Firmy zvyčajne v prvom kroku reagujú na ransomware útok správne. Vypnú zasiahnuté systémy a odpoja ich od siete. Problém nastáva v ďalšom postupe. Čo radí etický hacker Martin Haller z firmy PATRON-IT, ktorý sa špecializuje práve na obnovu po ransomware útoku?
Ako vyzerá typický scenár ransomware útoku?
Ransomware útok zvyčajne začína v momente, keď útočníci získajú prístup do firemnej siete – napríklad prostredníctvom phishingového e-mailu, zneužitej zraniteľnosti alebo slabého hesla. Následne vykonávajú prieskum siete, aby zistili, aká je veľká, kto ju spravuje, aké systémy v nej bežia a aké prístupové práva sa im podarilo získať.
Ak zatiaľ nemajú dostatočné oprávnenia na to, aby mohli zničiť zálohy a plošne zašifrovať dáta, pustia sa do získavania vyšších oprávnení a presunu naprieč firemnými systémami. V tejto fáze sa snažia ovládnuť čo najširšiu časť infraštruktúry napadnutej firmy.
Hneď ako majú útočníci situáciu pod kontrolou, pristupujú k sťahovaniu a exfiltrácii citlivých dát, ktoré slúžia ako ďalšia páka pri vydieraní. Súbežne alebo následne nasadia samotný ransomware – program, ktorý dáta v sieti zašifruje. Výsledkom je, že drvivá väčšina kľúčových firemných dát sa stane neprístupnou – a útočníci potom zvyčajne požadujú výkupné výmenou za dešifrovací kľúč a prísľub, že ukradnuté dáta nezverejnia.
Zažili ste vo svojej praxi nejaké nezvyčajné prípady ransomware útokov?
Zaujímavých situácií je naozaj dosť. Raz sme pátrali po spôsobe prieniku do firemnej siete a ukázalo sa, že firma bola v priebehu rokov postupne napadnutá hneď tromi rôznymi skupinami. Jedna zneužívala jej výpočtové zdroje, ďalšia ukradla časť jej dát, no ani jednu z týchto aktivít si obeť nevšimla. Na všetko sa prišlo až vo chvíli, keď do hry vstúpila tretia skupina, ktorá na problém upozornila tým, že všetko zašifrovala.
Inokedy sa nám zhodou okolností v rovnakom čase stretli dve obete tej istej zločineckej skupiny. Prvá firma svoje dáta nutne potrebovala, takže sa rozhodla zaplatiť výkupné. Keď potom zločinci jej dáta dešifrovali, podarilo sa nám im nenápadne podstrčiť aj dáta druhej obete. Vďaka tomu sme dokázali prekabátiť samotných podvodníkov a výrazne tak obom firmám znížili náklady na obnovu.
Zásadné je mať funkčné zálohy
Ako zabezpečiť, aby k takémuto útoku vo firme nedošlo, alebo sa aspoň nezopakoval?
Kľúčové je zabezpečiť, aby ste mali zálohy, ktoré prežijú ransomware útok – teda také, ktoré útočníci nebudú schopní zničiť a vy na nich nebudete závislí. Tým získate možnosť obnovy nezávisle od útočníkov.
Ďalším krokom je snaha o zabezpečenie samotnej siete tak, aby sa útočníci do nej vôbec nedostali. Prípadne, aby bolo pre nich veľmi náročné získať väčšiu kontrolu nad vašimi systémami. Zámerne hovorím „snaha“, pretože všetka námaha a vynaložené prostriedky len znižujú pravdepodobnosť útoku – absolútnu istotu však nikdy mať nebudete.
Na ako dlho môže ransomware útok firmu ochromiť?
V prípade napadnutia menšieho množstva systémov môže obnova trvať niekoľko dní – zvyčajne jeden až dva. Ak však dôjde k úplnému ochromeniu celej firmy, výpadok býva omnoho dlhší: minimálne týždeň alebo dva, kým sa podarí spustiť aspoň tie najnutnejšie systémy. Návrat všetkých systémov do stavu pred útokom je potom otázkou mesiacov.
Prvé reakcie bývajú správne
Ako firmy v prvej chvíli reagujú na ransomware útok a aké chyby robia najčastejšie?
V prvom momente reagujú firmy zvyčajne správne: vypnú zasiahnuté systémy a odpoja ich od siete, prípadne rovno celú firmu od internetu. Problém nastáva v ďalšom kroku, keď je potrebné situáciu vyriešiť a napadnuté systémy obnoviť. Zvyčajne im to trvá oveľa dlhšie než špecializovaným tímom, ktoré už podobné útoky riešili opakovane. A práve čas v takejto situácii hrá kľúčovú úlohu, pretože počas odstávky zostáva prevádzka firmy ochromená, čo výrazne zvyšuje konečné škody.
Čo je teda správny druhý krok?
Hneď po odpojení všetkých napadnutých systémov a prerušení internetového pripojenia je potrebné začať pracovať na viacerých veciach súčasne. Treba preveriť, ktoré dáta a systémy útok prežili, zistiť, ako sa útočníci do siete dostali, a okamžite pripraviť plán obnovy – vrátane zabezpečenia ľudských zdrojov a potrebného hardvéru.
Dôležité je tiež nastaviť si priority, podľa ktorých sa budú systémy obnovovať, a zároveň prijať opatrenia, aby sa podobný útok už neopakoval.
Od samého začiatku je nevyhnutné komunikovať s vedením firmy a vysvetliť, že systémy budú mimo prevádzky minimálne týždeň. Vedenie tak môže prispôsobiť výrobu, zmeny a ďalšie procesy tak, aby sa minimalizovali straty. Zároveň je potrebné mať jasný plán, ako situáciu komunikovať so zamestnancami, dodávateľmi, odberateľmi, úradmi a políciou.
Čo sa dá robiť, ak firma nemá prístup k zálohám?
Ak firma príde o zálohy, zostáva jej len niekoľko zlých možností.
Niekedy sa ukáže, že zamestnanci majú časť firemných dát uloženú na svojich pracovných počítačoch alebo na domácich diskoch, a vďaka tomu sa môže podariť zachrániť aspoň niečo.
V ojedinelých prípadoch má ransomware chybu v šifrovaní, ktorá umožňuje obnoviť dáta aj bez spolupráce s útočníkmi. Takýchto prípadov však postupne ubúda. Navyše získať informáciu o takejto chybe nie je jednoduché, pretože ju zvyknú strážiť špecializované organizácie alebo experti.
Ďalšou možnosťou je čakať, či sa podarí tvorcov ransomware dolapiť a neskôr zverejniť dešifrovací nástroj. To však môže trvať veľmi dlho a výsledok je neistý.
Nakoniec tak často nezostáva iné, než sa pokúsiť pokračovať v podnikaní bez stratených dát – alebo zaplatiť výkupné.
Žiadny z týchto scenárov nie je ideálny, preto je také dôležité mať funkčné a overené zálohy.
Tretina firiem radšej zaplatí výkupné
Ako firmy zvyčajne uvažujú o zaplatení výkupného?
Zo skúseností možno povedať, že približne tretina firiem sa nakoniec rozhodne výkupné zaplatiť – pretože je to pre ne stále lacnejšie než riskovať dlhodobý výpadok. Každá situácia je však iná. Záleží na význame stratených dát, výške finančných škôd, ale aj na morálnom postoji vedenia alebo majiteľa firmy. Niekto radšej zaplatí, aby rýchlo obnovil prevádzku, iný naopak zdôrazňuje etickú rovinu a vydieračom by neposlal ani cent.
Spomínate si na nejaký konkrétny prípad?
Raz sme boli svedkami situácie, kde sa rozhodovanie medzi riaditeľom a majiteľom firmy ťahalo niekoľko týždňov. Riaditeľ bol za zaplatenie výkupného – vnímal to čisto ekonomicky: zaplatiť bolo lacnejšie a rýchlejšie než ručne obnovovať a opäť zadávať všetky dáta do systémov. Majiteľ firmy sa však postavil proti. Z princípu nechcel posielať zločincom žiadne peniaze.
Ako sa rokovania naťahovali a firma nutne potrebovala fungovať, začala postupne zadávať do systémov aspoň tie najdôležitejšie dáta. Po niekoľkých týždňoch sa tak dostali do bodu, kde by bolo veľmi náročné novozadané dáta zlúčiť s pôvodnými – aj keby sa im zálohy podarilo získať späť. Nakoniec sa teda rozhodli výkupné nezaplatiť.
Útoky sa začnú presúvať aj do cloudov
Aké trendy v ransomware útokoch očakávate?
V nasledujúcich rokoch sa ransomware útoky pravdepodobne začnú postupne presúvať aj do cloudových prostredí, ako sú Microsoft 365 alebo Google Workspace. Ide totiž o rovnako komplexné systémy ako tradičná „on-premise“ infraštruktúra, majú obrovské globálne rozšírenie a aj tu dochádza k rôznym zraniteľnostiam či chybám v konfigurácii, ktoré môžu útočníci zneužiť.
Nejde pritom o útoky na samotných poskytovateľov cloudu, ako sú Microsoft alebo Google, ale na konkrétne inštancie – teda tú časť, za ktorú je zodpovedný priamo zákazník a jeho IT oddelenie.
Čo si z článku odniesť?
Ani maximálna snaha o zabezpečenie systému nemusí firmu ochrániť pred ransomware útokom. Preto je kľúčové mať zálohy, z ktorých sa dá systém obnoviť. Bez nich firmám ostávajú len zlé možnosti.
Prvá inštinktívna reakcia firiem býva zvyčajne správna: vypnúť zasiahnuté systémy a odpojiť ich od siete, prípadne celú firmu od internetu.
Nasleduje však nevyhnutná analýza: treba rýchlo zistiť, ktoré dáta a systémy útok prežili, identifikovať spôsob, akým sa útočníci dostali do siete, a okamžite pripraviť plán obnovy – vrátane zabezpečenia ľudí a potrebného hardvéru.
Podľa skúseností Martina Hallera asi tretina firiem výkupné nakoniec zaplatí, pretože je to pre ne lacnejšie ako riskovať dlhodobý výpadok.
V najbližších rokoch pravdepodobne vzrastie počet ransomware útokov zameraných na cloudové prostredia.
