Hvis sikkerhetsteamet ditt pustet litt lettere i fjor da overskriftene om løsepengevirus så ut til å avta, tyder ny forskning på at lettelsen kan ha vært for tidlig. Ifølge rapportering fra ZDNET var den tilsynelatende nedgangen i løsepengeaktivitet overhodet ingen retrett fra nettkriminelle. Det var en omgruppering – angriperne endret mål, metoder og inntektsstrategier i stedet for å gi seg. For virksomheter som bygger forsvarsstrategier mot løsepengevirus basert på fjorårets trusselbilde, er dette en viktig vekker.

Hvorfor «nedgangen» i løsepengevirus var et luftspeiling

På overflaten kan et fall i rapporterte løsepengehendelser se ut som gode nyheter. Men forskere påpeker at rå antall hendelser kan være misvisende. Noen løsepengegrupper rebrander, splittes opp eller går under jorden for så å dukke opp igjen under nye navn. Andre skifter fra angrep med høyt volum og lav verdi til færre, men mer målrettede operasjoner mot organisasjoner som kan betale større summer. Når du måler suksess utelukkende etter antall overskrifter, går du glipp av det underliggende strategiskiftet. Trusselen krympet ikke – den endret form – og dette skillet har enorm betydning for hvordan virksomheter fordeler sikkerhetsbudsjetter og oppmerksomhet.

Slik omgrupperer løsepengegruppene taktikken sin

Omgrupperingen viser seg på flere måter. Angripere kombinerer i økende grad datatyveri med kryptering, slik at selv et selskap med solide sikkerhetskopier fortsatt risikerer lekkasje av sensitiv informasjon dersom de nekter å betale. Denne dobbeltutpressingsmodellen er akkurat det som utspilte seg da Stadler Rail avslo et løsepengekrav på 12,3 millioner dollar fra en gruppe som kalte seg Everest, og satset på at egen motstandskraft veide tyngre enn risikoen ved eksponerte data. Andre grupper blir stadig mer kreative på teknisk nivå. GodDamn-løsepengeviruset som misbruker en signert driver for å deaktivere antivirusverktøy viser hvordan angripere finner veier rundt akkurat de forsvarsmekanismene selskaper antar fungerer i bakgrunnen. Og løsepengevirus holder seg ikke til åpenbare mål som finans eller helsevesen. Angrepet på Cropwise, presisjonsjordbruksplattformen tilknyttet Syngenta Group, som ble påtatt av en gruppe kalt ShadowByt3$, er en påminnelse om at enhver bransje som besitter verdifulle driftsdata er et lovlig mål.

De fire kjerneforsvarene virksomheter trenger nå

Gitt denne omgrupperingen peker sikkerhetsforskere på en håndfull grunnleggende forsvar som forblir essensielle uansett hvordan trussellandskapet endrer seg. For det første: robuste, testede sikkerhetskopier som er isolert fra hovednettverket, slik at kryptering av produksjonssystemer ikke også kompromitterer muligheten til gjenoppretting. For det andre: sterk identitets- og tilgangskontroll, inkludert flerfaktorautentisering, siden stjålne eller svake påloggingsdetaljer fortsatt er en av de vanligste inngangsveiene for angripere. For det tredje: rettidig patching og sårbarhetshåndtering, som tette hullene som lar angripere smette inn før forsvarerne i det hele tatt legger merke til det. For det fjerde: nettverkssegmentering, som begrenser hvor langt en angriper kan bevege seg når de først er inne, og som begrenser skaden i stedet for å la ett enkelt fotfeste utvikle seg til full nettverkskompromittering.

Ingen av disse tiltakene er nye ideer, men omgrupperingen i løsepengetaktikken minner oss om at dersom du hopper over noen av dem, skaper du en åpning som angripere aktivt leter etter å utnytte.

Hvordan VPN-er og kryptert tilgang passer inn i resiliens mot løsepengevirus

Sikker ekstern tilgang spiller en stille, men avgjørende rolle i denne forsvarsrekken. VPN-er og andre krypterte tilkoblingsverktøy bidrar til at data som beveger seg mellom eksterne medarbeidere, avdelingskontorer og kjernesystemer ikke utsettes for avlytting, og de kan konfigureres til å håndheve den typen segmentert tilgang som begrenser lateral bevegelse dersom påloggingsinformasjon noen gang kompromitteres. Å kombinere en VPN med strenge tilgangspolicyer betyr at selv om en angriper får fotfeste, får de ikke automatisk et kart over hele nettverket ditt. Dette er spesielt relevant ettersom løsepengegrupper i stadig større grad retter seg mot mindre organisasjoner og etater som kanskje ikke har dedikerte sikkerhetsteam, slik vi så i tilfellet der en amerikansk offentlig etat betalte omtrent én million dollar til en gruppe kalt Kairos etter at 2 TB med data var stjålet. Kryptert, segmentert tilgang vil ikke stoppe alle angrep, men det øker kostnaden og kompleksiteten for angriperne, noe som ofte er nok til å få dem til å gå videre til et enklere mål.

Hva dette betyr for deg

Hvis du driver med IT eller sikkerhet i en liten eller mellomstor bedrift, er ikke hovedbudskapet panikk, men omstilling. Ikke anta at fjorårets færre overskrifter betyr at trusselen er over. Løsepengegrupper er tilpasningsdyktige virksomheter på sin egen måte, og de reagerer på det som fungerer. Det betyr at forsvaret ditt må være like tilpasningsdyktig, jevnlig revurdert i stedet for å behandles som en engangssjekkliste.

Konkrete tiltak

Revidér sikkerhetskopistrategien din og bekreft at sikkerhetskopier er isolerte og jevnlig testes for gjenoppretting, ikke bare for opprettelse. Gå gjennom hvem som har tilgang til hva, og stram inn flerfaktorautentisering på tvers av alle eksterne og privilegerte kontoer. Hold deg oppdatert på patching, spesielt for internettvendte systemer og selve VPN-infrastrukturen. Til slutt, vurder om nettverkssegmenteringen og den sikre eksterntilgangen din faktisk ville ha begrenset en angriper som kom seg forbi den første forsvarslinjen, i stedet for å anta at den aldri vil bli satt på prøve. Organisasjonene som behandler forsvarsstrategier mot løsepengevirus på tvers av hele virksomheten som en kontinuerlig disiplin, og ikke et avsluttet prosjekt, er de som er best rustet til å stå imot uansett hvilken form trusselen tar neste gang.