, ali nije zamjena za zakrpe i MFA te sam po sebi neće zaštititi sigurnosne kopije.

Što to znači za vas

Međunarodna priroda ovog upozorenja vrijedi je zabilježiti. Vlade koje prekogranično surađuju na cyber prijetnjama nisu novost; savezi poput Five Eyes i šireg Fourteen Eyes poznati su po razmjeni obavještajnih podataka, iako se ti aranžmani odnose na podatke nadzora i odvojeni su od ovog savjetodavnog upozorenja o ransomwareu. Poruka za čitatelje je jednostavnija: kada više agencija izda zajedničko upozorenje, prijetnja je široka i nije ograničena na jednu regiju ili industriju.

Za pojedince to znači provjeriti jesu li vaše sigurnosne kopije doista odvojene od vašeg računala. Za mala poduzeća to znači pitati tko može izbrisati vaše sigurnosne kopije i je li taj račun zaštićen MFA-om.

Ključni zaključci za djelovanje

Zaštita sigurnosnih kopija od SafePay ransomwarea svodi se na kratku reviziju koju možete završiti ovaj tjedan:

  1. Provjerite svoju postavku sigurnosnih kopija. Imate li barem jednu kopiju koja je izvanmrežna ili nepromjenjiva?
  2. Odvojite vjerodajnice. Provjerite koristi li pristup sigurnosnim kopijama različite prijave od svakodnevnih računa.
  3. Uključite MFA svugdje gdje je ponuđen, počevši od e-pošte, daljinskog pristupa i alata za sigurnosne kopije.
  4. Instalirajte ažuriranja koja čekaju, dajući prednost vatrozidima, softveru za daljinski pristup i aplikacijama za sigurnosne kopije.
  5. Testirajte obnavljanje nekoliko datoteka kako biste potvrdili da sigurnosne kopije doista rade.

Nijedan od ovih koraka nije kompliciran i zajedno oduzimaju polugu na kojoj ransomware grupe ovise. Započnite revizijom već danas.