Ransomware saboteert herstel voordat het iets versleutelt

De meeste mensen zien een ransomware-aanval als een enkele, plotselinge gebeurtenis: bestanden worden versleuteld, er verschijnt een losgeldbriefje en de organisatie probeert te reageren. In werkelijkheid vindt het meest schadelijke deel van een ransomware-aanval vaak plaats voordat er ook maar één bestand is vergrendeld. Aanvallers vernietigen bewust eerst back-ups en herstelopties, zodat wanneer de versleuteling eindelijk toeslaat, slachtoffers geen vangnet meer hebben om op terug te vallen.

Dit is het kerninzicht achter een groeiende focus binnen security operations: detection engineering die specifiek is gebouwd om sabotage vóór de versleuteling op te sporen. Twee gedragingen vallen op als betrouwbare vroege waarschuwingssignalen. De eerste is het verwijderen van schaduwkopieën, waarbij aanvallers Windows Volume Shadow Copies wissen, de ingebouwde snapshots waarmee beheerders kunnen terugkeren naar een eerdere, schone versie van een systeem. De tweede is het misbruiken van Group Policy Objects (GPO's) om kwaadaardige payloads tegelijkertijd over een heel netwerk te verspreiden, waardoor een enkel gecompromitteerd account verandert in een mechanisme voor massadistributie.

Beide acties zijn stil vergeleken met de versleuteling zelf. Ze sluiten niemand onmiddellijk buiten. Dat is precies waarom ze gevaarlijk zijn: ze gebeuren in het venster voordat iemand merkt dat er iets mis is, en ze zijn specifiek ontworpen om herstel onmogelijk te maken zodra de aanval duidelijk wordt.

Waarom detection engineering de tijdlijn verandert

Traditionele security monitoring richt zich doorgaans op het moment van impact, het punt waarop bestanden worden versleuteld en systemen uitvallen. Tegen die tijd is de schade grotendeels aangericht. Detection engineering draait die tijdlijn om door meldingen te bouwen rond de voorbereidende stappen die aanvallers nemen voordat de versleuteling begint.

Het melden op het verwijderen van schaduwkopieën betekent dat dit wordt behandeld als een inherent verdachte gebeurtenis in plaats van routinematig onderhoud. Legitieme beheerders hoeven zelden schaduwkopieën in massa te verwijderen op meerdere systemen binnen een kort tijdsbestek. Wanneer dat patroon verschijnt, is dat een sterk signaal dat er actief wordt gewerkt aan het wegnemen van het vermogen van een organisatie om zelf te herstellen.

Op vergelijkbare wijze betrapt het monitoren van GPO-wijzigingen die nieuwe scripts of uitvoerbare bestanden organisatiebreed pushen aanvallers op het exacte moment dat ze hun toegang proberen op te schalen. GPO's zijn een krachtig administratief hulpmiddel juist omdat ze elke machine in een domein kunnen bereiken. Die kracht maakt ze ook een aantrekkelijk doelwit voor aanvallers die een ransomware-payload zo breed en snel mogelijk willen verspreiden.

Door detectieregels te bouwen rond deze specifieke, goed begrepen aanvalsgedragingen krijgen securityteams een kans om in te grijpen voordat de versleuteling begint, niet erna. Dat is een betekenisvolle verschuiving van reactieve incidentrespons naar proactieve verstoring.

De privacy-inzet achter het vernietigen van back-ups

Het is de moeite waard om stil te staan bij waarom het vernietigen van back-ups zo belangrijk is, verder dan de directe operationele hoofdpijn. Wanneer herstelopties worden vernietigd, worden organisaties richting een veel beperktere set keuzes geduwd, en een van de meest voorkomende is het betalen van het losgeld. Onderzoek naar ransomware-uitkomsten heeft aangetoond dat een aanzienlijk deel van de organisaties nog steeds ervoor kiest om te betalen, ook al garandeert dat niets. Onze eerdere berichtgeving over 34% van de ANZ-bedrijven die nog steeds losgeld betalen toonde aan dat betalen allesbehalve een betrouwbare oplossing is, en die beslissing wordt vaak genomen onder precies het soort druk dat het vernietigen van back-ups creëert.

Er zit hier ook een privacy-dimensie aan. Wanneer back-ups verdwenen zijn en onderhandelen de enige weg vooruit wordt, lopen organisaties ook een groter risico op data-exposure. Aanvallers combineren versleuteling vaak met datadiefstal, waarbij ze dreigen gevoelige klant- of werknemersinformatie te lekken als er niet wordt betaald. Het vernietigen van back-ups haalt de optie weg om simpelweg te herstellen en te weigeren te onderhandelen, wat de kans vergroot dat gestolen persoonsgegevens als hefboom worden gebruikt. Het eerder onderscheppen van de aanval, voordat back-ups worden gewist, behoudt meer dan alleen IT-infrastructuur. Het behoudt het vermogen van een organisatie om nee te zeggen tegen een losgeldels zonder te gokken met de persoonsgegevens van de mensen die het bedient.

Wat dit voor jou betekent

Als je IT-systemen voor een bedrijf beheert, is dit een herinnering dat ransomware-verdediging niet kan stoppen bij endpoint-antivirus of detectie van versleutelde bestanden. Het echte aangrijpingspunt ligt vaak uren of dagen eerder, in de stille administratieve wijzigingen die voorafgaan aan de zichtbare aanval. Als je gewoon een consument of werknemer bent wiens gegevens in deze systemen staan, is de conclusie indirecter maar nog steeds belangrijk: organisaties die investeren in vroege detection engineering hebben minder kans om in een positie terecht te komen waarin ze worden gedwongen losgeld te betalen of te onderhandelen met aanvallers die jouw persoonlijke informatie vasthouden.

Praktische conclusies

Voor securityteams volgen er een paar concrete stappen direct uit dit alles: bouw meldingen specifiek voor gebeurtenissen rond het verwijderen van schaduwkopieën in plaats van ze als achtergrondruis te behandelen, monitor GPO-wijzigingen op ongebruikelijke omvang of timing, en houd ten minste één back-upkopie die volledig geïsoleerd is van het domein, zodat een enkel gecompromitteerd beheerdersaccount er niet bij kan. Voor alle anderen is het een goede reden om de organisaties die jouw gegevens beheren te vragen hoe hun herstelplan er daadwerkelijk uitziet, en of het afhankelijk is van back-ups die een aanvaller in minuten kan verwijderen.