Ransomware: kako se zaštititi i odgovoriti na napad

Ransomware je vrsta zlonamjernog softvera koji šifrira podatke na zaraženim sustavima i zatim traži otkupninu za ključ kojim se podaci otključavaju. Za tvrtku to znači da preko noći može ostati bez pristupa datotekama, bazama podataka i ključnim aplikacijama, a poslovanje stane dok se situacija ne riješi. Za bolnicu, banku ili pružatelja kritične infrastrukture taj zastoj nije samo trošak, nego može ugroziti pacijente, transakcije i obveze prema regulatoru. Upravo zato je ransomware danas jedna od najozbiljnijih prijetnji za regulirane organizacije svih veličina.

Posljednjih godina napadi su postali opasniji jer se model promijenio. Napadači više ne šifriraju samo podatke, nego ih prije šifriranja i ukradu, pa prijete objavom ako se otkupnina ne plati.¹ To znači da sama sigurnosna kopija, koja je dugo bila gotovo potpuna obrana, više ne rješava cijeli problem. Dobra vijest je da se rizik može znatno smanjiti, a šteta ograničiti, kombinacijom prevencije, rane detekcije i pripremljenog odgovora. Ovaj tekst objašnjava što je ransomware, kako napad teče korak po korak, kako se zaštititi u slojevima i kako reagirati ako do napada dođe.

Što je ransomware i kako se razvio

Ransomware dolazi od engleske riječi za otkupninu i opisuje zlonamjerni softver koji žrtvi uskraćuje pristup podacima ili sustavima dok se ne plati. Najčešće šifrira datoteke snažnom enkripcijom koju je bez ključa praktički nemoguće razbiti. Nakon šifriranja žrtva dobiva poruku s uputama za plaćanje, redovito u kriptovalutama kako bi se otežalo praćenje novca. Ransomware je samo jedan oblik zlonamjernog softvera, a širi kontekst pokrivamo u tekstu o zlonamjernom softveru.

Model napada razvijao se kroz nekoliko faza. Prvi val bila je čista enkripcija: napadač zaključa podatke i traži ključ za otključavanje. Protiv toga je dobra sigurnosna kopija bila gotovo potpuna obrana, jer ste podatke jednostavno vratili. Zato su napadači dodali dvostruku iznudu, gdje podatke prvo ukradu pa tek onda šifriraju. Čak i ako vratite sustave iz kopije, ostaje prijetnja objave ukradenih podataka. Neki idu i u trostruku iznudu, dodajući pritisak poput napada uskraćivanjem usluge ili izravnog kontaktiranja vaših klijenata i partnera.

Važno je razumjeti da ransomware rijetko djeluje sam. Iza napada gotovo uvijek stoji čovjek koji je prethodno ušao u mrežu, proširio pristup i tek na kraju pokrenuo šifriranje. To znači da napad ima fazu tijekom koje se može otkriti i zaustaviti, prije nego nastane šteta. Posljedica razvoja modela je jasna: obrana koja počiva samo na kopijama rješava problem dostupnosti, ali ne i problem povjerljivosti ukradenih podataka.

Kako napad teče korak po korak

Tipičan ransomware napad nije trenutačan događaj, nego niz koraka koji se mogu odvijati danima ili tjednima. Razumijevanje tih faza pokazuje gdje se obrana može umetnuti, jer svaka faza ostavlja tragove koje je moguće otkriti.

1. 01
   Početni pristup

   Najčešće kroz phishing poruku, ukradene ili slabe vjerodajnice te neukrpanu ranjivost na sustavu izloženom internetu, primjerice VPN uređaju ili RDP-u.
2. 02
   Učvršćivanje i izviđanje

   Napadač osigurava trajan pristup, mapira mrežu, traži vrijedne podatke i ciljano identificira sigurnosne kopije kako bi ih kasnije onesposobio.
3. 03
   Povišenje ovlasti

   Iskorištava krive konfiguracije i slabe lozinke kako bi preuzeo administratorske ovlasti, idealno nad domenskim kontrolerom.
4. 04
   Bočno kretanje

   Kreće se kroz sustave i širi pristup na što više poslužitelja i radnih stanica, pripremajući istovremeno šifriranje.
5. 05
   Eksfiltracija podataka

   Kopira osjetljive podatke izvan mreže prije šifriranja, radi kasnije iznude objavom.
6. 06
   Enkripcija

   Pokreće ransomware, često namjerno izvan radnog vremena, pa podaci i sustavi postaju nedostupni.
7. 07
   Iznuda

   Traži otkupninu i prijeti objavom ukradenih podataka ako se ne plati, nerijetko uz odbrojavanje.

Sigurnosna kopija vraća vaše podatke. Ne vraća podatke koje je napadač već ukrao. Zato se obrana od ransomwarea gradi na sprječavanju ulaska, ne samo na oporavku.

Ransomware kao usluga (RaaS)

Velik dio današnjih napada ne provode pojedinci koji sami pišu zlonamjerni softver, nego organizirane skupine koje rade po modelu ransomware kao usluga (RaaS). U tom modelu jedna skupina razvija i održava ransomware i infrastrukturu za iznudu, a druga, takozvani afilijati, provode konkretne provale i dijele otkupninu s autorima. Posljedica je da je napad postao dostupan i manje vještim akterima, što povećava broj i raznolikost napada.¹

Za obranu to ima praktične implikacije. Različiti afilijati koriste različite tehnike početnog pristupa i kretanja, pa se ne možete osloniti na prepoznavanje jedne poznate skupine. Obrana se zato gradi oko ponašanja, a ne oko potpisa konkretnog alata. Detekcija sumnjivih radnji, poput naglog pristupa velikom broju datoteka ili pokušaja gašenja sigurnosnih alata, hvata napad bez obzira na to koja ga skupina provodi.

Zaštita u slojevima

Prevencija ransomwarea ne svodi se na jedan alat, nego na nekoliko slojeva koji zajedno otežavaju i ulazak i širenje napada. Cilj nije savršena obrana, nego dovoljno prepreka da napad bude spor, vidljiv i ograničen. Tablica niže prikazuje glavne slojeve i fazu napada na koju svaki sloj najviše utječe.

Slojevi su poredani tako da se nadopunjuju. MFA, zakrpe i edukacija smanjuju vjerojatnost ulaska. Segmentacija i najmanje ovlasti ograničavaju štetu ako napadač ipak uđe. EDR ili XDR daju vidljivost da se napad zaustavi u tijeku, o čemu detaljnije pišemo u tekstu o upravljanim uslugama detekcije i odgovora (MDR). Phishing kao najčešći ulaz pokrivamo zasebno u tekstu o phishingu i socijalnom inženjeringu.

Detekcija i rani znakovi

Budući da ransomware napad traje, a ne događa se odjednom, rana detekcija često je razlika između manjeg incidenta i potpunog zastoja. Napadač u fazi izviđanja i kretanja ostavlja tragove koje je moguće prepoznati. Sumnjivi znakovi uključuju neuobičajene prijave izvan radnog vremena, nagli pristup velikom broju datoteka, pojavu alata za udaljeno upravljanje koje niste postavili i pokušaje gašenja antivirusnog ili EDR softvera.

• Neuobičajene ili neuspjele prijave administratorskih računa, posebno noću i s nepoznatih lokacija.
• Nagli porast pristupa datotekama ili masovno preimenovanje, što može značiti početak šifriranja.
• Pokušaji onemogućavanja sigurnosnih alata, brisanja zapisa ili sjenovitih kopija (Volume Shadow Copy).
• Pojava poznatih alata za izviđanje i krađu vjerodajnica te neočekivani odlazni promet prema vanjskim odredištima.

Te znakove rijetko hvata samo antivirus. Potrebna je detekcija temeljena na ponašanju i kontinuirani nadzor, koje gradimo kroz usluge detekcije i odgovora na incidente. Proaktivni lov na prijetnje dodatno traži tragove napadača koji su zaobišli automatsku detekciju, prije nego što dođu do faze šifriranja.

Kako odgovoriti na napad

Ako do napada dođe, pripremljen odgovor ograničava štetu. Paničan, neorganiziran odgovor obično je pogorša. Koraci odgovora trebaju biti unaprijed dogovoreni i uvježbani, a ne improvizirani usred krize.

1. 01
   Izolirajte zaražene sustave

   Odvojite ih od mreže da zaustavite širenje, ali ih nemojte odmah gasiti jer gašenje može uništiti dokaze u radnoj memoriji.
2. 02
   Aktivirajte plan odgovora

   Pokrenite plan odgovora na incident, obavijestite odgovorne osobe i, po potrebi, vanjski tim za odgovor.
3. 03
   Sačuvajte dokaze i provedite forenziku

   Utvrdite kako je napadač ušao, dokle je došao i jesu li podaci eksfiltrirani, jer to određuje daljnje korake.
4. 04
   Procijenite regulatorne obveze

   Ako su zahvaćeni osobni podaci ili ste obveznik NIS2, pokreću se rokovi prijave AZOP-u i nadležnom tijelu.
5. 05
   Oporavite iz provjerenih kopija

   Vraćajte sustave tek nakon što ste sigurni da je napadač uklonjen iz okruženja, da ne obnovite i kompromitaciju.
6. 06
   Provedite pregled nakon incidenta

   Zatvorite propust kroz koji je napad ušao i ažurirajte plan, da se isti scenarij ne ponovi.

Oko plaćanja otkupnine opća je preporuka, koju dijele i tijela za kibernetičku sigurnost, da se ne plaća.² Plaćanje ne jamči povrat podataka, financira daljnje napade i ne uklanja rizik objave već ukradenih podataka. Plaćanje određenim akterima može imati i pravne posljedice. Odluka je u krajnjoj liniji poslovna, ali se donosi puno lakše kada imate provjerene sigurnosne kopije i jasan plan oporavka, što plaćanje pretvara u izbor, a ne u nuždu. Cijeli tijek odgovora opisujemo u tekstu o planu odgovora na incidente.

Oporavak i kontinuitet poslovanja

Odgovor zaustavlja napad, ali oporavak vraća poslovanje u rad. Ako sve ostalo zakaže, sigurnosna kopija odlučuje hoćete li se oporaviti u danima ili tjednima. No kopija vrijedi samo ako je napadač ne može doseći i ako se iz nje stvarno možete vratiti. Zato kopije moraju biti odvojene i nepromjenjive, a oporavak iz njih treba redovito testirati. Kopija koju nikad niste pokušali vratiti je pretpostavka, ne jamstvo. Testiranje oporavka otkriva probleme prije nego što ih otkrijete usred stvarnog napada.

Oporavak ima i svoj redoslijed. Treba znati koji su sustavi kritični, koliko podataka smijete izgubiti i koliko dugo smijete biti u zastoju. Te ciljeve postavlja plan kontinuiteta poslovanja, koji povezuje tehnički oporavak s poslovnim prioritetima. Ransomware je upravo onaj scenarij za koji takav plan postoji, pa ga obrađujemo u tekstu o kontinuitetu poslovanja i oporavku (BCP/DR). Plan odgovora i plan kontinuiteta dvije su strane iste pripreme: jedan zaustavlja napad, drugi vraća rad.

Ransomware i regulatorne obveze

Ransomware napad često je istovremeno i regulatorni događaj. Ako ste obveznik NIS2 direktive, prenesene kroz Zakon o kibernetičkoj sigurnosti, značajan incident morate prijaviti u kratkim rokovima nadležnom tijelu. Financijske institucije imaju slične obveze prema DORA-i. Ako su zahvaćeni osobni podaci, na scenu stupa i obveza prijave povrede AZOP-u prema GDPR-u, u pravilu u roku od 72 sata od saznanja.

Sve te obveze imaju zajednički preduvjet: morate znati što se dogodilo i dokle je napad dopro. Bez detekcije i forenzike nemoguće je ispuniti rokove ni dati regulatoru točnu sliku. Zato spremnost za prijavu počinje puno prije incidenta, u sposobnosti da napad vidite i rekonstruirate. Cijeli tijek odgovora, od prijave do forenzike, vodimo kroz uslugu odgovora na incidente.

Kako Raptoric pomaže

Raptoric pomaže reguliranim tvrtkama da smanje rizik od ransomwarea i da na stvaran napad odgovore brzo i pripremljeno. Kroz usluge detekcije i odgovora (TDR) gradimo detekcije prilagođene vašem okruženju koje hvataju napad prije faze šifriranja, a kroz uslugu odgovora na incidente vodimo izolaciju, forenziku, oporavak i regulatornu prijavu kada incident nastupi. Ako želite znati koliko je vaša organizacija otporna i kako biste odgovorili na stvaran napad, dogovorite uvodni razgovor.