Egy mexikói futárcég átélte minden kis- és középvállalkozás egyik legrosszabb rémálmát: három hónapon át támadók rejtőztek a hálózatában, mielőtt észrevették volna, hogy valami nem stimmel. Amikor végre felfigyeltek rá, már késő volt. A kiberbűnözők érzékeny adatokat loptak, és akár hat szervert is titkosítottak a Windowsba natívan beépített BitLocker titkosító eszközzel. A cég kevesebb mint 5000 dollárt fizetett, hogy visszakapja a hozzáférést, de ez csak a kezdete volt egy sokkal nagyobb problémának: teljesen újjá kellett építenie a digitális infrastruktúráját, mert már egyetlen, a támadók által érintett rendszerben sem bízhatott meg.

Három hónap láthatatlanul: a bent tartózkodási idő valódi ára

Ennek az esetnek nem a végső titkosítás a legárulkodóbb része, hanem az az idő, amíg a támadók észrevétlenül a rendszerben maradtak. Három hónap elegendő egy teljes vállalati hálózat feltérképezésére, a legértékesebb adatok helyének beazonosítására, azok másolatainak ellopására, és csak ezután a titkosítás végrehajtására. Ez a kettős zsarolásként ismert minta mára standarddá vált a zsarolóvírus csoportok között: először kiszivárogtatják az adatokat, hogy legyen egy második nyomásgyakorlási eszközük (a nyilvánosságra hozatallal való fenyegetés), majd lezárják a rendszereket, hogy kikényszerítsék a fizetést.

Különösen figyelemre méltó a BitLocker használata ebben a támadásban. Ahelyett, hogy egyedi titkosító kártevőt telepítettek volna, amelyet a vírusirtók vagy biztonsági megoldások észlelhetnek, a támadók egy olyan legitim eszközt használtak ki, amely már eleve telepítve volt az áldozat saját szerverein. Ez a „living off the land” (a meglévőből élés) taktika egyre gyakoribb, mert csökkenti annak esélyét, hogy a biztonsági szoftver gyanús tevékenységként jelezze. Egy korlátozott monitorozási erőforrásokkal rendelkező kkv számára ez azt jelenti, hogy a figyelmeztető jelek teljesen észrevétlenül maradhatnak.

A váltságdíj kifizetése nem oldja meg az alapvető problémát

Az eset egyik legfontosabb tanulsága, hogy a váltságdíj kifizetése – még egy viszonylag alacsony, kevesebb mint 5000 dolláros összeg esetén is – nem szünteti meg a valódi kárt. A cég visszakapta a visszafejtési kulcsokat, de ez nem adta vissza a saját infrastruktúrájába vetett bizalmát. Amikor egy támadó hosszabb ideig hozzáfér egy hálózathoz, bármely rendszer, hitelesítő adat vagy konfiguráció kompromittálódhatott vagy módosulhatott. Ezért a teljes újjáépítés – bár költséges és zavarokkal jár – általában az egyetlen felelős megoldás.

Ennek közvetlen adatvédelmi vonatkozásai is vannak. Ha a támadók a szerverek titkosítása előtt elloptak adatokat, akkor ezek az adatok (amelyek tartalmazhatnak ügyfél-, munkavállalói vagy üzleti partner információkat) már kikerültek a vállalat ellenőrzése alól, függetlenül attól, hogy kifizették-e a váltságdíjat vagy sem. Ez ugyanaz a típusú adatkiszivárgás, amely szélesebb körű aggodalmakat gerjesztett a megfigyeléssel és a személyes adatok kezelésével kapcsolatban – ez a téma olyan szabályozási vitákon is átível, mint az Európai Unió Chat Controlja, ahol arról vitatkoznak, hogy ki férhet hozzá a magánkommunikációkhoz és milyen feltételek mellett. A tanulság mindkét forgatókönyvben ugyanaz: ha egyszer az adatok kikerülnek a biztonságos kezekből, gyakorlatilag lehetetlen garantálni, hogy nem használják fel azokat jogellenesen.

Mit jelent ez számodra

Ha egy kkv-t vezetsz, vagy egy kis IT-csapatban dolgozol, ez az eset konkrét figyelmeztetésként szolgálhat, nem pedig távoli történetként. A kkv-k éppen azért vonzó célpontok, mert általában kevesebb védelmi réteggel rendelkeznek, mint a nagyvállalatok, ugyanakkor ugyanolyan értékes adatokat kezelnek: pénzügyi információkat, ügyféladatokat és felhőrendszerek hozzáférési hitelesítő adatait.

Néhány gyakorlati intézkedés, amely csökkenti annak kockázatát, hogy a te vállalkozásod hasonló helyzetbe kerüljön, a következők: a fő hálózattól valóban elszigetelt biztonsági mentések fenntartása (offline vagy megváltoztathatatlan tárolón), annak áttekintése és korlátozása, hogy ki rendelkezik adminisztrátori jogosultságokkal, valamint az operációs rendszer legitim eszközeinek használatának monitorozása, amelyekkel vissza lehet élni, ahogyan itt a BitLockerrel történt. Érdemes azt is átgondolni, hogyan védik a belső és távoli hálózati forgalmat, különösen, ha a munkatársak az irodától eltérő helyszínekről csatlakoznak; ilyen esetekben annak megértése, hogy milyen védelmi eszközök léteznek a régiódban – amint azt ez a Salvador legjobb VPN-je útmutató részletezi –, segíthet a Mexikóban és a régió más országaiban alkalmazható hasonló lehetőségek értékelésében.

Emellett érdemes szem előtt tartani, hogy a zsarolóvírus támadás során történő adatlopás nem elszigetelt esemény: az ellopott információk keringeni kezdhetnek, vagy más célokra is felhasználhatják őket, ami egy olyan kockázat, amely szélesebb körű aggodalmakhoz kapcsolódik a személyes adatok követésével és felhasználásával kapcsolatban, ahogyan azt dokumentálták olyan esetekben, amikor hatóságok több száz millió eszközt követtek nyomon hirdetési adatok felhasználásával nagy léptékben.

Összegzés

Ez a mexikói kisvállalkozás elleni zsarolóvírus támadás megerősíti, amit sok kiberbiztonsági szakértő évek óta ismétel: a váltságdíj kifizetése ritkán jelenti a történet végét. Három hónap jogosulatlan hozzáférés, az adatlopás és a teljes infrastruktúra nulláról való újjáépítésének szükségessége azt mutatja, hogy a megelőzés és a korai észlelés sokkal többet ér, mint bármilyen későbbi egyezkedés a támadókkal. Ha a cégednek még nincs világos terve a biztonsági mentésre, a monitorozásra és az incidenskezelésre, itt az ideje, hogy felülvizsgáld, mielőtt te leszel a következő statisztika.