Протягом багатьох років ransomware асоціювався з дуже конкретним образом: зашифровані файли та записка про викуп на екрані. Попередження від Kaspersky, підхоплене домініканським виданням Acento, вказує на те, що цей образ є неповним. Якщо ви запитуєте, ransomware без шифрування що це, коротка відповідь — це різновид цифрового вимагання, за якого зловмисники можуть блокувати комп'ютери, переривати операції та погрожувати оприлюдненням викраденої інформації, не покладаючись на те, що файли будуть зашифровані.
Матеріал, доступний про це попередження, є коротким, тому варто відокремити те, що відомо, від загальних рекомендацій. Що дійсно зрозуміло — це зміна підходу: шантаж більше не спирається лише на втрату доступу, а на загрозу розкриття даних.
Ransomware без шифрування: що це і чим відрізняється від класичного
Класичний ransomware працює як замок: шифрує файли та вимагає оплату в обмін на ключ. Жертва, якщо має хороші резервні копії, може відновити свої системи та зменшити тиск з боку атакуючого.
Різновид, описаний Kaspersky, зміщує центр вимагання. Згідно з попередженням, зловмисники можуть:
- Блокувати комп'ютери.
- Переривати операції компанії.
- Погрожувати оприлюдненням викраденої інформації.
Тобто тиск надходить з двох фронтів одночасно: параліч бізнесу та ризик того, що конфіденційні дані опиняться на очах у третіх осіб. Відсутність шифрування файлів не означає, що шкода є меншою; це означає, що атакуючому більше не потрібен цей елемент для отримання важеля впливу.
Чому резервні копії не достатні проти вимагання через витік
Резервні копії залишаються незамінними, але вони вирішують лише одну проблему: відновлення інформації та повернення до роботи. Вони не можуть скасувати крадіжку даних.
Якщо зловмисники вже викрали рахунки, списки клієнтів, контракти або персональні дані, відновлення резервної копії не повертає їх під ваш контроль. Загроза їх оприлюднення залишається, навіть якщо ваші системи знову працюють. Тому відновлення більше не означає закриття кризи.
Це змінює основне питання. Раніше запитували "чи можемо ми відновити наші файли?". Тепер також потрібно запитувати "що вони могли вкрасти у нас і що станеться, якщо це стане публічним?".
Як проникають атакуючі та які легітимні інструменти вони використовують
Попередження, узагальнене Acento, не деталізує шляхи проникнення, тому ми не будемо приписувати Kaspersky конкретні техніки. Що ми можемо пояснити — це пов'язаний патерн, який ми вже розглядали: певні кампанії без шифрування спираються на легітимні інструменти, які вже існують у системах жертви, замість того щоб покладатися на очевидні шкідливі програми. Ми детально описали це в нашому аналізі про ransomware без шифрування living off the land, де пояснюється, як атакуючі використовують те, що вже є у вашому розпорядженні.
Логіка проста: інструмент адміністрування або програма щоденного використання викликає менше підозр, ніж невідомий файл. Тому відстежувати лише наявність "вірусів" вже недостатньо; також важливо спостерігати за незвичайною поведінкою легітимного програмного забезпечення.
Що це означає для вас (What This Means For You)
Якщо ви керуєте малим або середнім бізнесом, головний урок полягає в тому, що ваш план реагування не може закінчуватися резервною копією. Переривання операцій у поєднанні з загрозою витоку впливає на безперервність бізнесу, довіру ваших клієнтів і потенційно на зобов'язання щодо захисту персональних даних.
Якщо ви індивідуальний користувач, ризик є більш опосередкованим, але реальним: ваші дані зазвичай перебувають у руках компаній і сервісів, які можуть бути ціллю такого типу вимагання. Чим менше конфіденційної інформації ви ділитеся та зберігаєте без потреби, тим менше може бути розкрито.
Принцип, що об'єднує обидва випадки, однаковий: обмежити те, що може бути викрадено.
Практичні заходи для зменшення вразливості
Єдиного рішення немає, але ці загальні заходи допомагають зменшити вплив будь-якого вимагання, заснованого на даних:
- Проведіть інвентаризацію конфіденційних даних. Знайте, яку інформацію ви маєте, де вона зберігається і хто може до неї отримати доступ.
- Видаляйте те, що вам не потрібно. Застарілі або непотрібні дані — це дані, які можуть бути викрадені без жодної користі.
- Застосовуйте принцип мінімальних привілеїв. Кожна людина повинна мати доступ лише до того, що потрібно для її роботи.
- Увімкніть багатофакторну автентифікацію в електронній пошті, віддаленому адмініструванні та хмарних сервісах.
- Зберігайте резервні копії окремо та перевіряйте їх, розуміючи, що вони захищають доступність, а не конфіденційність.
- Шифруйте конфіденційну інформацію в стані спокою, щоб крадіжка була менш корисною для атакуючого.
- Тримайте системи та додатки оновленими і перевіряйте, які інструменти адміністрування увімкнені та хто ними користується.
- Підготуйте план реагування, який включає дії на випадок крадіжки даних, а не лише блокування обладнання.
Висновок: більше, ніж питання про те, що таке ransomware без шифрування
Розуміння ransomware без шифрування що це — це перший крок; наступний — діяти відповідно до того, що це означає. Попередження Kaspersky показує, що зловмисники можуть паралізувати компанію та тиснути погрозою оприлюднення викрадених даних, з зашифрованими файлами чи без них. Резервні копії залишаються необхідними, але вони вже не є єдиною лінією захисту.
Це хороший момент, щоб переглянути, як ваша організація зберігає та захищає конфіденційну інформацію: що ви зберігаєте, де, протягом якого часу і хто може це бачити. Якщо ви хочете глибше зрозуміти, як атакуючі зловживають легітимними інструментами, прочитайте наше пояснення про ransomware без шифрування, що використовує ваші власні інструменти і почніть сьогодні зменшувати те, що у вас можуть вкрасти.
