Спільне попередження від ФБР, CISA та агенцій ЄС привернуло увагу до угруповання рансомвіру SafePay, а США, Велика Британія та Німеччина названі цілями глобальної кампанії цього угруповання. Ключова деталь для пересічних користувачів і малих підприємств: зловмисники полюють на резервні копії. Це робить захист резервних копій від рансомвіру SafePay значно ширшим питанням, ніж просто наявність другої копії ваших файлів.

Стаття-джерело коротка, тому цей допис зосереджується на тому, про що сигналізує попередження, та на практичних кроках, які ви можете вжити. Там, де ми описуємо типову поведінку зловмисників, це відображає загальнодоступні повідомлення про SafePay і загальну практику рансомвірів.

Що робить рансомвір SafePay і хто є ціллю

SafePay — це угруповання рансомвіру, тобто воно зламує мережі, блокує дані та вимагає викуп за відновлення доступу. Публічні звіти про загрози описують його як операцію подвійного здирництва: зловмисники копіюють дані з систем жертви перед шифруванням, а потім вимагають оплату в криптовалюті. Загроза полягає як у втраті доступу, так і в витоку конфіденційних файлів.

Спільне попередження описує глобальну кампанію, і задіяні агенції охоплюють США, Велику Британію та Німеччину. Угруповання рансомвірів рідко обмежуються великими корпораціями. Малі підприємства, клініки, школи та місцеві установи часто мають цінні дані, але слабший захист, що робить їх привабливими. Фізичні особи з пристроями мережевого зберігання вдома або в домашньому офісі також можуть бути вразливими.

Публічні повідомлення про SafePay кажуть, що його оператори зазвичай проникають, викрадаючи або вгадуючи паролі та використовуючи вразливості в системах безпеки. Нічого екзотичного в цьому немає, і саме тому базові заходи так важливі.

Чому зловмисники насамперед полюють на резервні копії

Резервні копії — це страхувальна сітка. Якщо жертва може відновитися з чистої копії, вимога викупу втрачає більшу частину свого важеля. Тому зловмисники, які це розуміють, намагаються прибрати сітку перед тим, як натиснути на спуск. Видалення, шифрування або пошкодження резервних копій заздалегідь означає, що коли з'являється записка з вимогою викупу, варіанти відновлення вже зникли.

Це той зсув, який варто засвоїти. Багато людей думають про резервну копію як про щось, що просто існує. На практиці резервна копія, доступна з вашої основної мережі з використанням тих самих облікових даних, може бути знайдена та знищена будь-ким, хто отримає цей доступ. Копія на диску, постійно підключеному до вашого комп'ютера, або хмарна папка, що синхронізується автоматично, може бути зашифрована разом з усім іншим.

Як захистити резервні копії: офлайн-копії, незмінність і шифрування

Належний захист резервних копій від рансомвіру SafePay починається з припущення, що зловмисник зрештою отримає доступ до ваших основних систем, а потім із забезпечення того, щоб ваші резервні копії пережили цей сценарій. Три ідеї допомагають:

  • Тримайте офлайн- або ізольовану копію. Зовнішній диск, який від'єднується після кожного резервного копіювання, не може бути зашифрований віддалено. Для бізнесу це означає копії, які не є постійно доступними з виробничої мережі.
  • Використовуйте незмінні резервні копії. Незмінність означає, що резервну копію не можна змінити або видалити протягом встановленого періоду, навіть обліковим записом адміністратора. Багато інструментів резервного копіювання та сервісів хмарного зберігання пропонують це як налаштування. Якщо зловмисник викраде облікові дані адміністратора, заблоковані копії залишаться недоторканими.
  • Шифруйте свої резервні копії. Шифрування не завадить зловмиснику видалити дані, але воно захищає вміст, якщо копію викрадено. Це важливо у випадку подвійного здирництва, де витік даних є частиною тиску.

Дві допоміжні звички так само важливі. Використовуйте окремі облікові дані для систем резервного копіювання, бажано захищені багатофакторною автентифікацією, щоб викрадений повсякденний пароль не відкривав їх. І регулярно перевіряйте відновлення. Резервна копія, яку ви ніколи не відновлювали, — це припущення, а не план.

Базовий захист, що зупиняє початкове проникнення

Захист резервних копій — це остання лінія оборони. Кращий результат — не допустити зловмисників усередину. Оскільки повідомлення вказують на викрадені або вгадані паролі та використані вразливості, найкорисніший захист — це негламурні заходи:

  • Увімкніть багатофакторну автентифікацію для електронної пошти, віддаленого доступу, хмарних облікових записів і консолей резервного копіювання.
  • Використовуйте надійні унікальні паролі, що зберігаються в менеджері паролів, щоб один викрадений обліковий запис не відкривав кілька дверей.
  • Встановлюйте виправлення своєчасно, особливо для систем, підключених до інтернету, таких як міжмережеві екрани, інструменти віддаленого доступу та програмне забезпечення для резервного копіювання. Невиправлені відомі вади — поширений шлях проникнення.
  • Обмежте віддалений доступ. Вимкніть служби, якими ви не користуєтеся, і обмежте, хто може отримати доступ до решти.

VPN може допомогти захистити віддалені з'єднання з робочою мережею, але він не замінює виправлення та MFA і сам по собі не захистить резервні копії.

Що це означає для вас

Міжнародний характер цього попередження варто відзначити. Співпраця урядів через кордони щодо кіберзагроз не є новиною; альянси, такі як Five Eyes і ширші Fourteen Eyes, відомі обміном розвідувальними даними, хоча ці домовленості стосуються даних спостереження і є окремою справою від цієї консультації щодо рансомвіру. Висновок для читачів простіший: коли кілька агенцій видають спільне попередження, загроза є широкою і не обмежується одним регіоном чи галуззю.

Для фізичних осіб це означає перевірку того, чи ваші резервні копії справді відокремлені від вашого комп'ютера. Для малих підприємств це означає з'ясувати, хто може видаляти ваші резервні копії, і чи захищений цей обліковий запис за допомогою MFA.

Практичні висновки

Захист резервних копій від рансомвіру SafePay зводиться до короткого аудиту, який ви можете завершити цього тижня:

  1. Перевірте налаштування резервного копіювання. Чи маєте ви принаймні одну копію, яка є офлайн або незмінною?
  2. Розділіть облікові дані. Переконайтеся, що доступ до резервних копій використовує інші логіни, ніж щоденні облікові записи.
  3. Увімкніть MFA скрізь, де вона пропонується, починаючи з електронної пошти, віддаленого доступу та інструментів резервного копіювання.
  4. Встановіть очікувані оновлення, надаючи пріоритет міжмережевим екранам, програмному забезпеченню віддаленого доступу та додаткам резервного копіювання.
  5. Перевірте відновлення кількох файлів, щоб підтвердити, що резервні копії справді працюють.

Жоден із цих кроків не є складним, і разом вони забирають важіль, на який покладаються угруповання рансомвірів. Почніть з аудиту сьогодні.