Що насправді викрадає подвійний вимагацький ransomware

Протягом багатьох років стандартною порадою для переживання атаки ransomware була проста: тримайте хороші резервні копії, і ви зможете відновити свої системи без оплати. Цієї поради більше недостатньо. Сучасні хакерські угруповання більше не просто шифрують ваші дані — вони спочатку їх викрадають. Це відомо як подвійний вимагацький ransomware, і це докорінно змінює розрахунки як для жертв, так і для захисників.

Ось як це працює. Перш ніж атакувальники запустять шифрування, яке заблокує вам доступ до файлів, вони тихо копіюють чутливі дані з вашої мережі: записи клієнтів, фінансові документи, інформацію про співробітників, інтелектуальну власність — усе, що зможуть знайти. Лише після того, як дані викрадено, починається видима атака. Це означає, що на момент, коли ви помітите вимоги про викуп або заблоковані файли, крадіжка вже сталася. Відновлення з резервної копії вирішує проблему шифрування, але не заважає атакувальникам погрожувати витоком або продажем викрадених даних.

Ця зміна важлива, оскільки вона перетворює кожен інцидент ransomware на потенційний витік даних, незалежно від того, чи маєте ви бездоганні резервні копії, що лежать десь недоторканими. Захист від подвійного вимагацького ransomware, отже, має починатися задовго до того, як атакувальник наблизиться до ваших ключів шифрування.

Чому оплата викупу не гарантує повернення ваших даних

Варто повторити для будь-якої організації, яка зважує свої варіанти під час атаки: не існує юридичного договору, який зобов'язує хакерське угруповання видалити викрадені дані після оплати. Це злочинні організації, які діють поза будь-якою юридично обов'язковою угодою. Оплата не зобов'язує їх знищувати копії ваших файлів і не зупиняє їх від перепродажу даних іншим злочинцям або подальшого витоку.

Статистика для компаній, які платять викуп, також не є втішною. Навіть після оплати викупу немає гарантії отримання придатних даних назад і немає гарантії, що ті самі дані не спливуть знову в майбутній спробі вимагання. Атакувальники мають усі стимули зберігати копії як важіль тиску, оскільки жертва, яка заплатила один раз, щоб уникнути сорому або регуляторних наслідків, може заплатити знову під новим тиском.

Ця динаміка лише посилилася з еволюцією тактик вимагання. Деякі угруповання тепер використовують автоматизовані інструменти для прискорення та персоналізації кампанії тиску на жертв — тенденція, детально описана в статті як хакерські угруповання тепер використовують ШІ для сильнішого тиску на жертв. Висновок незмінний: запобігання та стримування мають набагато більше значення, ніж сподівання, що злочинна група виконає свою частину незаконної угоди.

Сегментація мережі та використання VPN як перша лінія захисту

Оскільки крадіжка даних відбувається до видимої атаки, найефективнішими є захисти, які обмежують те, чого може досягти зловмисник із самого початку, а не лише те, що відбувається після детонації.

Сегментація мережі є центральною в цьому. Коли всі пристрої та сервери перебувають в одній плоскій мережі, атакувальник, який скомпрометував одну робочу станцію, часто може рухатися латерально, щоб дістатися до файлових серверів, резервних систем і баз даних із чутливими записами. Сегментація мережі на ізольовані зони, відокремлення фінансових систем від загального доступу співробітників, ізоляція резервної інфраструктури від виробничих систем та обмеження адміністративного доступу означає, що один скомпрометований обліковий запис або пристрій не відкриває двері до всього одночасно.

Безпечний віддалений доступ має не менше значення. Співробітники та підрядники, які підключаються ззовні офісу, є поширеною точкою входу для атакувальників, особливо коли віддалений доступ покладається на відкриті протоколи або слабку автентифікацію. Використання правильно налаштованого VPN із сильною автентифікацією замість того, щоб залишати робочий стіл або адміністративні порти прямо доступними з інтернету, закриває один із найчастіше експлуатованих шляхів у мережу. У поєднанні з багатофакторною автентифікацією та принципом найменших привілеїв (надання користувачам і системам лише того доступу, який їм справді потрібен), ці заходи зменшують обсяг даних, які може викрити будь-який окремий злом.

Гігієна даних завершує цю першу лінію захисту. Організації, які не знають, які чутливі дані вони зберігають, де вони перебувають або хто має до них доступ, не мають способу обмежити те, що може вкрасти атакувальник. Регулярний аудит і мінімізація збережених чутливих даних, їх шифрування у стані спокою та видалення того, що більше не потрібно, зменшує ціль, навіть якщо атакувальники все ж проникнуть.

Побудова плану реагування на інциденти до того, як вас атакують

Навіть сильні заходи запобігання можуть не спрацювати проти рішучого атакувальника, тому план реагування на інциденти має існувати до кризи, а не під час неї. План, створений у розпал активної атаки, під тиском і зворотним відліком від атакувальника, набагато частіше призводить до дорогих помилок.

Ефективний план визначає, хто має повноваження приймати рішення, включно з питанням залучення правоохоронних органів або зовнішніх фахівців із реагування на інциденти, до того, як ситуація загостриться. Він визначає, як системи ізолюються для зупинки латерального переміщення в момент виявлення підозрілої активності, і встановлює протоколи комунікації, щоб юридичні, технічні та виконавчі команди не працювали з різною інформацією. Він також враховує реальність саме подвійного вимагання: оскільки дані можуть бути вже викрадені, навіть якщо шифрування виявлено рано, план має включати кроки для оцінки того, які дані могли бути розкриті, і повідомлення постраждалих сторін відповідно до вимог закону.

Що це означає для вас

Для більшості організацій практичний зсув такий: захист від ransomware більше не можна розглядати суто як проблему резервного копіювання та відновлення. Подвійне вимагання означає, що шкода часто вже завдана до того, як ви дізнаєтеся, що атака триває. Це робить контроль доступу, сегментацію та безпечні віддалені підключення настільки ж важливими, як і планування відновлення. Якщо ваша організація або особиста конфігурація покладається на віддалений доступ до чутливих систем, використання надійного VPN із сильною автентифікацією є фундаментальним кроком, а не необов'язковим доповненням. Атакувальники також стають дедалі винахідливішими в тому, як вони тиснуть на жертв після злому, що варто розуміти саме по собі.

Практичні висновки

  • Вважайте, що будь-який інцидент ransomware може також бути витоком даних, і плануйте свою відповідь відповідно, а не лише навколо відновлення файлів.
  • Сегментуйте свою мережу, щоб один скомпрометований пристрій або обліковий запис не міг дістатися до всього, особливо до резервних систем.
  • Вимагайте VPN-доступ із багатофакторною автентифікацією для будь-якого віддаленого підключення до внутрішніх систем і уникайте прямого відкриття протоколів віддаленого доступу в інтернет.
  • Проведіть аудит того, які чутливі дані ви насправді зберігаєте та де, і видаліть або зашифруйте те, що вам не потрібно.
  • Побудуйте та відпрацюйте план реагування на інциденти вже зараз, включно з повноваженнями прийняття рішень та кроками комунікації, щоб не імпровізувати під час активної атаки.
  • Не розглядайте оплату викупу як надійний шлях відновлення. Не існує договору, який змушує атакувальників видаляти викрадені дані або надавати робоче дешифрування, а оплата не гарантує, що ваші дані не спливуть пізніше.