1 modulis · 1.3
Išpirkos reikalaujančios programos ir šantažas
1 modulis: Kodėl Jūs esate taikinys · Skaitymo trukmė: 10 min.
Mokymosi tikslas: Baigę šią pamoką galėsite paaiškinti, kaip išpirkos reikalaujančios programos patenka į sistemą, kas yra dvigubas šantažas ir kokios priemonės riboja žalą.
Pagrindinės sąvokos: išpirkos reikalaujanti programa, šifravimas, dvigubas šantažas, pradinė prieiga, judėjimas tinkle, išpirka, dešifravimo priemonė (No More Ransom)
Kas yra išpirkos reikalaujanti programa
Išpirkos reikalaujanti programa (angl. ransomware) tai kenkėjiška programinė įranga, kuri padaro Jūsų failus ar sistemas nenaudojamus, o po to reikalauja išpirkos. Žodis kilęs iš angliško ransom: išpirka. Dažniausiai tai vyksta per šifravimą: programa paverčia Jūsų failus neperskaitomais duomenimis, kuriuos atrakinti galima tik raktu, kurį turi vien užpuolikas. Failus vis dar matote, dažnai su keistu priesagos pakeitimu, tačiau atidaryti jų nebegalite. Ekrane arba kiekviename aplanke atsiranda pranešimas: sumokėkite per kelias dienas, kitaip viskas bus prarasta.
Pats šifravimas nėra nieko blogo. Tai ta pati technologija, kuri apsaugo Jūsų nešiojamą kompiuterį vagystės atveju (5.2 pamoka) ir kuri apsaugo ryšį su svetaine. Skirtumas tas, kas turi raktą. Gero šifravimo nulaužti negalima. Todėl mintis „tiesiog greitai iššifruosime“ beveik niekada nėra įmanoma, nebent išpirkos programos kūrėjai padarė klaidą.
Nyderlandų NCSC teigia, kad išpirkos reikalaujančios programos paveikia ne tik failus, bet ir sistemas bei atsargines kopijas. Pastarasis dalykas yra svarbiausias šios pamokos punktas.
Kaip ji patenka į sistemą
Išpirkos reikalaujančios programos ataka tai ne vienas momentas, o eilė žingsnių. Viskas prasideda nuo pradinės prieigos: pirmojo žingsnio į vidų. Dažniausi keliai:
| Prieigos būdas | Kaip tai vyksta | Kas tai sustabdo |
|---|---|---|
| Sukčiavimo laiškas su priedu ar nuoroda | Darbuotojas atidaro „sąskaitą faktūrą“ ar „važtaraštį“, kuris paleidžia kenkėjišką programą | Sąmoningumas (9.2 pamoka), atnaujinimai, ribotos teisės |
| Pavogti prisijungimo duomenys | Nutekėjęs slaptažodis veikia el. paštui, VPN arba nuotolinio valdymo sistemai | Unikalūs slaptažodžiai, dviejų veiksnių autentifikavimas (2 modulis) |
| Žinoma spraga sistemoje, pasiekiamoje iš interneto | Pasenęs VPN serveris, ugniasienė, NAS arba svetainė su viešai žinoma spraga | Greitas atnaujinimas (5.1 pamoka), nereikalingo atvirumo vengimas |
| Atviras nuotolinis valdymas | Programa nuotoliniam darbui su kompiuteriu, pasiekiama iš viso interneto | Tik per saugų ryšį, su 2FA |
| Tiekėjas | Piktnaudžiaujama IT įmonės ar tiekėjo programine įranga | Susitarimai ir minimalios teisės (7 modulis) |
Po pirminės prieigos užpuolikas dažnai palaukia. Jis apsidairo, ieško administratoriaus paskyrų ir pereina nuo vieno kompiuterio prie kito. Tai vadinama judėjimu tinkle. Jis visų pirma ieško dviejų dalykų: kur yra svarbūs duomenys ir kur yra atsarginės kopijos. Tik radęs abu, jis puola, dažnai naktį ar savaitgalį, kai niekas to nepastebi.
Kodėl prijungta atsarginė kopija nepadeda
Daugelis mažų įmonių turi atsarginę kopiją: išorinį diską, kuris visada prijungtas prie kompiuterio, arba tinklo diską (NAS), į kurį kiekvieną naktį nukopijuojami duomenys. Tai geriau nei nieko sugedus standžiajam diskui. Tačiau prieš išpirkos reikalaujančias programas tai dažnai nepadeda.
Priežastis paprasta. Išpirkos reikalaujanti programa užšifruoja viską, kas pasiekiama iš užkrėsto kompiuterio ar perimtos paskyros. Jei atsarginės kopijos diskas prijungtas prie kompiuterio, išpirkos programa gali jį pasiekti. Jei atsarginė kopija yra tinklo diske, prie kurio prisijungiama ta pačia paskyra, išpirkos programa gali jį pasiekti. Užpuolikas, kuris ramiai apsidairė, kartais net sąmoningai ištrina atsargines kopijas prieš šifruodamas.
Tas pats pasakytina apie sinchronizavimą. Aplankas, kuris automatiškai sinchronizuojamas su debesimi, sinchronizuoja ir užšifruotą versiją. Kartais vis dar galima grįžti prie senesnės failo versijos, tačiau tai priklauso nuo paslaugos ir kiek laiko ji saugo versijas.
Atsarginė kopija, išgyvenanti išpirkos reikalaujančią programą, turi bent vieną kopiją, kurios užpuolikas negali pasiekti ar pakeisti: diską, gulintį stalčiuje, arba atsarginę kopiją pas atskirą tiekėją su savo prisijungimo duomenimis, kurių nenaudojate darbo kompiuteryje, arba saugyklą, kurioje keitimas ir trynimas tam tikrą laiką technologiškai neįmanomi. 6 modulyje tai susitvarkysite žingsnis po žingsnio. Atsarginė kopija, kurią Jūsų talpinimo paslaugų teikėjas daro atskiruose serveriuose, nepriklausomai nuo Jūsų paketo, Jūsų svetainei ir paštui jau yra nutolusi kopija. Tačiau pasitikrinkite, kiek laiko ji saugoma ir kas gali ją ištrinti.
Dvigubas šantažas
Anksčiau gera atsarginė kopija buvo visiškas atsakymas į išpirkos reikalaujančias programas: atkurti ir viskas. Užpuolikai prisitaikė. Esant dvigubam šantažui, jie pirmiausia pavagia Jūsų duomenų kopiją, o tik tada juos užšifruoja. Tada atsiranda du grasinimai:
- Sumokėkite, kitaip negausite savo failų atgal.
- Sumokėkite, kitaip paskelbsime Jūsų duomenis: klientų duomenų bazes, pasiūlymus, atlyginimų duomenis, el. pašto dėžutes.
Atsarginė kopija padeda nuo pirmojo grasinimo, bet ne nuo antrojo. Nyderlandų NCSC taip pat įspėja, kad užpuolikai kartais grasina paskelbti pavogtus duomenis. Be to, asmens duomenų vagystė savaime yra duomenų saugumo pažeidimas, dėl kurio reikia pranešti VDAI (8.2 pamoka), nepriklausomai nuo to, ar sumokate, ar ne.
Kartais užpuolikas eina dar toliau ir tiesiogiai kreipiasi į Jūsų klientus ar verslo partnerius, pranešdamas, kad jų duomenys buvo pavogti iš Jūsų. Tada spaudimas tenka ne tik Jums, bet ir Jūsų reputacijai.
Mokėti ar ne?
Valstybinių institucijų ir policijos patarimas vienareikšmis: geriau nemokėti. No More Ransom, kurio iniciatyvoje dalyvauja, be kita ko, Europolas ir Nyderlandų policija, tai formuluoja taip: išpirkos mokėjimas negarantuoja nieko. Yra svarių priežasčių:
- Neturite garantijos, kad gausite veikiantį raktą, ar kad iššifravimas pavyks.
- Neturite garantijos, kad pavogti duomenys po to tikrai bus ištrinti.
- Patvirtinate, kad Jūsų įmonė moka, o tai padaro Jus patrauklų taikinį kitai atakai.
- Finansuojate kitas atakas prieš kitus asmenis.
- Kelias į vidų dar nėra uždarytas. Be tyrimo tai gali pasikartoti.
Nyderlandų NCSC atkūrimą iš atsarginės kopijos vadina patikimiausiu sprendimu. Jei tai nepavyksta, pasidomėkite, ar yra dešifravimo priemonė: nemokama programa, kuri gali iššifruoti tam tikros išpirkos reikalaujančios programos šeimos failus, nes tyrėjai rado tos šeimos klaidą ar konfiskavo raktus. No More Ransom (https://www.nomoreransom.org) renka tokias dešifravimo priemones ir padeda nustatyti, kokia išpirkos reikalaujanti programa Jus užkrėtė. Toli gražu ne kiekvienai šeimai yra sprendimas, bet patikrinti nieko nekainuoja.
Bet kuriuo atveju kreipkitės į policiją ir pateikite pareiškimą, taip pat patikrinkite, ar Jums taikoma pareiga pranešti: VDAI, jei nukentėjo asmens duomenys, NKSC, jei Jums taikomas Kibernetinio saugumo įstatymas (NIS2 perkėlimas) (9.1 pamoka), o kartais ir užsakovui pagal sutartį.
Kas sumažina žalą
Galite sumažinti atakos tikimybę ir sumažinti žalą, jei ji vis dėlto įvyktų. Apžvalga, su pamoka, kur tai išmoksite:
- Atnaujinimas, ypač visko, kas pasiekiama iš interneto: VPN, maršrutizatorius, NAS, svetainė (5.1 pamoka).
- Dviejų veiksnių autentifikavimas paštui, nuotoliniam valdymui ir visoms administratoriaus paskyroms (2.3 ir 2.4 pamokos).
- Minimalios teisės: nedirbti kasdien su administratoriaus paskyra ir neleisti visiems turėti prieigą prie visko (7.1 pamoka).
- Atsarginė kopija už Jūsų įprastų paskyrų ribų ir reguliarus tikrinimas, ar atkūrimas veikia (6 modulis).
- Incidentų kortelė, kad visi žinotų, ką daryti: atjungti tinklą, neišjungti be reikalo, paskambinti (8.1 ir 8.3 pamokos).
- Sąmoningumas: kolega, kuris iš karto praneša, kad atidarė keistą priedą, suteikia Jums kelių valandų pranašumą (9.2 pamoka).
Praktikoje: taip tai atrodo
Pavyzdys, sudarytas iš dažnai pasitaikančių situacijų. Montavimo įmonė su dvylika darbuotojų turėjo VPN serverį, kad galėtų pasiekti failus iš namų. Programinė aparatinė įranga nebuvo atnaujinta jau pusantrų metų. Per žinomą spragą užpuolikas prasiskverbė į vidų, savaitę apsidairė ir surado tinklo disko administratoriaus paskyrą. Šeštadienio naktį buvo užšifruoti kompiuteriai, tinklo diskas ir prie jo prijungtas USB diskas su atsargine kopija. Kas išliko: el. paštas ir svetainė, kurie buvo pas talpinimo paslaugų teikėją su jų pačių atsargine kopija, bei sena apskaitos duomenų kopija diske, kurį buhalteris laikė namuose. Tai leido įmonei po kelių dienų vėl pradėti išrašyti sąskaitas. Pastarųjų mėnesių pasiūlymai ir brėžiniai buvo prarasti.
Atnaujinimas ir vienas atskiras diskas stalčiuje būtų nulėmę skirtumą tarp kelių dienų ir kelių mėnesių.
Santrauka
- Išpirkos reikalaujanti programa užšifruoja failus, sistemas ir atsargines kopijas bei reikalauja išpirkos; gero šifravimo nulaužti negalima.
- Išpirkos reikalaujanti programa patenka per sukčiavimą, pavogtus slaptažodžius, neatnaujintas iš interneto pasiekiamas sistemas, nuotolinį valdymą ar tiekėją; po to užpuolikas dažnai pirmiausia apsidairo.
- Atsarginė kopija, prijungta prie kompiuterio arba pasiekiama ta pačia paskyra, dažnai taip pat būna užšifruojama.
- Esant dvigubam šantažui, duomenys pirmiausia pavagiami; tada atsarginė kopija nepadeda nuo grasinimo juos paskelbti, o tai yra duomenų saugumo pažeidimas.
- Geriau nemokėti; atkurkite iš atsarginės kopijos, pasidomėkite No More Ransom dešifravimo priemone ir pateikite pareiškimą policijai.
Testas
Užduotis
Užduotis D1.3: O kas, jei tai nutiktų šįnakt? Peržiūrėkite savo įmonę ir nustatykite, ką išpirkos reikalaujanti programa galėtų užšifruoti šiąnakt. Užsirašykite, kur yra Jūsų atsarginės kopijos, ar jos pasiekiamos iš įprasto darbo kompiuterio ar įprasta paskyra, ir kokios sistemos pasiekiamos iš interneto. Tada atsakykite į refleksijos klausimus.
Užduotis D1.3: O kas, jei tai nutiktų šįnakt?
Kaip tai padaryti: (1) Sudarykite sąrašą visų vietų, kur saugomi svarbūs failai: kompiuteriai, nešiojamieji kompiuteriai, tinklo diskas, debesijos saugykla, el. paštas, apskaita, svetainė. (2) Prie kiekvienos vietos užrašykite, kur saugoma atsarginė kopija ir ar ta atsarginė kopija pasiekiama iš įprasto darbo kompiuterio arba su paskyra, kurią naudojate kasdien. (3) Patikrinkite, kurios sistemos prijungtos prie interneto ir pasiekiamos iš išorės (VPN, nuotolinis valdymas, NAS, maršrutizatorius, svetainė), ir kada jos paskutinį kartą buvo atnaujintos. (4) Patikrinkite, ar yra bent viena kopija, kurios ransomware negali pasiekti (atskirai stalčiuje arba pas atskirą paslaugų teikėją su savo prisijungimu). (5) Vieną kartą apsilankykite https://www.nomoreransom.org ir pasižiūrėkite, kaip svetainė veikia, kad žinotumėte, jei prireiktų.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Veiksmai WebOké straipsniuose galioja WebOké aplinkai; kitų paslaugų teikėjų atveju veikimo principas panašus.
- WebOké atsarginės kopijos: kaip peržiūrėti, atkurti arba atsisiųsti atsarginę kopiją
- DirectAdmin vadovas 16.1: Kokios atsarginės kopijos yra prieinamos „WebOké“
- Nyderlandų NCSC, Kas yra išpirkos reikalaujanti programa: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/nl/index.html