Wat de nieuwe ransomware-betalingsgegevens laten zien

Een nieuw rapport van beveiligingsbedrijf Proofpoint, dat woensdag werd gepubliceerd, biedt een ongemakkelijke bevestiging voor iedereen die ooit heeft overwogen een ransomwarebende te betalen om van een probleem af te komen: een aanzienlijk deel van de slachtoffers die betalen, krijgt uiteindelijk te maken met een tweede afpersings-eis. Het rapport onderstreept iets waar beveiligingsonderzoekers en incidentresponders al jaren voor pleiten: dat onderhandelingen met ransomware niet te goeder trouw worden gevoerd, en dat betalen niet garandeert dat een aanvaller daadwerkelijk zal vertrekken.

De gegevens van Proofpoint voegen harde cijfers toe aan een patroon dat verdedigers al lang anekdotisch vermoedden. Organisaties die op een losgeldeis ingaan, kopen geen afsluiting. Ze kopen vaak een tweede ronde drukmiddelen voor dezelfde aanvaller, of voor een geheel andere groep, om terug te komen en meer te eisen.

Waarom betalen van losgeld een tweede aanval uitlokt

De logica achter herhaalde afpersing is eenvoudig zodra je het vanuit het perspectief van de aanvaller bekijkt. Het hele bedrijfsmodel van een ransomwaregroep hangt af van het geloof van slachtoffers dat betaling de crisis beëindigt. Maar er is geen juridisch contract, geen handhavingsmechanisme en geen reputatierisico dat sterk genoeg is om het woord van een aanvaller te garanderen zodra het geld is verplaatst. Als een slachtoffer al de bereidheid en het vermogen heeft getoond om te betalen, wordt dat slachtoffer een aantrekkelijker doelwit, geen afgehandelde rekening.

Dit is mede de reden waarom beveiligingsonderzoekers ransomware-onderhandelingen als fundamenteel anders beschrijven dan een normale zakelijke transactie. Er is geen prikkel voor de andere partij om daadwerkelijk te vertrekken. Een criminele groep die eenmaal met succes een betaling heeft afgedwongen, heeft alle reden om te testen of dezelfde organisatie opnieuw zal betalen, hetzij door systemen opnieuw te versleutelen, te dreigen eerder gestolen gegevens een tweede keer te lekken, of simpelweg een nieuwe eis te openen die verband houdt met de oorspronkelijke inbreuk.

Deze dynamiek hangt nauw samen met wat de branche dubbele afpersing of meervoudige afpersing noemt, waarbij aanvallers niet alleen bestanden versleutelen, maar ook vooraf gegevens stelen, waardoor ze meerdere drukmiddelen hebben om een slachtoffer uit te knijpen, zelfs nadat er losgeld is betaald. De bevindingen van Proofpoint suggereren dat zelfs nadat die eerste druk-campagne succes heeft, de bron niet per se opdroogt.

Hoe onopgemerkte inbreuken her-afpersing vergemakkelijken

Een reden waarom herhaalde afpersing zo goed werkt voor aanvallers is dat veel slachtoffers de omvang van een inbreuk niet volledig begrijpen tegen de tijd dat ze besluiten te betalen. Als een organisatie versleutelde bestanden ontdekt en onderhandelt over losgeld zonder eerst precies te identificeren tot welke gegevens toegang is verkregen, welke zijn gekopieerd of wat als achterdeur is achtergelaten, heeft ze in feite een prijs afgesproken zonder te weten wat ze daadwerkelijk terugkoopt.

Deze kloof tussen detectie en respons is een terugkerend thema in ransomware-onderzoek. Zoals besproken in een gerelateerd rapport over ransomware-detectiefouten, verliest bijna de helft van alle ransomware-slachtoffers gegevens voordat ze zich realiseren dat er een aanval gaande is. Die vertraging is hier van enorm belang: als een slachtoffer niet weet dat een aanvaller weken voor het inzetten van ransomware gegevens heeft geëxfiltreerd, doet het betalen om bestanden te ontgrendelen niets aan de gestolen informatie die op een criminele server staat. Die kan opnieuw worden te gelde gemaakt via een tweede eis, apart worden verkocht of later worden gebruikt voor een nieuwe dreiging tot lekken.

Defensieve stappen: back-ups, monitoring en incidentrespons-planning

De praktische conclusie uit het rapport van Proofpoint is niet dat losgeldbetaling onder geen enkele omstandigheid zou mogen plaatsvinden. Het is dat betaling nooit moet worden behandeld als een gegarandeerde oplossing. Organisaties, en individuen die kleinere netwerken of bedrijven beheren, zijn beter gediend door stroomopwaarts te investeren in preventie en detectie dan stroomafwaarts in onderhandeling.

Dat betekent: regelmatige, geteste, offline back-ups onderhouden zodat versleutelde bestanden kunnen worden hersteld zonder iemand te betalen. Het betekent investeren in monitoringtools die ongeautoriseerde toegang tot gegevens kunnen opmerken voordat aanvallers de tijd hebben om grote hoeveelheden gevoelige informatie te exfiltreren. En het betekent dat er een incidentresponsplan klaar moet zijn voordat een aanval plaatsvindt, een plan dat forensisch onderzoek omvat om precies te bepalen tot wat er toegang is verkregen, niet alleen of bestanden versleuteld zijn.

Wat dit voor jou betekent

Voor eigenaren van kleine bedrijven en particulieren is de boodschap van dit onderzoek duidelijk: ga er niet van uit dat het betalen van losgeld de snelle, schone oplossing is die het op dat moment lijkt. Aanvallers die al hebben bewezen bereid te zijn om je een keer af te persen, hebben zowel de middelen als het motief om het nog een keer te doen. De echte verdediging tegen herhaalde ransomware-afpersingsaanvallen is niet een betere onderhandelingsstrategie, maar het verkleinen van de kans dat je überhaupt in die positie terechtkomt door sterke back-ups, snellere detectie en een duidelijk responsplan.

Actiegerichte inzichten

  • Behandel losgeldbetaling als een laatste redmiddel, niet als een gegarandeerde oplossing, aangezien Proofpoints gegevens tonen dat aanvallers vaak terugkomen met nieuwe eisen.
  • Geef prioriteit aan offline, geteste back-ups zodat versleuteling alleen geen betalingsbeslissing kan afdwingen.
  • Investeer in detectietools die gegevens-exfiltratie vroegtijdig opmerken, omdat vertraagde detectie aanvallers meer drukmiddelen geeft voor herhaalde afpersing.
  • Stel een incidentresponsplan op voordat een aanval plaatsvindt, inclusief forensische stappen om de volledige omvang van elke inbreuk te bepalen.
  • Ga ervan uit dat alle gegevens die zijn gestolen voordat losgeld is betaald een toekomstig risico blijven, ongeacht wat aanvallers beloven.