Hoe u zich effectief kunt beschermen tegen ransomware

Als u de aanbevelingen in dit artikel nauwkeurig opvolgt, zult u nooit losgeld betalen, krijgt u uw gegevens altijd terug en minimaliseert u uitval tot een periode die u bereid bent te accepteren.

 

Enkele interessante feiten

•  Elke dag worden in Tsjechië 20 strafbare feiten gemeld die verband houden met een cyberaanval.
•  In de afgelopen 3 jaar is het aantal aanvallen verdubbeld.
•  Elk jaar wordt er gemiddeld 25% meer betaald voor een aanval.
•  Slechts enkele organisaties bereiden zich vooraf op een aanval voor. De anderen wachten af.
•  De vraag is niet óf de aanval komt, maar wanneer.

Wat is ransomware

Ransomware is schadelijke code (malware) die is ontworpen om de aanvaller te verrijken. Het werkt volgens het principe van afpersing van gebruikers. Getroffen gebruikers worden gedwongen te betalen om toegang te krijgen tot hun eigen gegevens (deze te ontsleutelen).

Hoe ransomware werkt

Zodra ransomware een computer of computernetwerk infiltreert, versleutelt het alle gegevens op lokale schijven, externe schijven, netwerkopslag, NAS en gegevens op andere machines. Dankzij lekke protocollen (meestal via niet-geüpdatete systemen) kan ransomware ook plekken in het netwerk en apparaten bereiken die anders zeer goed beveiligd en doorgaans ontoegankelijk zijn. Bijzonder verraderlijk is ook dat de versleuteling niet onmiddellijk na de infectie hoeft te beginnen, maar pas na enige tijd. Zodra alle gegevens zijn versleuteld, eist de aanvaller losgeld. Meestal verschijnt er op de monitoren van getroffen machines een verzoek om binnen een bepaalde termijn een bepaald bedrag te betalen en loopt er een aftelling (bijvoorbeeld: betaal 5 bitcoins binnen 72 uur naar een bepaalde bitcoinrekening). Als u slachtoffer wordt van een ransomwareaanval en alle gegevens, systemen en back-ups verliest, rest er niets anders dan het losgeld te betalen. Na betaling van het losgeld zouden de aanvallers een ontsleutelingssleutel moeten sturen. Na invoering daarvan zouden uw gegevens moeten worden ontsleuteld en dus in hun oorspronkelijke vorm moeten worden hersteld.

Waarom is er nu zoveel ransomware en hoort u er overal over?

Eenvoudigweg omdat het werkt en het een zeer gemakkelijke manier is om op oneerlijke wijze geld te verdienen. Waar succesvolle ransomwareaanvallers vroeger zeer goede programmeurs waren die een verdorven karakter hadden dat hen ertoe bracht zich op deze manier te verrijken, is tegenwoordig alleen dat verdorven karakter al voldoende. Dat komt doordat ransomware kan worden gekocht of zelfs gehuurd. Wanneer bijna iedereen een succesvolle aanvaller kan zijn, neemt het aantal aanvallen logischerwijs toe.

Sturen aanvallers na betaling daadwerkelijk werkende ontsleutelingssleutels?

Daarop is geen algemeen antwoord mogelijk. De ervaringen van onze klanten en partners zijn uiteenlopend. Sommigen betaalden zelfs meerdere keren en ontsleutelden daarna met succes hun gegevens, terwijl anderen de sleutels nooit ontvingen. Het verschilt per aanval. Er zijn zelfs gevallen bekend van duidelijk „mislukte ransomware“, waarbij versleuteling plaatsvond, maar de verbinding voor betalingen en communicatie niet werkte, zodat ontsleuteling niet mogelijk was.

Eén advies – probeer vooraf contact op te nemen met de aanvaller en vraag om bewijs dat deze werkelijk controle heeft over uw gegevens. Vraag de aanvaller een deel van de gegevens te ontsleutelen of u een deel van de getroffen gegevens te geven (bijvoorbeeld enkele bestanden). Daaruit blijkt zowel of contact met de aanvaller mogelijk is als of deze u überhaupt kan helpen. Als een klein bedrag wordt geëist – bijvoorbeeld 100 tot 500 dollar (meestal een massale aanval op een groot aantal gebruikers) – hoeft de aanvaller zich niet te melden en kunnen de ontsleutelingssleutels toch worden verzonden, omdat de afhandeling geautomatiseerd is. Maar als u een grote of zeer winstgevende organisatie bent waarop een gerichte aanval is uitgevoerd en het geëiste bedrag duizenden dollars bedraagt, zal de aanvaller waarschijnlijk uit eigen belang met u communiceren. Dan hoeft u alleen maar te betalen, te hopen, te ontsleutelen, ervan te leren en uzelf tegen de volgende aanval te beschermen.

Kan ransomware ook ons aanvallen?

Ja. En als dat nog niet is gebeurd, is de kans groot dat het zeer binnenkort gebeurt. Een van de huidige trends op het gebied van ransomware is het richten op lokale gebruikers en organisaties. Dit vergroot namelijk de kans op succes voor aanvallers. Tegenwoordig trapt nog maar zelden iemand in e-mails in slecht Engels waarin wordt opgeroepen een verdachte bijlage te openen. Maar als de directeur een e-mail ontvangt van een gerenommeerd advocatenkantoor (het e-mailadres is uiteraard vervalst), geschreven in goed juridisch Tsjechisch, waarin staat dat wegens een onbetaalde factuur de komende dagen een rechtszaak tegen het bedrijf zal worden aangespannen, dan zal de directeur waarschijnlijk de geïnfecteerde bijlage openen waarin de onbetaalde factuur zou moeten staan. En omdat het hoogste management in veel bedrijven volledige, dus beheerdersrechten heeft, kan de versleuteling beginnen. Een andere veelvoorkomende methode zijn bijvoorbeeld aanvallen via het RDP-protocol, waarbij de aanvaller met brute kracht toegang tot het externe bureaublad probeert te kraken. Als dit lukt, staat niets de uitvoering van ransomware in de weg.

10 + 1 regels voor een effectieve verdediging tegen ransomware

1) De meest voorkomende infectiemethode is via e-mail en een geïnfecteerde bijlage of link in een e-mail die naar geïnfecteerde inhoud leidt. Het minste wat u kunt doen, is strengere e-mailfiltering instellen.

2) Gebruikers vormen het grootste risico. Het is niet moeilijk om een onwetende gebruiker onder een voorwendsel een bijlage te laten openen. Zo'n bijlage kan bijvoorbeeld een vermeend onbetaalde factuur zijn die naar de facturatieafdeling wordt gestuurd, een vermeend cv dat naar de personeelsafdeling wordt gestuurd, een vermeende bestelling voor de verkoopafdeling of een vermeende bevestiging van pakketbezorging. Geef daarom geen beheerdersrechten aan gebruikers die deze niet behoren te hebben.

3) Instrueer gebruikers en train hen herhaaldelijk in veilig gedrag. Vooral gebruikers met uitgebreidere rechten.

4) Update. Een actueel systeem betekent meestal een gepatcht systeem met minder lekken (uiteraard niet altijd). In regelmatig bijgewerkte systemen is het risico altijd kleiner dat het systeem door ransomware wordt aangevallen en dat deze zich verder verspreidt.

5) Maak gebruik van actieve bescherming tegen ransomware, zoals antivirusprogramma's en beveiligingssoftware. Of gebruik actieve bescherming tegen ransomware, die aanwezig is in alle back-upoplossingen van Acronis. Het voordeel van actieve bescherming van Acronis is dat deze rechtstreeks gespecialiseerd is in ransomware. Actieve bescherming kan versleuteling en verspreiding van ransomware detecteren en stoppen, of op zijn minst de aangerichte schade beperken. De actieve bescherming van Acronis kan bovendien reeds versleutelde bestanden automatisch herstellen vanuit de cache van het bestandssysteem. Installeer op machines waarop u geen betaalde back-upoplossing van Acronis gebruikt ten minste de gratis actieve bescherming tegen ransomware – Acronis Ransomware Protection (De gratis actieve bescherming in Acronis Ransowmare Protection is uitsluitend bedoeld voor de besturingssystemen Windows 7, 8 en 10. De actieve bescherming in betaalde back-upoplossingen van Acronis beschermt ook serverbesturingssystemen en virtuele infrastructuur).

6) Gebruik passieve bescherming – door back-ups te maken. Geen enkele actieve bescherming garandeert een 100% verdediging tegen ransomware. Het is altijd een strijd tussen ontwikkelaars van actieve bescherming en makers van ransomware. Actieve bescherming vergroot dus alleen de kans om een aanval te weerstaan. Maak daarom back-ups en sla ze op een veilige plek op. In het ergste geval herstelt u gegevens en systemen vanuit de back-ups. Voorwaarde is dat de back-ups „veilig“ zijn opgeslagen; zie de volgende punten 7 en 8.

7) Bescherm back-ups. Als ransomware toegang krijgt tot de back-ups (slimmere ransomware probeert dit eerst), versleutelt deze ze eveneens zonder pardon. Als u een back-upoplossing van Acronis gebruikt, beschikt u bovendien over actieve bescherming tegen ransomware. Deze staat onder meer niet toe dat back-ups die met Acronis zijn gemaakt vanaf getroffen machines worden versleuteld (het zogeheten zelfverdedigingssysteem van Acronis).

8) Verberg back-ups. U hoeft back-ups niet actief te beschermen als ransomware ze niet kan bereiken. Sla back-ups daarom niet op in opslaglocaties waartoe iedereen toegang heeft. Het ergste wat u kunt doen, is back-ups onbeschermd direct naast gebruikersgegevens opslaan. U moet een ruimte voor back-ups reserveren en deze scheiden. Rechten moeten nauwkeurig worden bepaald. Als u back-ups maakt met software van Acronis, stel dan in dat alleen Acronis toegang heeft tot de betreffende opslag en dat beveiligde aanmeldgegevens met een wachtwoord vereist zijn. Gebruik dit wachtwoord en dus ook de back-upopslag niet voor andere doeleinden.

9) Sla kopieën van back-ups op een plek op waar ransomware ze niet kan beschadigen. De ideale plek is cloudopslag van Acronis – Acronis Cloud Storage. Waarom? Omdat de communicatie tussen clientapparaten en cloudopslag via een eigen mechanisme verloopt met verificatie, onder meer via geldige certificaten, en ransomware daardoor geen kans heeft om back-ups in de cloud te beschadigen of te versleutelen. Dit betekent dat zelfs als de organisatie op dat moment wordt aangevallen en een geïnfecteerde back-up naar de cloudopslag van Acronis wordt verzonden, de overige in de cloud opgeslagen back-ups in orde blijven. De laatste, geïnfecteerde back-up kan niet voor herstel worden gebruikt. Maar elke andere, eerder gemaakte back-up waarvan de inhoud nog niet versleuteld is, kan wel worden gebruikt.

Wanneer we dit vergelijken met gebruikelijke offsite-opslag van het type public cloud of private cloud, die toegankelijk is via algemeen gebruikte protocollen, dan is duidelijk dat het openen van een verbinding tijdens een aanval ook de back-ups in de secundaire opslag buiten de organisatie in gevaar brengt. Bovendien kan ransomware toegang krijgen tot deze opslaglocaties, net als tot lokale opslaglocaties. Ransomware kan dus ook back-ups versleutelen die aan de andere kant van de wereld zijn opgeslagen. Een dergelijke secundaire opslag beschermt de organisatie dan alleen tegen storingen van de primaire back-upopslag, maar helaas niet tegen ransomware.

10) Als u aan alle voorgaande punten voldoet, kunt u gerust slapen. U hebt dan namelijk 100% zekerheid dat u geen losgeld zult betalen. U weet zeker dat u uw gegevens niet verliest. U weet zeker dat u, zelfs als ransomware de helft van de organisatie versleutelt, de systemen uiteindelijk weer kunt laten werken (het kost natuurlijk tijd). Als dat voor u niet genoeg is, lees dan punt 11.

11) Punt voor fijnproevers – als u uitval veroorzaakt door ransomware of een andere oorzaak niet wilt tolereren (u garandeert een ononderbroken werking, beheert kritieke systemen, elk uur uitval veroorzaakt enorme verliezen), bekijk dan de combinatie van de zakelijke back-upoplossing Acronis Backup en Acronis Disaster Recovery. Dit systeem kan op het moment van een storing (bijvoorbeeld veroorzaakt door ransomware) kritieke machines starten in de cloud van Acronis en zo alle diensten overnemen die moeten blijven draaien. Nadat de productieomgeving opnieuw operationeel is, schakelt u vrijwel zonder onderbreking (reken op 1 – 2 minuten offline) de werking terug naar de productiemachines in de organisatie. Daarop worden op de achtergrond de actuele gegevens van tijdelijk draaiende cloudmachines geladen, waarna de omschakeling plaatsvindt.

Overzicht van Acronis-oplossingen voor bescherming tegen ransomware

Voor wie is de oplossing geschikt	Oplossingen geschikt voor huishoudens			Oplossingen geschikt voor organisaties
Naam van de oplossing	Acronis True Image Standard	Acronis True Image Advanced	Acronis True Image Premium	Acronis Backup	Acronis Backup + Acronis Cloud Storage	Acronis Backup + Acronis Disaster Recovery
Betaalde oplossing
Voor bescherming van computers, werkstations en laptops
Voor bescherming van servers, virtuele en cloudinfrastructuur
Bescherming tegen versleuteling van gegevens en verspreiding van ransomware
Maken en opslaan van back-ups in lokale en netwerkopslag
Bescherming tegen versleuteling van Acronis-back-ups
Verzenden van back-ups naar afzonderlijke cloudopslag van Acronis		250 GB	1 000 GB		Naar eigen keuze	Naar eigen keuze
Starten van een identieke kopie van een kritieke machine in de cloud
Overbrengen van een recente kopie van de machine terug naar de productieomgeving

Namen van oplossingen – bovenaan de tabel staan links (door te klikken gaat u naar de betreffende oplossing)

Hebt u concreet advies nodig?

•  Hebt u advies nodig over bescherming tegen ransomware?
•  Bent u benieuwd hoe dergelijke bescherming er bij u uit zou kunnen zien?
•  Wilt u met eigen ogen zien hoe wij systemen bij ons beschermen?

Aarzel niet om contact met ons op te nemen via +420 596 912 961, of schrijf een e-mail naar info@acronis.cz

Bron: https://www.acronis.cz/ochrana-proti-ransomwaru/