A zsarolóvírusok már messze túlmutatnak az egyszerű fájltitkosításon. A mai legkárosabb támadások egy kiszámítható életciklust követnek, amely nem egy, hanem két váltságdíj-követeléssel végződik. Annak megértése, hogyan bontakozik ki ez a folyamat, és hol maradnak alul az olyan általános védelmek, mint a VPN-ek, az első lépés egy olyan biztonsági helyzet kialakítása felé, amely valóban ellenáll neki.

A zsarolóvírus-támadások életciklusa lépésről lépésre

A modern zsarolóvírus-kampányok ritkán kezdődnek titkosítással. Ez az utolsó felvonás, nem a nyitó lépés. Fejlett esetekben a támadók először hozzáférést szereznek egy hálózathoz, gyakran ellopott hitelesítő adatokon, adathalászaton vagy egy feltárt sebezhetőségen keresztül. Amint bejutottak, csendben feltérképezik a környezetet, magasabb jogosultságokat szereznek, és azonosítják a legérzékenyebb vagy legértékesebb adatokat, amelyeket csak találnak.

Itt jön a kritikus rész: mielőtt bármilyen fájlt zárolnának, a támadók kiszivárogtatják ezeket az érzékeny adatokat az általuk irányított szerverekre. Ez a lépés, amelyet a zsarolóvírusok régebbi leírásai néha figyelmen kívül hagynak, mára standard gyakorlattá vált a kifinomult csoportok körében. Csak miután az adatokat kimásolták, akkor lép működésbe a kártékony szoftver, hogy titkosítsa a fájlokat az áldozat rendszerein, és azokat gyors, gyakran automatizált műveletben elérhetetlenné tegye.

Miután mindkét nyomástényezőt biztosították – a titkosított rendszereket és az ellopott adatokat –, a támadók előterjesztik váltságdíj-követelésüket. Itt lép képbe a "kettős zsarolás". Az áldozatokat nemcsak egy visszafejtő kulcsért szorongatják, hogy helyreállíthassák rendszereiket, hanem azért is, hogy megakadályozzák a bizalmas információk nyilvános közzétételét vagy eladását. A fizetés megtagadása már nem csupán a végleges adatvesztés kockázatával jár; ügyfélnyilvántartások, pénzügyi adatok vagy szellemi tulajdon nyilvános kiszivárogtatását kockáztatja.

Ez a kétirányú nyomásgyakorlás annyira elterjedtté vált, hogy egyes támadók ma már teljesen kihagyják a titkosítást, és kizárólag az adatok nyilvánosságra hozatalának fenyegetésére támaszkodnak. A Clop-hoz hasonló csoportokhoz köthető közelmúltbeli zsarolási kampányok világosan mutatják ezt az elmozdulást, amint azt a PTC Windchill rendszereket sújtó Clop PLM zsarolási hullám és a kapcsolódó Clop zsarolóvírus-kampány a PTC Windchill és FlexPLM rendszerek ellen is mutatja, ahol az ellopott adatok maguk váltak az elsődleges nyomástényezővé.

Miért nem véd meg teljes mértékben egy VPN?

A VPN titkosítja az internetkapcsolatot, és megvédheti a forgalmat a lehallgatástól, illetve a tartózkodási helyet a követéstől. Ez értékes, de a kockázati felületnek csak egy szűk szeletét fedi le. A VPN semmit sem tesz egy olyan támadó ellen, aki már érvényes hitelesítő adatokat szerzett, kihasznált egy szoftverhibát, vagy rávett egy alkalmazottat, hogy rosszindulatú linkre kattintson. Amint bejutottak a hálózatba, a zsarolóvírus-üzemeltetők oldalirányban mozognak a belső rendszerek között, adatokat szivárogtatnak ki, és titkosítási csomagokat telepítenek, mindezt teljesen függetlenül attól, hogy bárki hogyan csatlakozott az internethez az első helyen.

Más szóval, a VPN az alagutat védi, nem a célállomást. Nem képes vizsgálni, hogy mi történik a hálózaton belül, észlelni a szokatlan adatátviteleket, vagy megállítani a kártékony szoftverek végrehajtását, miután azok megvetették a lábukat. A VPN teljes körű zsarolóvírus-védelemként való kezelése veszélyes vakfoltot teremt, különösen, mivel a támadások egyre automatizáltabbá válnak. Biztonsági kutatók még teljesen autonóm, mesterséges intelligencia által vezérelt zsarolóvírus-támadások eseteit is dokumentálták, ahol egy MI-ügynök végezte a felderítést, a kihasználást és a zsarolást, anélkül hogy emberi operátor irányította volna az egyes lépéseket. Az ilyen fenyegetések gyorsabban mozognak, mint amit egy VPN hatóköre valaha is kezelni tudott volna.

Miért nem garantálja a biztonságot a fizetés?

Még azok a szervezetek is, amelyek kifizetik a váltságdíjat, gyakran szembesülnek azzal, hogy a probléma nem ért véget. Az Egyesült Királyság zsarolóvírus-áldozatairól szóló közelmúltbeli kutatás megállapította, hogy a fizető szervezetek jelentős része továbbra is egy második zsarolási körrel szembesült, legyen szó megújított követelésekről, további adatszivárogtatásokról vagy teljesen új támadásokról. Ezek az adatok egy kemény igazságot erősítenek meg: a kettős zsarolás nem ér véget azután, hogy az áldozatok fizettek. A fizetés időt nyerhet, de nem törli el azt a tényt, hogy az adataikat ellopták, és nem állítja helyre a bizalmat abban, hogy a behatolást teljes mértékben elszigetelték.

Mit jelent ez Önnek?

Akár egy kisvállalati hálózatot kezel, akár egyszerűen csak meg szeretné érteni az Ön által használt rendszerekhez kapcsolódó kockázatokat, a zsarolóvírus-támadások életciklusának újra kell formálnia a védelemről alkotott gondolkodásmódját. A megelőzésnek jóval a titkosítás bekövetkezése előtt kell megtörténnie, mert mire a fájlok zárolódnak, az érzékeny adatok általában már régen elhagyták az épületet.

Ez azt jelenti, hogy a rétegzett védelem sokkal többet számít, mint bármelyik önálló eszköz. A rendszeres, tesztelt biztonsági mentések, amelyeket offline vagy elszigetelt környezetben tárolnak, csökkentik a titkosítás által a támadóknak biztosított nyomástényezőt. A hálózatszegmentálás korlátozza, hogy a behatoló milyen messzire tud eljutni a kezdeti hozzáférés megszerzése után. A szokatlan adatátvitelek folyamatos figyelése elkaphatja az adatszivárogtatást, mielőtt az teljes körű zsarolási eseménnyé fajulna. A többfaktoros hitelesítés és a gyors javítások telepítése lezárja a támadók által használt kezdeti belépési pontok nagy részét.

Gyakorlati teendők

Kezdje azzal a feltételezéssel, hogy bármely egyedi biztonsági réteg – beleértve a VPN-t is – megkerülhető. Készítsen biztonsági mentést a kritikus adatokról olyan ütemezés szerint, amelyet valóban tesztel, nem csak feltételezi, hogy működik. Szegmentálja a hálózatát, hogy egyetlen kompromittált fiók se férhessen hozzá mindenhez. Figyelje a kimenő adatáramlásokat rendellenességek után kutatva, mivel az adatszivárogtatás gyakran órákkal vagy napokkal megelőzi a titkosítást. És dolgozzon ki incidenskezelési tervet most, mielőtt szükség lenne rá, hogy a váltságdíj-követelésekkel kapcsolatos döntéseket ne nyomás alatt kelljen meghozni. A zsarolóvírus-támadások teljes életciklusának – és nem csupán a fájlok zárolásának pillanatának – megértése választja el a gyorsan helyreálló szervezeteket azoktól, amelyek nem.