Ransomware a vydírání
Modul 1: Proč jste terčem i Vy · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete vysvětlit, jak se ransomware dostává do systému, co je dvojité vydírání a jaká opatření omezí škody.
Klíčové pojmy: ransomware, šifrování, dvojité vydírání, počáteční přístup, laterální pohyb, výkupné, dešifrovací nástroj (No More Ransom)
Co je ransomware
Ransomware je škodlivý software, který znepřístupní Vaše soubory nebo systémy a poté požaduje výkupné. Název pochází z anglického slova ransom: výkupné. Nejčastěji k tomu dochází pomocí šifrování: software převede Vaše soubory na nečitelná data, k nimž má klíč pouze útočník. Soubory stále vidíte, často s podivnou příponou, ale už je nelze otevřít. Na obrazovce nebo v každé složce se objeví zpráva: zaplaťte do několika dnů, jinak je vše pryč.
Samotné šifrování není nic škodlivého. Je to stejná technika, která chrání Váš notebook v případě krádeže (lekce 5.2) a která zabezpečuje Vaše připojení k webové stránce. Rozdíl je v tom, kdo má klíč. Kvalitní šifrování se nedá prolomit. Proto varianta „necháme to prostě rozšifrovat“ téměř nikdy není možnost, ledaže by tvůrci ransomwaru udělali chybu.
Podle nizozemského NCSC ransomware nezasahuje jen soubory, ale i systémy a zálohy. To je nejdůležitější bod této lekce.
Jak se dostane dovnitř
Útok ransomwaru není okamžik, ale řada kroků. Začíná počátečním přístupem: první nohou ve dveřích. Nejčastější cesty:
| Přístupová cesta | Jak probíhá | Co jí brání |
|---|---|---|
| Phishing s přílohou nebo odkazem | Zaměstnanec otevře „fakturu“ nebo „dodací list“, který spustí škodlivý software | Povědomí (lekce 9.2), aktualizace, omezená oprávnění |
| Odcizené přihlašovací údaje | Uniklé heslo funguje na webmailu, VPN nebo vzdálené správě | Jedinečná hesla, dvoufázové ověření (modul 2) |
| Známá zranitelnost v systému připojeném k internetu | Zastaralý VPN server, firewall, NAS nebo webová stránka s veřejně známou zranitelností | Rychlá aktualizace (lekce 5.1), zbytečně neotevírat přístup |
| Otevřená vzdálená správa | Program pro vzdálenou práci na PC, dostupný z celého internetu | Pouze přes zabezpečené připojení, s 2FA |
| Dodavatel | IT firma nebo software dodavatele je zneužit | Smluvní ujednání a minimální oprávnění (modul 7) |
Po prvním přístupu útočník často čeká. Rozhlíží se, hledá administrátorské účty a přeskakuje z počítače na počítač. Tomu se říká laterální pohyb. Hledá především dvě věci: kde jsou důležitá data a kde jsou zálohy. Teprve když najde obojí, udeří, často v noci nebo o víkendu, kdy si toho nikdo nevšimne.
Proč připojená záloha nepomůže
Mnoho malých firem má zálohu: externí disk, který je trvale připojený k počítači, nebo síťový disk (NAS), kam se každou noc ukládá kopie. To je lepší než nic v případě poškozeného pevného disku. Proti ransomwaru to ale často nepomůže.
Důvod je jednoduchý. Ransomware zašifruje vše, k čemu se infikovaný počítač nebo ovládnutý účet dostane. Pokud je záložní disk připojený k PC, ransomware se k němu dostane. Pokud je záloha na síťovém disku, ke kterému se přihlašujete stejným účtem, ransomware se k ní dostane také. Útočník, který se v klidu rozhlédl, zálohy někdy dokonce záměrně smaže ještě předtím, než začne šifrovat.
Totéž platí pro synchronizaci. Složka, která se automaticky synchronizuje s cloudem, synchronizuje i zašifrovanou verzi. Někdy se pak dá vrátit ke starší verzi souboru, ale to závisí na službě a na tom, jak dlouho uchovává verze.
Záloha, která ransomware přežije, má alespoň jednu kopii, ke které se útočník nedostane nebo kterou nemůže změnit: disk ležící odpojený v šuplíku, nebo záloha u samostatného poskytovatele s vlastním přihlášením, které nepoužíváte na pracovním počítači, nebo úložiště, u kterého je změna a mazání po určitou dobu technicky nemožné. V modulu 6 si to krok za krokem nastavíte. Záloha, kterou Váš poskytovatel hostingu vytváří na samostatných serverech mimo Váš balíček, je pro Vaši webovou stránku a poštu už vzdálenou kopií. Ověřte si ale, jak dlouho se uchovává a kdo ji může smazat.
Dvojité vydírání
Dříve byla kvalitní záloha kompletní odpovědí na ransomware: obnovit a hotovo. Útočníci se přizpůsobili. Při dvojitém vydírání nejprve ukradnou kopii Vašich dat a teprve poté je zašifrují. Pak existují dvě hrozby:
- Zaplaťte, jinak soubory nedostanete zpět.
- Zaplaťte, jinak zveřejníme Vaše data: zákaznické databáze, nabídky, mzdové údaje, poštovní schránky.
Záloha pomůže proti prvnímu, ne proti druhému. I nizozemské NCSC varuje, že útočníci někdy vyhrožují zveřejněním ukradených dat. Kromě toho je krádež osobních údajů sama o sobě únikem dat, s ohlašovací povinností vůči Úřadu pro ochranu osobních údajů (ÚOOÚ) (lekce 8.2), bez ohledu na to, zda zaplatíte.
Někdy jde útočník ještě dál a osloví přímo Vaše zákazníky nebo obchodní partnery se zprávou, že jejich údaje byly u Vás ukradeny. Tlak pak nedoléhá jen na Vás, ale i na Vaši pověst.
Zaplatit, nebo ne?
Doporučení státních institucí a policie je jednoznačné: raději neplaťte. No More Ransom, iniciativa mimo jiné Europolu a nizozemské policie, to formuluje takto: zaplacení výkupného neposkytuje žádné záruky. Existují pro to dobré důvody:
- Nemáte žádnou záruku, že dostanete funkční klíč nebo že se dešifrování podaří.
- Nemáte žádnou záruku, že ukradená data budou skutečně poté odstraněna.
- Potvrdíte, že Vaše firma platí, což z Vás dělá atraktivní cíl pro další útok.
- Financujete další útoky na ostatní.
- Cesta dovnitř ještě není uzavřená. Bez vyšetření se to může stát znovu.
Nizozemské NCSC označuje obnovu ze zálohy za nejspolehlivější řešení. Pokud to nejde, zkontrolujte, zda existuje dešifrovací nástroj: bezplatný program, který dokáže dešifrovat soubory konkrétní rodiny ransomwaru, protože výzkumníci v ní našli chybu nebo zabavili klíče. No More Ransom (https://www.nomoreransom.org) tyto nástroje shromažďuje a pomůže Vám zjistit, s jakým ransomwarem máte co do činění. Ne pro každou rodinu řešení existuje, ale podívat se nic nestojí.
V každém případě podejte trestní oznámení u Policie České republiky a zjistěte, zda máte ohlašovací povinnost: vůči ÚOOÚ, pokud byly zasaženy osobní údaje, vůči NÚKIB, pokud se na Vás vztahuje zákon o kybernetické bezpečnosti (lekce 9.1), a někdy i vůči zadavateli podle smlouvy.
Co omezí škodu
Můžete snížit pravděpodobnost útoku a omezit škodu, pokud k němu přesto dojde. Přehled, s lekcí, kde se to naučíte:
- Aktualizace, zejména všeho, co je připojeno k internetu: VPN, router, NAS, webová stránka (lekce 5.1).
- Dvoufázové ověření na poště, vzdálené správě a všech administrátorských účtech (lekce 2.3 a 2.4).
- Minimální oprávnění: nepracovat denně s administrátorským účtem a nedávat každému přístup všude (lekce 7.1).
- Záloha mimo dosah Vašich běžných účtů, s pravidelným testováním, zda obnova funguje (modul 6).
- Karta pro řešení incidentů, aby každý věděl, co dělat: odpojit síť, nevypínat jen tak, komu zavolat (lekce 8.1 a 8.3).
- Povědomí: kolega, který okamžně nahlásí, že otevřel podivnou přílohu, Vám dává hodiny náskoku (lekce 9.2).
V praxi: jak to vypadá
Příklad sestavený z situací, které se často vyskytují. Instalatérská firma s dvanácti zaměstnanci měla VPN server, aby se z domova dostali k souborům. Firmware nebyl aktualizován už rok a půl. Přes známou zranitelnost se útočník dostal dovnitř, týden se rozhlížel a našel administrátorský účet síťového disku. V sobotu v noci byly zašifrovány počítače, síťový disk a USB disk se zálohou, který k němu byl připojený. Co zůstalo: pošta a webová stránka, které byly u poskytovatele hostingu s vlastní zálohou, a stará kopie účetnictví na disku, který měl doma účetní. Díky tomu mohla firma po pár dnech znovu fakturovat. Nabídky a výkresy z posledních měsíců byly pryč.
Jedna aktualizace a jeden odpojený disk v šuplíku by znamenaly rozdíl mezi několika dny a několika měsíci.
Shrnutí
- Ransomware šifruje soubory, systémy i zálohy a požaduje výkupné; kvalitní šifrování se nedá prolomit.
- Ransomware se dostává dovnitř přes phishing, ukradená hesla, neaktualizované systémy připojené k internetu, vzdálenou správu nebo dodavatele; poté se útočník často nejprve rozhlédne.
- Záloha, která je připojená k počítači nebo dostupná pod stejným účtem, bývá zašifrována spolu s ostatním.
- Při dvojitém vydírání jsou data nejprve ukradena; záloha pak nepomůže proti hrozbě zveřejnění a jedná se o únik dat.
- Raději neplaťte; obnovte ze zálohy, podívejte se na No More Ransom, zda existuje dešifrovací nástroj, a podejte trestní oznámení.
Kvíz
Úkol
Úkol D1.3: Co kdyby se to stalo dnes v noci? Projděte si pro svou vlastní firmu, co by ransomware mohl dnes v noci zašifrovat. Zapište si, kde se nacházejí Vaše zálohy, zda jsou dostupné z běžného pracovního počítače nebo pod běžným účtem, a které systémy jsou připojené k internetu. Poté odpovězte na reflexní otázky.
Úkol D1.3: Co kdyby se to stalo dnes v noci?
Postupujte takto: (1) Sestavte seznam všech míst, kde jsou uložena důležitá data: počítače, notebooky, síťový disk, cloudové úložiště, e-mail, účetnictví, web. (2) U každého místa napište, kde je uložena záloha a zda je tato záloha dostupná z běžného pracovního počítače nebo účtu, který denně používáte. (3) Zjistěte, které systémy jsou připojené k internetu a dostupné zvenčí (VPN, vzdálená správa, NAS, router, web), a kdy byly naposledy aktualizovány. (4) Zjistěte, zda existuje alespoň jedna kopie, kam ransomware nedosáhne (volně v zásuvce nebo u samostatné strany s vlastním přihlášením). (5) Jednorázově se podívejte na https://www.nomoreransom.org, jak stránka funguje, abyste to věděli, pokud to bude potřeba.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučené čtení
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- WebOké Zálohy: zobrazení, obnovení nebo stažení zálohy
- Příručka k DirectAdmin 16.1: Jaké zálohy jsou dostupné u WebOké
- NCSC, Co je ransomware (nizozemský zdroj): https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/cs/index.html