Modul 1 · 1.3
Izsiljevalsko programje (ransomware) in izsiljevanje
Modul 1: Zakaj ste tarča · Čas branja: 10 minut
Učni cilj: Po tej lekciji boste znali razložiti, kako izsiljevalsko programje (ransomware) pride v sistem, kaj je dvojno izsiljevanje in kateri ukrepi omejijo škodo.
Ključni pojmi: izsiljevalsko programje, šifriranje, dvojno izsiljevanje, začetni dostop, lateralno gibanje, odkupnina, dešifrirnik (No More Ransom)
Kaj je izsiljevalsko programje
Izsiljevalsko programje (ransomware) je škodljiva programska oprema, ki Vaše datoteke ali sisteme naredi neuporabne, nato pa zahteva odkupnino. Beseda izhaja iz angleške besede ransom: odkupnina. Največkrat se to zgodi s šifriranjem: programska oprema Vaše datoteke spremeni v neberljive podatke, ključ za dešifriranje pa ima samo napadalec. Datoteke so še vedno vidne, pogosto z nenavadno končnico, vendar jih ne morete več odpreti. Na zaslonu ali v vsaki mapi se prikaže sporočilo: plačajte v nekaj dneh, sicer bo vse izgubljeno.
Šifriranje samo po sebi ni nič škodljivega. Gre za isto tehniko, ki ščiti Vaš prenosnik v primeru kraje (lekcija 5.2) in zavaruje povezavo s spletno stranjo. Razlika je v tem, kdo ima ključ. Dobro šifriranje ni mogoče zlomiti. Zato "naj nam to kar nekdo dešifrira" skoraj nikoli ni možnost, razen če so ustvarjalci izsiljevalskega programja naredili napako.
Nizozemski NCSC navaja, da izsiljevalsko programje ne prizadene samo datotek, temveč tudi sisteme in varnostne kopije. Slednje je najpomembnejša točka te lekcije.
Kako pride v sistem
Napad z izsiljevalskim programjem ni trenutek, temveč niz korakov. Začne se z začetnim dostopom: prvo oporo med vrati. Najpogostejše poti:
| Pot dostopa | Kako poteka | Kaj to prepreči |
|---|---|---|
| Lažno predstavljanje (phishing) s prilogo ali povezavo | Zaposleni odpre "račun" ali "dobavnico", ki zažene škodljivo programsko opremo | Ozaveščenost (lekcija 9.2), posodobitve, omejene pravice |
| Ukradeni podatki za prijavo | Uhajano geslo deluje na spletni pošti, VPN ali oddaljenem upravljanju | Edinstvena gesla, dvostopenjsko preverjanje (2FA) (modul 2) |
| Znana ranljivost v sistemu, povezanem s spletom | Zastarel VPN strežnik, požarni zid, NAS ali spletna stran z javno znano ranljivostjo | Hitro posodabljanje (lekcija 5.1), nepotrebno ne odpirati dostopa |
| Odprto oddaljeno upravljanje | Program za oddaljeno delo z računalnikom, dostopen iz celotnega spleta | Samo prek varne povezave, z 2FA |
| Dobavitelj | IT podjetje ali programska oprema dobavitelja je zlorabljena | Dogovori in minimalne pravice (modul 7) |
Po prvem dostopu napadalec pogosto počaka. Pregleduje okolico, išče skrbniške račune in se premika od računalnika do računalnika. Temu pravimo lateralno gibanje. Išče predvsem dve stvari: kje so pomembni podatki in kje so varnostne kopije. Šele ko najde oboje, udari, pogosto ponoči ali ob koncu tedna, ko nihče ne opazi.
Zakaj priklopljena varnostna kopija ne pomaga
Veliko malih podjetij ima varnostno kopijo: zunanji disk, ki je vedno priklopljen na računalnik, ali omrežni disk (NAS), kamor se vsako noč prenese kopija. To je bolje kot nič v primeru pokvarjenega trdega diska. Proti izsiljevalskemu programju pa pogosto ne pomaga.
Razlog je preprost. Izsiljevalsko programje šifrira vse, do česar lahko dostopa okuženi računalnik ali prevzeti račun. Če je disk z varnostno kopijo priklopljen na računalnik, lahko do njega dostopa tudi izsiljevalsko programje. Če je varnostna kopija na omrežnem disku, do katerega se prijavite z istim računom, lahko do nje dostopa tudi izsiljevalsko programje. Napadalec, ki je mirno pregledal okolico, včasih varnostne kopije namerno izbriše, preden začne šifriranje.
Enako velja za sinhronizacijo. Mapa, ki se samodejno sinhronizira z oblakom, sinhronizira tudi šifrirano različico. Včasih se lahko še vedno vrnete na starejšo različico datoteke, vendar je to odvisno od storitve in kako dolgo hrani različice.
Varnostna kopija, ki preživi izsiljevalsko programje, ima vsaj eno kopijo, do katere napadalec ne more dostopati ali je ne more spremeniti: disk, ki leži ločeno v predalu, ali varnostna kopija pri ločenem ponudniku z lastno prijavo, ki je ne uporabljate na delovnem računalniku, ali shramba, kjer spreminjanje in brisanje nek čas tehnično ni mogoče. V modulu 6 to korak za korakom uredite. Varnostna kopija, ki jo Vaš ponudnik gostovanja naredi na ločenih strežnikih, neodvisno od Vašega paketa, je za Vašo spletno stran in e-pošto že kopija na daljavo. Vseeno preverite, kako dolgo se hrani in kdo jo lahko izbriše.
Dvojno izsiljevanje
Nekoč je bila dobra varnostna kopija popoln odgovor na izsiljevalsko programje: obnovitev in konec. Napadalci so se prilagodili. Pri dvojnem izsiljevanju najprej ukradejo kopijo Vaših podatkov, šele nato jih šifrirajo. Takrat obstajata dve grožnji:
- Plačajte, sicer ne boste dobili nazaj svojih datotek.
- Plačajte, sicer bomo objavili Vaše podatke: seznam strank, ponudbe, podatke o plačah, poštne predale.
Varnostna kopija pomaga proti prvi grožnji, ne proti drugi. Tudi nizozemski NCSC opozarja, da napadalci včasih grozijo z objavo ukradenih podatkov. Poleg tega je kraja osebnih podatkov sama po sebi kršitev varstva podatkov, z obveznostjo uradne prijave Informacijskemu pooblaščencu (lekcija 8.2), ne glede na to, ali plačate.
Včasih napadalec gre še dlje in neposredno stopi v stik z Vašimi strankami ali poslovnimi partnerji z obvestilom, da so njihovi podatki bili ukradeni pri Vas. Pritisk tako ne leži le na Vas, temveč tudi na Vašem ugledu.
Plačati ali ne?
Nasvet vladnih organov in policije je enoznačen: raje ne plačajte. No More Ransom, pobuda med drugim Europola in nizozemske policije, pravi takole: plačilo odkupnine ne ponuja nobenih garancij. Obstajajo dobri razlogi:
- Nimate garancije, da boste dobili delujoč ključ ali da bo dešifriranje uspelo.
- Nimate garancije, da bodo ukradeni podatki nato res izbrisani.
- S plačilom potrdite, da Vaše podjetje plačuje, kar Vas naredi privlačno tarčo za naslednji napad.
- Financirate naslednje napade na druge.
- Pot do vdora morda še ni zaprta. Brez preiskave se lahko zgodi znova.
Nizozemski NCSC navaja obnovitev iz varnostne kopije kot najbolj zanesljivo rešitev. Če to ne uspe, preverite, ali obstaja dešifrirnik: brezplačen program, ki lahko dešifrira datoteke določene družine izsiljevalskega programja, ker so raziskovalci v njej našli napako ali zasegli ključe. No More Ransom (https://www.nomoreransom.org) zbira te dešifrirnike in Vam pomaga ugotoviti, s katerim izsiljevalskim programjem imate opravka. Rešitev ne obstaja za vsako družino, vendar preverjanje nič ne stane.
Vsekakor podajte ovadbo pri policiji in preverite, ali imate obveznost prijave: pri Informacijskem pooblaščencu, če so bili prizadeti osebni podatki, pri pristojnem nacionalnem organu, če spadate pod slovenski prenos NIS2 (lekcija 9.1), in včasih pri naročniku v skladu s pogodbo.
Kaj omeji škodo
Možnost napada lahko zmanjšate in škodo, če se vseeno zgodi, omejite. Pregled, z lekcijo, kjer se tega naučite:
- Posodabljanje, predvsem vsega, kar je povezano s spletom: VPN, usmerjevalnik, NAS, spletna stran (lekcija 5.1).
- Dvostopenjsko preverjanje (2FA) na e-pošti, oddaljenem upravljanju in vseh skrbniških računih (lekcija 2.3 in 2.4).
- Minimalne pravice: ne delajte dnevno s skrbniškim računom in ne dovolite vsem dostopa povsod (lekcija 7.1).
- Varnostna kopija zunaj dosega Vaših običajnih računov, z rednim preverjanjem, ali obnovitev deluje (modul 6).
- Kartica za ukrepanje ob incidentu, da vsi vedo, kaj storiti: izključite omrežje, ne izklapljajte kar tako, pokličite (lekcija 8.1 in 8.3).
- Ozaveščenost: sodelavec, ki takoj prijavi, da je odprl nenavadno prilogo, Vam da ure prednosti (lekcija 9.2).
V praksi: tako je videti
Primer, sestavljen iz pogosto pojavljajočih se situacij. Inštalacijsko podjetje z dvanajstimi zaposlenimi je imelo VPN strežnik za dostop do datotek od doma. Vdelana programska oprema (firmware) ni bila posodobljena že poldrugo leto. Prek znane ranljivosti je napadalec vstopil, teden dni pregledoval okolico in našel skrbniški račun omrežnega diska. V soboto ponoči so bili šifrirani računalniki, omrežni disk in USB disk z varnostno kopijo, ki je bil nanj priklopljen. Kar je ostalo: e-pošta in spletna stran, ki sta bili pri ponudniku gostovanja z lastno varnostno kopijo, ter stara kopija računovodstva na disku, ki ga je imel knjigovodja doma. S tem je podjetje lahko po nekaj dneh spet izdajalo račune. Ponudbe in načrti iz preteklih mesecev so bili izgubljeni.
Ena posodobitev in en ločen disk v predalu bi naredila razliko med nekaj dnevi in nekaj meseci.
Povzetek
- Izsiljevalsko programje šifrira datoteke, sisteme in varnostne kopije ter zahteva odkupnino; dobro šifriranje ni mogoče zlomiti.
- Izsiljevalsko programje pride v sistem prek lažnega predstavljanja, ukradenih gesel, neposodobljenih sistemov, povezanih s spletom, oddaljenega upravljanja ali dobavitelja; nato napadalec pogosto najprej pregleda okolico.
- Varnostna kopija, ki je priklopljena na računalnik ali dostopna z istim računom, se pogosto šifrira tudi sama.
- Pri dvojnem izsiljevanju se podatki najprej ukradejo; varnostna kopija takrat ne pomaga proti grožnji z objavo, poleg tega gre za kršitev varstva podatkov.
- Raje ne plačajte; obnovite iz varnostne kopije, na No More Ransom preverite dešifrirnik in podajte ovadbo.
Kviz
Naloga
Naloga D1.3: Kaj, če se to zgodi nocoj? Za Vaše lastno podjetje preverite, kaj bi izsiljevalsko programje lahko šifriralo nocoj. Zapišite, kje so Vaše varnostne kopije, ali so dostopne z običajnega delovnega računalnika ali z običajnim računom, in kateri sistemi so povezani s spletom. Nato odgovorite na vprašanja za razmislek.
Naloga D1.3: Kaj, če se to zgodi nocoj?
Tako se tega lotite: (1) Sestavite seznam vseh mest, kjer so shranjene pomembne datoteke: računalniki, prenosniki, omrežni disk, shramba v oblaku, e-pošta, računovodstvo, spletna stran. (2) Pri vsakem mestu zapišite, kje je varnostna kopija in ali je ta varnostna kopija dosegljiva z navadnega delovnega računalnika ali z računom, ki ga uporabljate vsak dan. (3) Preverite, kateri sistemi so povezani z internetom in dostopni od zunaj (VPN, upravljanje na daljavo, NAS, usmerjevalnik, spletna stran), ter kdaj so bili nazadnje posodobljeni. (4) Preverite, ali obstaja vsaj ena kopija, do katere izsiljevalska programska oprema ne more priti (ločeno v predalu ali pri ločenem ponudniku z lastno prijavo). (5) Enkratno si oglejte https://www.nomoreransom.org, da veste, kako stran deluje, če jo boste kdaj potrebovali.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.
- Varnostne kopije WebOké: ogled, obnovitev ali prenos varnostne kopije
- Priročnik DirectAdmin 16.1: Katere varnostne kopije so na voljo pri WebOké
- Nizozemski NCSC, Kaj je izsiljevalsko programje: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/sl/index.html