Przez lata typowy obraz ransomware był związany z zaszyfrowanymi plikami i notatką o okupie wyświetlaną na ekranie. Nowa taktyka opisana przez PortalGeek zmienia ten scenariusz: ransomware bez szyfrowania living off the land paraliżuje sieci korporacyjne bez szyfrowania choćby jednego pliku, opierając się na własnych narzędziach organizacji. Rezultat pozostaje ten sam — firma staje, ale droga do tego celu jest trudniejsza do wykrycia.

Ten artykuł wyjaśnia, jak to działa, dlaczego jest tak trudne do wychwycenia i co powinny sprawdzić zarówno firmy, jak i osoby pracujące z domu.

Jak działa ransomware bez szyfrowania

Zgodnie z opublikowanymi informacjami, ta taktyka paraliżuje działalność sieci korporacyjnej bez uciekania się do szyfrowania plików, które to szyfrowanie jest tym, co zazwyczaj monitoruje wiele zabezpieczeń. Zamiast wdrażać bardzo widoczny złośliwy program, atakujący wykorzystuje narzędzia, które już istnieją w środowisku: narzędzia administracyjne takie jak PowerShell i oprogramowanie do zdalnego dostępu.

To podejście nazywa się "living off the land" (życie z tego, co jest na miejscu): intruz używa tego, co jest już zainstalowane. Bez szyfrowania danych może przerywać usługi, blokować dostępy lub unieruchamiać systemy, a wpływ na ciągłość biznesową jest równie poważny. Dla firmy niemożność operowania jest problemem centralnym, niezależnie od tego, czy jej pliki są zaszyfrowane, czy nie.

Dlaczego korzystanie z legalnych narzędzi utrudnia ich wykrycie

Klucz polega na tym, że nic z tego, co uruchamia atakujący, nie wygląda na pierwszy rzut oka na coś dziwnego. PowerShell jest codziennie używany przez administratorów systemów, a oprogramowanie do zdalnego dostępu jest standardowym elementem wsparcia technicznego. Jeśli atakujący z ważnymi poświadczeniami uruchamia te same narzędzia, jego działalność może zostać pomylona z rutynową pracą.

Ma to kilka praktycznych konsekwencji:

  • Mniej klasycznych sygnałów. Antywirus szukający znanych złośliwych plików ma niewiele do zablokowania, gdy używane są legalne programy.
  • Uwaga przesuwa się na poświadczenia. Jeśli dostęp jest ważny, pytanie nie brzmi już "jakie to oprogramowanie?", ale "kto go używa i skąd?".
  • Większe znaczenie zachowania. Wykrycie nietypowego użycia narzędzia (o dziwnej godzinie, z nieoczekiwanego komputera) staje się bardziej użyteczne niż wykrycie konkretnego pliku.

To nie jest zagrożenie, które można rozwiązać jednym produktem. Wymaga warstw: kontroli dostępu, widoczności i zdolności do odzyskania.

Co to oznacza dla pracy zdalnej i sieci domowych

Sieć korporacyjna nie kończy się w biurze. Każdy laptop łączący się z domu, każde narzędzie zdalnego dostępu i każde ponownie użyte hasło zwiększa powierzchnię, przez którą może wejść atakujący. Jeśli metoda opiera się na wykorzystaniu legalnych dostępów, poświadczenia osób pracujących zdalnie stają się szczególnie cennymi drzwiami.

W praktyce bezpieczeństwo sieci domowej wpływa na bezpieczeństwo firmy:

  • Router z fabrycznym hasłem lub nieaktualizowanym firmware to słaby punkt.
  • Hasło powtórzone między usługami osobistymi a korporacyjnymi ułatwia sytuację, w której obcy wyciek danych ostatecznie wpływa na pracę.
  • Zainstalowany i zapomniany program do zdalnego dostępu, lub bez wzmocnionego uwierzytelniania, oferuje bezpośrednią drogę do komputera.

Ogólny kontekst również ma znaczenie. Jak opisaliśmy w naszej analizie na temat wzrostu liczby ofiar ransomware w Hiszpanii i kradzieży danych z AI, zagrożenie nadal rośnie i dotyczy zarówno organizacji, jak i osób z nimi połączonych.

Praktyczne środki: MFA, minimalne uprawnienia, monitorowanie i kopie zapasowe

Żaden z tych środków nie jest nowy, ale razem znacznie zmniejszają pole manewru tego, kto próbuje nadużyć legalnych narzędzi.

  1. Uwierzytelnianie wieloskładnikowe (MFA). Włącz je w poczcie, korporacyjnych VPN, pulpicie zdalnym i w każdym panelu administracyjnym. Jeśli hasło wycieknie, MFA dodaje istotną przeszkodę.
  2. Minimalne uprawnienia. Każde konto powinno mieć tylko uprawnienia, których potrzebuje. Jeśli zwykły użytkownik nie potrzebuje uruchamiać PowerShell z podniesionymi uprawnieniami, lepiej to ograniczyć.
  3. Kontrola oprogramowania do zdalnego dostępu. Prowadź inwentarz tego, jakie narzędzia są autoryzowane, i usuwaj te, które nie są używane.
  4. Monitorowanie zachowania. Rejestruj i przeglądaj aktywność narzędzi administracyjnych oraz definiuj alerty na wypadek nietypowego użycia.
  5. Izolowane i przetestowane kopie zapasowe. Przechowuj kopie oddzielone od głównej sieci i sprawdzaj, czy można je przywrócić. Jeśli blokowane są systemy, a nie tylko pliki, warto też mieć udokumentowany plan odzyskiwania.
  6. Higiena domowa. Zmień poświadczenia routera, zaktualizuj jego firmware, używaj unikalnych haseł z menedżerem i utrzymuj system operacyjny w aktualnej wersji.

Wnioski: sprawdź swoją konfigurację, zanim zrobi to atakujący

Ransomware bez szyfrowania living off the land przypomina, że niebezpieczeństwo nie zawsze przychodzi w postaci podejrzanego pliku. Czasem przychodzi z ważnym kontem i narzędziami, które już są na twoim komputerze. Dlatego obrona polega na ochronie poświadczeń, ograniczaniu uprawnień, obserwowaniu zachowania i zapewnieniu, że możesz się odzyskać.

Poświęć kilka minut w tym tygodniu na przegląd swojej konfiguracji pracy zdalnej: czy masz włączone MFA na kluczowych kontach? Czy zmieniłeś hasło administracyjne routera? Czy twoje kopie zapasowe są izolowane i czy je przetestowałeś? Aby lepiej zrozumieć skalę problemu, możesz zapoznać się z naszym artykułem o trendach ransomware w Hiszpanii.