Modul 1 · 1.3
Ransomvér a vydieranie
Modul 1: Prečo ste cieľom práve vy · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii viete vysvetliť, ako sa ransomvér dostáva do systému, čo je dvojité vydieranie a aké opatrenia obmedzia škodu.
Kľúčové pojmy: ransomvér, šifrovanie, dvojité vydieranie, prvotný prístup, laterálny pohyb, výkupné, dešifrovací nástroj (No More Ransom)
Čo je ransomvér
Ransomvér je škodlivý softvér, ktorý znefunkční vaše súbory alebo systémy a následne žiada výkupné. Slovo pochádza z anglického ransom: výkupné. Väčšinou sa to deje pomocou šifrovania: softvér zmení vaše súbory na nečitateľné údaje s kľúčom, ktorý má iba útočník. Súbory stále vidíte, často s čudnou príponou, ale už ich nemôžete otvoriť. Na obrazovke alebo v každom priečinku je správa: zaplaťte do pár dní, inak je všetko preč.
Samotné šifrovanie nie je nič škodlivé. Je to rovnaká technika, ktorá chráni váš notebook pri krádeži (lekcia 5.2) a zabezpečuje vaše pripojenie k webovej stránke. Rozdiel je v tom, kto má kľúč. Dobré šifrovanie sa nedá rozlúštiť. Preto možnosť "však to niekto rozšifruje" takmer nikdy nie je reálna, pokiaľ tvorcovia ransomvéru neurobili chybu.
Podľa holandského NBÚ (NCSC) ransomvér nezasahuje len súbory, ale aj systémy a zálohy. To posledné je najdôležitejší bod tejto lekcie.
Ako sa dostáva dovnútra
Útok ransomvéru nie je jeden okamih, ale séria krokov. Začína sa prvotným prístupom: prvou nohou vo dverách. Najčastejšie cesty:
| Spôsob prístupu | Ako to prebieha | Čo tomu zabráni |
|---|---|---|
| Phishing s prílohou alebo odkazom | Zamestnanec otvorí "faktúru" alebo "dodací list", ktorý spustí škodlivý softvér | Zvyšovanie povedomia (lekcia 9.2), aktualizácie, obmedzené oprávnenia |
| Ukradnuté prihlasovacie údaje | Uniknuté heslo funguje na webmaile, VPN alebo vzdialenej správe | Jedinečné heslá, dvojfaktorové overenie (modul 2) |
| Známa zraniteľnosť v systéme pripojenom na internet | Zastaraný VPN server, firewall, NAS alebo webová stránka so známou zraniteľnosťou | Rýchle aktualizovanie (lekcia 5.1), zbytočne neotvárať prístup |
| Vzdialená správa, ktorá je otvorená | Program na prácu s počítačom na diaľku, dostupný z celého internetu | Len cez zabezpečené pripojenie, s 2FA |
| Dodávateľ | Zneužije sa IT firma alebo softvér dodávateľa | Zmluvné dohody a minimálne oprávnenia (modul 7) |
Po prvotnom prístupe útočník často čaká. Obzerá sa, hľadá administrátorské účty a presúva sa z počítača na počítač. Toto sa nazýva laterálny pohyb. Hľadá najmä dve veci: kde sú dôležité údaje a kde sú zálohy. Až keď nájde oboje, zaútočí, často v noci alebo cez víkend, keď si to nikto nevšimne.
Prečo pripojená záloha nepomôže
Mnohé malé firmy majú zálohu: externý disk, ktorý je stále pripojený k počítaču, alebo sieťový disk (NAS), kam sa každú noc nahrá kópia. To je lepšie ako nič pri poruche pevného disku. Proti ransomvéru to však často nepomáha.
Dôvod je jednoduchý. Ransomvér zašifruje všetko, k čomu sa infikovaný počítač alebo prevzatý účet dostane. Ak je záložný disk pripojený k počítaču, ransomvér sa k nemu dostane. Ak je záloha na sieťovom disku, na ktorý sa prihlasujete rovnakým účtom, ransomvér sa k nej dostane tiež. Útočník, ktorý si dal čas na obzretie, niekedy zálohy pred šifrovaním zámerne vymaže.
To isté platí pre synchronizáciu. Priečinok, ktorý sa automaticky synchronizuje s cloudom, synchronizuje aj zašifrovanú verziu. Niekedy sa dá vrátiť k staršej verzii súboru, ale závisí to od služby a od toho, ako dlho uchováva verzie.
Záloha, ktorá prežije ransomvér, má aspoň jednu kópiu, ku ktorej sa útočník nemôže dostať alebo ktorú nemôže zmeniť: disk voľne uložený v zásuvke, alebo záloha u samostatného poskytovateľa s vlastným prihlásením, ktoré nepoužívate na pracovnom počítači, alebo úložisko, kde je zmena a vymazanie určitý čas technicky nemožné. V module 6 si to krok za krokom nastavíte. Záloha, ktorú váš hostingový poskytovateľ vytvára na samostatných serveroch, oddelene od vášho balíka, je pre vašu webovú stránku a poštu už vzdialenou kópiou. Overte si však, ako dlho sa uchováva a kto ju môže vymazať.
Dvojité vydieranie
Kedysi bola dobrá záloha kompletnou odpoveďou na ransomvér: obnoviť a hotovo. Útočníci sa prispôsobili. Pri dvojitom vydieraní najprv ukradnú kópiu vašich údajov a až potom ich zašifrujú. Vznikajú tak dve hrozby:
- Zaplaťte, inak nedostanete svoje súbory späť.
- Zaplaťte, inak zverejníme vaše údaje: zoznamy zákazníkov, ponuky, mzdové údaje, poštové schránky.
Záloha pomôže proti prvej hrozbe, nie proti druhej. Aj holandské NBÚ (NCSC) upozorňuje, že útočníci niekedy hrozia zverejnením ukradnutých údajov. Okrem toho je krádež osobných údajov sama osebe únikom osobných údajov, s povinnosťou oznámenia Úradu na ochranu osobných údajov (lekcia 8.2), bez ohľadu na to, či zaplatíte.
Niekedy útočník ide ešte ďalej a priamo osloví vašich zákazníkov alebo obchodných partnerov so správou, že ich údaje boli u vás ukradnuté. Tlak tak nie je len na vás, ale aj na vašu povesť.
Zaplatiť, alebo nie?
Odporúčanie úradov a polície je jednoznačné: radšej neplatiť. No More Ransom, iniciatíva okrem iného Europolu a holandskej polície, to formuluje takto: zaplatenie výkupného neposkytuje žiadne záruky. Existujú na to dobré dôvody:
- Nemáte záruku, že dostanete funkčný kľúč alebo že sa dešifrovanie podarí.
- Nemáte záruku, že ukradnuté údaje budú naozaj následne odstránené.
- Potvrdíte, že vaša firma platí, čím sa stávate atraktívnym cieľom pre ďalší útok.
- Financujete ďalšie útoky na iných.
- Cesta dovnútra ešte nie je uzavretá. Bez vyšetrenia sa to môže zopakovať.
Holandské NBÚ (NCSC) označuje obnovu zo zálohy za najspoľahlivejšie riešenie. Ak sa to nepodarí, overte, či existuje dešifrovací nástroj: bezplatný program, ktorý dokáže dešifrovať súbory z určitej rodiny ransomvéru, pretože výskumníci v nej našli chybu alebo zaistili kľúče. No More Ransom (https://www.nomoreransom.org) zhromažďuje tieto dešifrovacie nástroje a pomôže vám zistiť, s akým ransomvérom máte do činenia. Zďaleka nie pre každú rodinu existuje riešenie, ale pozrieť sa nič nestojí.
V každom prípade podajte trestné oznámenie na polícii a overte si, či máte oznamovaciu povinnosť: Úradu na ochranu osobných údajov, ak boli dotknuté osobné údaje, podľa zákona o kybernetickej bezpečnosti, ak sa na vás vzťahuje (lekcia 9.1), a niekedy aj objednávateľovi podľa zmluvy.
Čo obmedzuje škodu
Môžete znížiť pravdepodobnosť útoku a obmedziť škodu, ak sa aj tak stane. Prehľad spolu s lekciou, kde sa to naučíte:
- Aktualizácia, najmä všetkého, čo je pripojené na internet: VPN, router, NAS, webová stránka (lekcia 5.1).
- Dvojfaktorové overenie na pošte, vzdialenej správe a všetkých administrátorských účtoch (lekcia 2.3 a 2.4).
- Minimálne oprávnenia: nepracovať bežne s administrátorským účtom a nedávať všetkým prístup všade (lekcia 7.1).
- Záloha mimo dosahu vašich bežných účtov, s pravidelným testovaním, či obnova funguje (modul 6).
- Kartička pre prípad incidentu, aby každý vedel, čo robiť: odpojiť sieť, nevypínať len tak, zavolať (lekcia 8.1 a 8.3).
- Zvyšovanie povedomia: kolega, ktorý okamžite nahlási, že otvoril čudnú prílohu, vám dáva hodiny náskoku (lekcia 9.2).
V praxi: takto to vyzerá
Príklad zostavený z často sa opakujúcich situácií. Inštalačná firma s dvanástimi zamestnancami mala VPN server na prístup k súborom z domu. Firmvér nebol aktualizovaný už poldruha roka. Cez známu zraniteľnosť sa dovnútra dostal útočník, týždeň sa obzeral a našiel administrátorský účet sieťového disku. V sobotu v noci boli zašifrované počítače, sieťový disk aj USB disk so zálohou, ktorý k nemu bol pripojený. Zostala pošta a webová stránka, ktoré boli u hostingového poskytovateľa s vlastnou zálohou, a stará kópia účtovníctva na disku, ktorý mal doma účtovník. Vďaka tomu mohla firma po pár dňoch znova fakturovať. Ponuky a výkresy z posledných mesiacov boli preč.
Aktualizácia a jeden voľný disk v zásuvke by urobili rozdiel medzi pár dňami a pár mesiacmi.
Zhrnutie
- Ransomvér zašifruje súbory, systémy aj zálohy a žiada výkupné; dobré šifrovanie sa nedá rozlúštiť.
- Ransomvér sa dostáva dovnútra cez phishing, ukradnuté heslá, neaktualizované systémy pripojené na internet, vzdialenú správu alebo dodávateľa; potom sa útočník často najprv obzrie.
- Záloha pripojená k počítaču alebo dostupná cez rovnaký účet sa často zašifruje tiež.
- Pri dvojitom vydieraní sa údaje najprv ukradnú; záloha vtedy nepomôže proti hrozbe zverejnenia a ide o únik osobných údajov.
- Radšej neplaťte; obnovte zo zálohy, na No More Ransom overte dešifrovací nástroj a podajte trestné oznámenie.
Kvíz
Úloha
Úloha D1.3: Čo ak sa to stane dnes v noci? Prejdite si pre vašu vlastnú firmu, čo by ransomvér mohol dnes v noci zašifrovať. Napíšte, kde sú vaše zálohy, či sú dostupné z bežného pracovného počítača alebo pomocou bežného účtu, a ktoré systémy sú pripojené na internet. Potom odpovedzte na reflexné otázky.
Úloha D1.3: Čo ak sa to stane dnes v noci?
Postupujte takto: (1) Vytvorte zoznam všetkých miest, kde sa nachádzajú dôležité súbory: počítače, notebooky, sieťový disk, cloudové úložisko, e-mail, účtovníctvo, webová stránka. (2) Pri každom mieste napíšte, kde je uložená záloha a či je táto záloha dostupná z bežného pracovného počítača alebo pomocou účtu, ktorý používate denne. (3) Zistite, ktoré systémy sú pripojené na internet a dostupné zvonka (VPN, vzdialená správa, NAS, router, webová stránka) a kedy boli naposledy aktualizované. (4) Zistite, či existuje aspoň jedna kópia, ku ktorej sa ransomvér nemôže dostať (voľne v zásuvke alebo u samostatnej strany s vlastným prihlásením). (5) Jednorazovo si pozrite na https://www.nomoreransom.org/sk/index.html ako stránka funguje, aby ste to vedeli, ak to bude potrebné.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Odporúčané zdroje
Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- WebOké Backups: zobrazenie, obnovenie alebo stiahnutie zálohy
- Návod na DirectAdmin 16.1: Aké zálohy existujú vo WebOké
- Holandské NBÚ (NCSC), Čo je ransomvér: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/sk/index.html