Якщо ваша служба безпеки минулого року трохи полегшено зітхнула, коли заголовки про програми-вимагачі, здавалося, стихли, нове дослідження свідчить, що це полегшення могло бути передчасним. За даними ZDNET, гадане зниження активності програм-вимагачів зовсім не було відступом кіберзлочинців. Це було перегрупування: зловмисники змінили цілі, методи та стратегії монетизації, а не відступили. Для компаній, які будують стратегії захисту від вимагачів на основі торішньої картини загроз, це важливий сигнал для пробудження.

Чому «спад» програм-вимагачів виявився міражем

На перший погляд, зменшення кількості зареєстрованих інцидентів із програмами-вимагачами виглядає як хороша новина. Але дослідники зазначають, що сухі цифри інцидентів можуть вводити в оману. Деякі угруповання вимагачів ребрендовуються, розпадаються або затихають, щоб згодом з’явитися під новими назвами. Інші переходять від масових атак із низькими викупами до меншої кількості вузькоспрямованих операцій проти організацій, здатних платити більше. Якщо вимірювати успішність лише за кількістю гучних заголовків, можна пропустити зміну стратегії. Загроза не зменшилася — вона змінила форму, і ця відмінність має величезне значення для того, як бізнес розподіляє бюджети й увагу на безпеку.

Як угруповання вимагачів змінюють тактику

Перегрупування проявляється в кількох напрямках. Зловмисники дедалі частіше поєднують викрадення даних із шифруванням, тож навіть компанія з надійними бекапами все одно стикається із загрозою витоку конфіденційної інформації, якщо відмовиться платити. Саме така модель подвійного вимагання спрацювала, коли Stadler Rail відмовилася від викупу в $12,3 млн, який вимагало угруповання Everest, зробивши ставку на те, що власна стійкість переважить ризик витоку даних. Інші групи виявляють більше винахідливості на технічному рівні. Випадок, коли штам GodDamn зловживає підписаним драйвером для відключення антивірусних засобів, показує, як зловмисники знаходять способи обійти саме ті захисні механізми, які компанії вважають працюючими у фоновому режимі. І програми-вимагачі не обмежуються очевидними цілями на кшталт фінансів або охорони здоров’я. Атака на Cropwise — платформу точного землеробства, пов’язану із Syngenta Group, — про яку заявило угруповання ShadowByt3$, є нагадуванням, що будь-яка галузь, яка володіє цінними операційними даними, є законною здобиччю.

Чотири базові захисти, необхідні бізнесу зараз

З огляду на це перегрупування фахівці з безпеки виділяють кілька фундаментальних захистів, які залишаються необхідними незалежно від того, як змінюється ландшафт загроз. По-перше, стійкі, протестовані резервні копії, ізольовані від основної мережі, щоб шифрування робочих систем не скомпрометувало ваш шлях до відновлення. По-друге, потужний контроль ідентифікації та доступу, включно з багатофакторною автентифікацією, оскільки викрадені або слабкі облікові дані залишаються одним із найпоширеніших шляхів проникнення зловмисників. По-третє, своєчасне встановлення патчів та управління вразливостями, що закриває прогалини, через які зловмисники прослизають ще до того, як захисники встигають їх помітити. По-четверте, сегментація мережі, яка обмежує, наскільки далеко може просунутися зловмисник після того, як опиниться всередині, стримуючи шкоду, замість того щоб дозволити одній точці проникнення перерости в повну компрометацію мережі.

Жодна з цих ідей не є новою, але перегрупування тактик програм-вимагачів нагадує, що пропуск будь-якої з них створює отвір, яким зловмисники активно намагаються скористатися.

Яке місце VPN та шифрований доступ посідають у стійкості до вимагачів

Безпечний віддалений доступ відіграє тиху, але вирішальну роль у цьому захисному стеку. VPN та інші інструменти шифрованого з’єднання допомагають гарантувати, що дані, які передаються між віддаленими працівниками, філіями та основними системами, не наражаються на перехоплення, і їх можна налаштувати так, щоб забезпечити той самий сегментований доступ, який обмежує горизонтальне переміщення в разі компрометації облікових даних. Поєднання VPN із жорсткими політиками доступу означає, що навіть якщо зловмисник закріпиться в системі, він автоматично не отримає карту всієї вашої мережі. Це особливо актуально, оскільки угруповання вимагачів дедалі частіше націлюються на менші організації та установи, які можуть не мати виділених команд безпеки. Яскравий приклад — випадок, коли державна установа США заплатила близько $1 млн угрупованню Kairos після викрадення 2 ТБ даних. Шифрований, сегментований доступ не зупинить кожну атаку, але він підвищує витрати й складність для зловмисників, чого часто досить, щоб вони переключилися на легшу ціль.

Що це означає для вас

Якщо ви керуєте ІТ або безпекою в малому чи середньому бізнесі, головний висновок — не паніка, а перекалібрування. Не вважайте, що легші заголовки минулого року означають, що загроза минула. Угруповання програм-вимагачів самі по собі є адаптивним бізнесом, і вони реагують на те, що працює. Це означає, що ваш захист має бути таким самим адаптивним — регулярно переглядатися, а не розглядатися як одноразовий список завдань.

Практичні висновки

Проведіть аудит стратегії резервного копіювання та переконайтеся, що резервні копії ізольовані й регулярно перевіряються на здатність до відновлення, а не лише створення. Перегляньте, хто до чого має доступ, і посиліть багатофакторну автентифікацію для всіх віддалених і привілейованих облікових записів. Підтримуйте актуальність патчів, особливо для систем, доступних з інтернету, та самої VPN-інфраструктури. Нарешті, оцініть, чи дійсно ваша сегментація мережі та налаштування безпечного віддаленого доступу стримають зловмисника, який пройшов першу лінію оборони, замість того щоб припускати, що це ніколи не буде перевірено. Організації, які ставляться до стратегії захисту від вимагачів на рівні всього бізнесу як до постійної дисципліни, а не завершеного проєкту, перебувають у найкращій позиції, щоб витримати будь-яку форму, якої набуде загроза в майбутньому.