A zsarolóvírusoknak régebben egyszerű, bár brutális forgatókönyvük volt: a támadók titkosították a fájlokat, és váltságdíjat követeltek a visszafejtési kulcsért. Fizess, és a megpróbáltatásnak vége. Ez a modell megváltozott. A modern zsarolóvírus-bandák egyre gyakrabban ellopják az adataid egy másolatát, mielőtt egyáltalán elindítanák a titkosítási rutint, majd azzal fenyegetőznek, hogy nyilvánosságra hozzák azokat, függetlenül attól, hogy kifizetik-e a váltságdíjat. A biztonsági kutatók ezt dupla zsarolásnak nevezik, ami azt jelenti, hogy a helyreállítás már nem csupán a fájlok visszaállításáról szól. Arról szól, hogy feltételezd: az adataid már elhagyták az épületet.
Miért lopnak el adatokat a modern zsarolóvírusok a titkosítás előtt
A titkosítás önmagában elveszítette a tőkeáttételét, amint a szervezetek komolyan kezdték venni a biztonsági mentéseket. Ha az áldozat egyszerűen vissza tud állítani egy offline biztonsági mentésből, akkor értelmét veszti a visszafejtési kulcsért fizetett váltságdíj. A támadók alkalmazkodtak azzal, hogy hozzáadtak egy második nyomáspontot: először exfiltrálták az érzékeny fájlokat. Még egy makulátlan biztonsági mentésekkel rendelkező vállalat is szembesül most azzal a fenyegetéssel, hogy ellopott ügyféladatokat, pénzügyi dokumentumokat vagy egészségügyi adatokat tesznek közzé nyilvánosan, vagy adnak el más bűnözői csoportoknak.
Ez az eltolódás különösen az egészségügyben és a pénzügyi szolgáltatásokban vált láthatóvá, ahol maguk az adatok jelentik az igazi zsákmányt, nem csupán a rendszerek rendelkezésre állása. A ChipSoft egészségügyi adatszivárgásával kapcsolatos incidensek, a DentaQuest milliókat érintő adatvédelmi incidense és a McKesson ShinyHunters zsarolócsoporthoz köthető adatvédelmi incidense mind azt szemléltetik, hogy a támadók mostantól az ellopott nyilvántartásokat a titkosítástól elkülönülő alkupozícióként kezelik. A fájlok feloldásáért fizetni már nem garantálja, hogy az adatok később nem kerülnek elő.
5 kriminalisztikai lépés az első órában egy támadás után
Amikor a zsarolóvírust felfedezik, az első hatvan perc szinte minden más szakasznál jobban számít az incidens során. A pánikvezérelt cselekvések, például az összes gép azonnali leállítása, megsemmisíthetik a szükséges bizonyítékokat annak megértéséhez, hogy valójában mi történt. Ehelyett:
- Izolálj, ne kapcsold ki. Válaszd le az érintett eszközöket a hálózatról (húzd ki az ethernet-kábelt, kapcsold ki a Wi-Fi-t) ahelyett, hogy leállítanád őket. A kikapcsolás törölheti az illékony memóriát, amely nyomokat tartalmaz arról, hogyan jutottak be a támadók és mihez fértek hozzá.
- Őrizd meg azonnal a naplókat. A tűzfalnaplók, a VPN-hozzáférési naplók és a végpontészlelési rekordok gyakran az elsők, amelyeket a támadók megpróbálnak törölni. Exportáld vagy mentsd biztonságba ezeket a naplókat, mielőtt bármi mást tennél.
- Azonosítsd a belépési pontot. Keress adathalász e-mailek, nyitott távoli asztali portok vagy kompromittált hitelesítő adatok jeleit. A kezdeti hozzáférési vektor ismerete minden ezt követő döntést meghatároz.
- Határozd meg, milyen adatokat érintettek, nem csak azt, hogy mit titkosítottak. Keress szokatlan kimenő adatátvitelt a titkosítás kezdete előtti órákban vagy napokban. Az ismeretlen külső IP-címekre irányuló nagy fájlmozgások erős jelét adják annak, hogy exfiltráció történt.
- Vegyél igénybe kriminalisztikai szakértőt vagy incidenskezelő csapatot korán. Még kisvállalkozások számára is kritikus egy szakember, aki megfelelően dokumentálja az idővonalat, jogi, szabályozási és biztosítási célokból.
Az ebben az időablakban tanúsított módszeres cselekvés nem csak a kármentést segíti. Ez dönti el, hogy később bizonyítani tudod-e, mi került ellopásra és mi nem, ami rendkívül fontos az értesítési kötelezettségek és a nyilvános nyilatkozatok szempontjából.
Hogyan ismerd fel, milyen típusú adatlopás történt
Nem minden zsarolóvírus-incidens jár adatlopással, és nem minden adatlopás jár titkosítással. A kettő megkülönböztetéséhez konkrét bizonyítékokat kell vizsgálni:
- Csak titkosítással járó támadások zárolt fájlokat hagynak maguk után, de a hálózati naplókban nincs jele nagy kimenő adatátvitelnek. A váltságdíj-követelés jellemzően csak a visszafejtésre hivatkozik, közzétételre nem.
- Dupla zsarolásos támadások egyszerre mutatnak titkosított fájlokat és adatelőkészítés nyomait, például a támadás előtt nem sokkal létrehozott tömörített archívumokat, vagy exfiltrációs eszközök szokatlan hitelesítését. A váltságdíj-követelés általában azzal fenyegetőzik, hogy egy dedikált szivárgási oldalon teszik közzé az adatokat.
- Tiszta adatlopás (titkosítás nélkül) egyre gyakoribb önmagában is, különösen felhőadatbázisok és SaaS-platformok ellen. Itt a rendszerek normálisan működnek tovább, de a támadók csendben másolják a rekordokat, majd később fizetést követelnek a közzététel megakadályozásáért. A Bank of Baroda-t érintő 700GB-os dark web szivárgás és a Veradigm Gentlemen zsarolócsoport által bejelentett adatvédelmi incidense egyaránt azt mutatják, hogy a lopási állítások akkor is felmerülhetnek, ha az operatív zavar minimális.
E forgatókönyvek korai megkülönböztetése segít a szervezeteknek kalibrálni a válaszukat, az adatvédelmi incidens bejelentési határidőitől kezdve az érintett ügyfelekkel való kommunikációig.
Védekezési rétegek, amelyek csökkentik a kitettséget: titkosítás, VPN-ek és megfigyelés
Tekintettel arra, hogy a dupla zsarolásos zsarolóvírus feltételezi, hogy az adatok bármi áron nyilvánosságra kerülnek, a leghatékonyabb védekezés annak csökkentése, ami egyáltalán kitetté tehető. Az érzékeny adatok nyugalmi titkosítása azt jelenti, hogy még ha a támadók exfiltrálják is a fájlokat, a tartalom külön kulcsok nélkül olvashatatlan marad. A VPN használata a távoli hozzáféréshez lezárja az egyik leggyakoribb belépési pontot, a gyenge vagy újrahasznált hitelesítő adatokkal rendelkező nyitott távoli asztali és VPN-átjárókat, amelyeket a támadók rutinszerűen keresnek és használnak ki. A folyamatos hálózatmegfigyelés, amely jelzi a szokatlan kimenő adatmennyiséget, szintén elkaphatja a folyamatban lévő exfiltrációt, még a titkosítás megkezdése előtt.
Mit jelent ez a számodra
Ha kisvállalkozást vezetsz, vagy annak IT-ját kezeled, a dupla zsarolásos zsarolóvírus elleni válasz nem akkor kezdődhet, amikor megjelenik a váltságdíj-követelés. Az alapvető higiéniával kezdődik: offline tárolt titkosított biztonsági mentésekkel, megfigyelt VPN-hozzáféréssel a nyitott távoli asztali portok helyett, és egy írásos incidenskezelési tervvel, amely rögzíti, hogy ki kit hív fel az első órában. Azoknak a fogyasztóknak, akiknek az adatai egészségügyi szolgáltatóknál, bankoknál vagy juttatáskezelőknél vannak, a gyakorlati tanulság az éberség egy adatvédelmi incidens bejelentése után, mivel az ellopott adatok akkor is előkerülhetnek, ha a vállalat azt állítja, hogy a váltságdíj-helyzet megoldódott.
Gyakorlatias tanulságok
- Feltételezd, hogy bármely zsarolóvírus-incidens járhat adatlopással, nem csak titkosítással, amíg a kriminalisztikai bizonyítékok nem bizonyítják az ellenkezőjét.
- Az első órában izoláld a rendszereket anélkül, hogy kikapcsolnád őket, és őrizd meg a naplókat, mielőtt azokat módosíthatnák vagy törölhetnék.
- Titkosítsd az érzékeny adatokat nyugalmi állapotban, hogy az exfiltrált fájlok kevésbé legyenek értékesek a támadók számára, még ha ellopják is őket.
- Biztosítsd a távoli hozzáférést megfelelően konfigurált VPN-nel a nyitott távoli asztali protokollok helyett.
- Figyeld az általad használt szolgáltatók adatvédelmi incidens bejelentéseit, és vedd őket komolyan, még akkor is, ha a szervezet azt állítja, hogy a váltságdíj-helyzet kordában van.
A dupla zsarolás átformálta, mit jelent a zsarolóvírusból való „helyreállás". A fizetés nem garantálja, hogy az adataid titokban maradnak, és a fizetés megtagadása sem jelenti azt, hogy eltűnnek. Azok a szervezetek és egyének vannak a legjobb helyzetben, hogy átvészeljék ezeket a támadásokat, akik jóval azelőtt napi szokássá tették az adatvédelmet, hogy egy támadó egyáltalán bejutott volna.
