Modul 1 · 1.3
Ransomware i iznuda
Modul 1: Zašto ste Vi meta · Vrijeme čitanja: 10 minuta
Cilj učenja: Nakon ove lekcije moći ćete objasniti kako ransomware ulazi u sustav, što je dvostruka iznuda i koje mjere ograničavaju štetu.
Ključni pojmovi: ransomware, enkripcija, dvostruka iznuda, inicijalni pristup, lateralno kretanje, otkupnina, dekriptor (No More Ransom)
Što je ransomware
Ransomware je zlonamjerni softver koji Vaše datoteke ili sustave čini neupotrebljivima, a zatim traži otkupninu. Riječ dolazi od engleske riječi ransom: otkupnina. Najčešće se to postiže enkripcijom: softver pretvara Vaše datoteke u nečitljive podatke, uz ključ koji ima samo napadač. Datoteke i dalje vidite, često s čudnim nastavkom imena, ali ih više ne možete otvoriti. Na ekranu ili u svakoj mapi pojavi se poruka: platite u roku od nekoliko dana, inače je sve izgubljeno.
Sama enkripcija nije ništa zlonamjerno. To je ista tehnologija koja štiti Vaše prijenosno računalo u slučaju krađe (lekcija 5.2) i koja osigurava Vašu vezu s web stranicom. Razlika je u tome tko posjeduje ključ. Dobra enkripcija se ne može razbiti. Zato opcija "samo ćemo to dešifrirati" gotovo nikad nije izvediva, osim ako su tvorci ransomwarea negdje pogriješili.
Prema nizozemskom NCSC-u, ransomware ne pogađa samo datoteke, nego i sustave i sigurnosne kopije. Upravo je to najvažnija točka ove lekcije.
Kako ulazi u sustav
Napad ransomwareom nije trenutak, nego niz koraka. Počinje inicijalnim pristupom: prvim korakom unutar sustava. Najčešći putevi:
| Put pristupa | Kako se odvija | Što to sprječava |
|---|---|---|
| Phishing s privitkom ili poveznicom | Zaposlenik otvori "račun" ili "otpremnicu" koja pokreće zlonamjerni softver | Osvještavanje (lekcija 9.2), ažuriranja, ograničena prava |
| Ukradeni podaci za prijavu | Procurjela lozinka funkcionira na webmailu, VPN-u ili udaljenom upravljanju | Jedinstvene lozinke, dvofaktorska autentifikacija (modul 2) |
| Poznata ranjivost u sustavu koji je spojen na internet | Zastarjeli VPN poslužitelj, vatrozid, NAS uređaj ili web stranica s javno poznatom ranjivosti | Brzo ažuriranje (lekcija 5.1), nepotrebno ne izlagati sustave internetu |
| Otvoreno udaljeno upravljanje | Program za udaljeni rad na računalu, dostupan s cijelog interneta | Samo preko sigurne veze, uz 2FA |
| Dobavljač | Zloupotrijebi se IT tvrtka ili softver dobavljača | Dogovori i minimalna prava (modul 7) |
Nakon prvog pristupa napadač često čeka. Razgleda sustav, traži administratorske račune i prelazi s računala na računalo. To se zove lateralno kretanje. Posebno traži dvije stvari: gdje se nalaze važni podaci i gdje se nalaze sigurnosne kopije. Tek kad pronađe oboje, udari, često noću ili vikendom, kad nitko ne primijeti.
Zašto povezana sigurnosna kopija ne pomaže
Mnoge male tvrtke imaju sigurnosnu kopiju: vanjski disk koji je stalno priključen na računalo, ili mrežni disk (NAS) na koji se svake noći prenosi kopija. To je bolje nego ništa kod kvara tvrdog diska. Protiv ransomwarea to često ne pomaže.
Razlog je jednostavan. Ransomware šifrira sve čemu zaraženo računalo ili preuzeti račun ima pristup. Ako je disk sa sigurnosnom kopijom priključen na računalo, ransomware mu može pristupiti. Ako se sigurnosna kopija nalazi na mrežnom disku na koji se prijavljujete istim računom, ransomware joj također može pristupiti. Napadač koji je mirno razgledao sustav ponekad čak namjerno izbriše sigurnosne kopije prije nego što počne šifrirati.
Isto vrijedi za sinkronizaciju. Mapa koja se automatski sinkronizira s cloudom sinkronizira i šifriranu verziju. Ponekad se još uvijek možete vratiti na stariju verziju datoteke, ali to ovisi o usluzi i o tome koliko dugo čuva verzije.
Sigurnosna kopija koja preživi ransomware ima barem jednu kopiju kojoj napadač ne može pristupiti ili je ne može promijeniti: disk koji leži odvojeno u ladici, ili sigurnosna kopija kod zasebnog pružatelja usluge s vlastitom prijavom koju ne koristite na radnom računalu, ili pohrana koja mijenjanje i brisanje čini tehnički nemogućim određeno vrijeme. U modulu 6 to ćete postaviti korak po korak. Sigurnosna kopija koju Vaš pružatelj hostinga izrađuje na zasebnim poslužiteljima, odvojeno od Vašeg paketa, već je za Vašu web stranicu i e-poštu kopija na udaljenoj lokaciji. Provjerite ipak koliko dugo se čuva i tko je može izbrisati.
Dvostruka iznuda
Nekada je dobra sigurnosna kopija bila potpuni odgovor na ransomware: vratiti podatke i gotovo. Napadači su se prilagodili. Kod dvostruke iznude prvo ukradu kopiju Vaših podataka, a tek zatim ih šifriraju. Tada postoje dvije prijetnje:
- Platite, inače nećete dobiti svoje datoteke natrag.
- Platite, inače ćemo objaviti Vaše podatke: baze klijenata, ponude, podatke o plaćama, sandučiće e-pošte.
Sigurnosna kopija pomaže protiv prve prijetnje, ali ne i protiv druge. I nizozemski NCSC upozorava da napadači ponekad prijete objavom ukradenih podataka. Osim toga, krađa osobnih podataka sama po sebi predstavlja povredu osobnih podataka, s obvezom prijave AZOP-u (lekcija 8.2), neovisno o tome plaćate li ili ne.
Ponekad napadač ide i korak dalje te izravno kontaktira Vaše klijente ili poslovne partnere s obavijesti da su njihovi podaci oteti kod Vas. Pritisak tada nije samo na Vama, nego i na Vašem ugledu.
Platiti ili ne?
Preporuka državnih tijela i policije jasna je: bolje je ne platiti. No More Ransom, inicijativa koju su pokrenuli, između ostalih, Europol i nizozemska policija, kaže: plaćanje otkupnine ne nudi nikakva jamstva. Postoje dobri razlozi za to:
- Nemate jamstvo da ćete dobiti funkcionalni ključ, niti da će dešifriranje uspjeti.
- Nemate jamstvo da će ukradeni podaci zatim doista biti izbrisani.
- Potvrđujete da Vaša tvrtka plaća, što Vas čini privlačnom metom za sljedeći napad.
- Financirate sljedeće napade na druge.
- Put kojim je napadač ušao još uvijek nije zatvoren. Bez istrage se to može ponovno dogoditi.
Nizozemski NCSC navodi oporavak iz sigurnosne kopije kao najpouzdanije rješenje. Ako to ne uspije, provjerite postoji li dekriptor: besplatan program koji može dešifrirati datoteke određene obitelji ransomwarea, jer su istraživači pronašli grešku u toj obitelji ili su oduzeli ključeve. No More Ransom (https://www.nomoreransom.org) prikuplja te dekriptore i pomaže Vam utvrditi s kojim ransomwareom imate posla. Rješenje ne postoji za svaku obitelj, ali provjera ne košta ništa.
U svakom slučaju podnesite kaznenu prijavu policiji, te provjerite imate li obvezu prijave: AZOP-u ako su pogođeni osobni podaci, nadležnom tijelu ako potpadate pod Zakon o kibernetičkoj sigurnosti (lekcija 9.1), a ponekad i naručitelju prema Vašem ugovoru.
Što ograničava štetu
Možete smanjiti vjerojatnost napada i ograničiti štetu ako se ipak dogodi. Pregled, s lekcijom u kojoj to učite:
- Ažuriranje, posebno svega što je spojeno na internet: VPN, router, NAS, web stranica (lekcija 5.1).
- Dvofaktorska autentifikacija na e-pošti, udaljenom upravljanju i svim administratorskim računima (lekcija 2.3 i 2.4).
- Minimalna prava: ne raditi svakodnevno s administratorskim računom i ne davati svima pristup svemu (lekcija 7.1).
- Sigurnosna kopija izvan dohvata Vaših uobičajenih računa, uz redovito testiranje radi li vraćanje (modul 6).
- Kartica za postupanje u slučaju incidenta kako bi svi znali što raditi: isključiti mrežu, ne gasiti sustav naglo, nazvati (lekcija 8.1 i 8.3).
- Osvještavanje: kolega koji odmah prijavi da je otvorio čudan privitak daje Vam sate prednosti (lekcija 9.2).
U praksi: ovako to izgleda
Primjer, sastavljen od situacija koje se često događaju. Instalaterska tvrtka s dvanaest zaposlenika imala je VPN poslužitelj za pristup datotekama od kuće. Firmware nije bio ažuriran već godinu i pol. Kroz poznatu ranjivost napadač je ušao, tjedan dana razgledavao sustav i pronašao administratorski račun mrežnog diska. U subotu noću šifrirani su računala, mrežni disk i USB disk sa sigurnosnom kopijom koji je bio na njega priključen. Ono što je ostalo: e-pošta i web stranica, koje su bile kod pružatelja hostinga s vlastitom sigurnosnom kopijom, te stara kopija administracije na disku koji je knjigovođa imao kod kuće. Zahvaljujući tome, tvrtka je nakon nekoliko dana ponovno mogla izdavati račune. Ponude i nacrti iz posljednjih nekoliko mjeseci bili su izgubljeni.
Jedno ažuriranje i jedan odvojeni disk u ladici napravili bi razliku između nekoliko dana i nekoliko mjeseci.
Sažetak
- Ransomware šifrira datoteke, sustave i sigurnosne kopije te traži otkupninu; dobra enkripcija se ne može razbiti.
- Ransomware ulazi preko phishinga, ukradenih lozinki, neažuriranih sustava spojenih na internet, udaljenog upravljanja ili dobavljača; nakon toga napadač često prvo razgleda sustav.
- Sigurnosna kopija koja je priključena na računalo ili dostupna istim računom često se također šifrira.
- Kod dvostruke iznude podaci se prvo ukradu; sigurnosna kopija tada ne pomaže protiv prijetnje objavom, a riječ je i o povredi osobnih podataka.
- Bolje je ne platiti; vratite podatke iz sigurnosne kopije, provjerite na No More Ransom postoji li dekriptor i podnesite kaznenu prijavu.
Kviz
Zadatak
Zadatak D1.3: Što ako se to dogodi noćas? Provjerite za vlastitu tvrtku što bi ransomware mogao šifrirati noćas. Zapišite gdje se nalaze Vaše sigurnosne kopije, jesu li dostupne s uobičajenog radnog računala ili s uobičajenim računom, te koji su sustavi spojeni na internet. Zatim odgovorite na pitanja za razmišljanje.
Zadatak D1.3: Što ako se to dogodi noćas?
Pristup koraka: (1) Napravite popis svih mjesta gdje se nalaze važne datoteke: računala, prijenosna računala, mrežni disk, cloud pohrana, e-pošta, knjigovodstvo, web stranica. (2) Za svako mjesto zapišite gdje se nalazi sigurnosna kopija i je li ta sigurnosna kopija dostupna s običnog radnog računala ili putem računa koji svakodnevno koristite. (3) Provjerite koji su sustavi povezani na internet i dostupni izvana (VPN, daljinsko upravljanje, NAS, usmjerivač, web stranica) te kada su posljednji put ažurirani. (4) Provjerite postoji li barem jedna kopija koju ransomware ne može dosegnuti (odvojeno pohranjena ili kod zasebnog pružatelja usluga s vlastitom prijavom). (5) Jednokratno pogledajte na https://www.nomoreransom.org/hr/index.html kako stranica funkcionira, kako biste to znali ako zatreba.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno štivo
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.