Dacă respectați cu strictețe recomandările descrise în acest articol, nu veți plăti niciodată răscumpărarea, vă veți recupera întotdeauna datele și veți minimiza întreruperile la o durată pe care sunteți dispuși să o acceptați.
Câteva informații interesante
• În fiecare zi, în Republica Cehă sunt raportate 20 de infracțiuni legate de un atac cibernetic.
• În ultimii 3 ani, numărul atacurilor s-a dublat.
• În fiecare an, pentru un atac se plătește în medie cu 25% mai mult.
• Doar unele organizații se pregătesc din timp pentru un atac. Celelalte așteaptă.
• Întrebarea nu este dacă va veni un atac, ci când va veni.
Ce este ransomware-ul
Ransomware-ul este cod malițios (malware), creat pentru îmbogățirea atacatorului. Funcționează pe principiul șantajării utilizatorilor. Utilizatorii afectați sunt obligați să plătească pentru a-și putea accesa datele (a le decripta).
Cum funcționează ransomware-ul
Odată ce ransomware-ul se infiltrează într-un computer sau într-o rețea de calculatoare, criptează toate datele de pe discurile locale, discurile externe, spațiile de stocare în rețea, NAS și datele de pe alte mașini. Datorită protocoalelor vulnerabile (de obicei prin sisteme neactualizate), ransomware-ul poate ajunge și în locuri din rețea și pe dispozitive care sunt altfel foarte bine securizate și de regulă inaccesibile. Foarte perfid este și faptul că criptarea nu trebuie să înceapă imediat după infectare, ci poate începe mai târziu. După ce toate datele sunt criptate, atacatorul solicită răscumpărarea. De obicei, pe monitoarele mașinilor afectate apare solicitarea de a plăti o anumită sumă până la un anumit termen și începe numărătoarea inversă (de exemplu, plătiți 5 Bitcoin în 72 de ore într-un anumit cont Bitcoin). Dacă deveniți victima unui atac ransomware și pierdeți toate datele, sistemele și copiile de rezervă, nu vă rămâne decât să plătiți răscumpărarea. După plată, atacatorii ar trebui să trimită cheia de decriptare. După introducerea acesteia, datele dvs. ar trebui decriptate și readuse la forma inițială.
De ce există acum atât de mult ransomware și se vorbește despre el peste tot?
Simplu: pentru că funcționează și este o modalitate foarte ușoară de a câștiga bani în mod necinstit. În trecut, atacatorii ransomware de succes erau programatori foarte buni, cu un caracter suficient de corupt pentru a se îmbogăți astfel; astăzi este suficient doar caracterul corupt. Acest lucru se datorează faptului că ransomware-ul poate fi cumpărat sau chiar închiriat. Așadar, când aproape oricine poate fi un atacator de succes, numărul atacurilor crește în mod logic.
Trimit atacatorii chei de decriptare funcționale după plată?
Nu există un răspuns general. Experiențele clienților și partenerilor noștri sunt contradictorii. Unii au plătit chiar de mai multe ori și apoi au decriptat cu succes datele, însă alții nu au primit niciodată cheile. Depinde de la atac la atac. Sunt cunoscute chiar și cazuri de „ransomware nereușit”, în care criptarea a avut loc, dar conexiunea pentru plăți și comunicare nu a funcționat, astfel încât datele nu au putut fi decriptate.
Un sfat: încercați să contactați atacatorul în prealabil și cereți-i o dovadă că are într-adevăr control asupra datelor dvs. Cereți atacatorului să decripteze o parte din date sau să vă furnizeze o parte din datele afectate (de exemplu, câteva fișiere). Astfel veți afla dacă atacatorul poate fi contactat și dacă vă poate ajuta. Dacă se solicită o sumă mică, de exemplu 100–500 de dolari (de obicei într-un atac în masă asupra unui număr mare de utilizatori), atacatorul poate să nu răspundă, iar cheile de decriptare pot fi totuși trimise, deoarece procesul este automatizat. Dar dacă sunteți o organizație mare sau prosperă, vizată de un atac țintit, iar suma solicitată este de ordinul miilor de dolari, atacatorul va discuta probabil cu dvs. în propriul interes. Apoi nu rămâne decât să plătiți, să sperați, să decriptați, să învățați din experiență și să vă protejați împotriva următorului atac.
Poate ransomware-ul să ne atace și pe noi?
Da. Iar dacă nu s-a întâmplat încă, este foarte probabil să se întâmple curând. Una dintre tendințele actuale în domeniul ransomware-ului este vizarea utilizatorilor și organizațiilor locale. Acest lucru crește șansele de succes ale atacatorilor. Puțini oameni mai cad astăzi în capcana e-mailurilor scrise într-o engleză slabă, care îndeamnă la deschiderea unei anexe suspecte. Dar dacă directorul primește un e-mail de la o firmă de avocatură renumită (adresa de e-mail este, desigur, falsificată), scris într-o cehă juridică impecabilă, care spune că, din cauza unei facturi neachitate, în zilele următoare va fi depusă o acțiune în instanță împotriva firmei, este foarte probabil ca directorul să deschidă anexa infectată, care ar trebui să conțină factura neachitată. Iar deoarece în multe companii conducerea superioară are drepturi complete, adică de administrator, criptarea poate începe. O altă metodă frecventă este, de exemplu, atacul prin protocolul RDP, în care atacatorul încearcă să spargă prin forță brută accesul la desktopul la distanță. Dacă reușește, nimic nu mai împiedică lansarea ransomware-ului.
10 + 1 reguli pentru o apărare eficientă împotriva ransomware-ului
1) Cea mai frecventă metodă de infectare este prin e-mail și o anexă infectată sau un link din e-mail care conduce la conținut infectat. Cel mai puțin pe care îl puteți face este să configurați filtrarea mai strictă a e-mailurilor.
2) Cel mai mare risc îl reprezintă utilizatorii. Nu este greu să convingi un utilizator neinstruit să deschidă o anexă sub un anumit pretext. O astfel de anexă poate fi, de exemplu, o presupusă factură neplătită trimisă departamentului de facturare, un presupus CV trimis departamentului de resurse umane, o presupusă comandă trimisă departamentului comercial sau o presupusă confirmare de livrare a unui colet. Prin urmare, nu acordați drepturi de administrator utilizatorilor care nu ar trebui să le aibă.
3) Instruiți utilizatorii și organizați periodic cursuri despre comportamentul sigur. În special pentru utilizatorii care au drepturi mai mari.
4) Actualizați. Un sistem actualizat înseamnă de cele mai multe ori un sistem corectat și cu mai puține vulnerabilități (deși nu întotdeauna). În sistemele actualizate periodic există întotdeauna un risc mai mic ca sistemul să fie atacat de ransomware și ca acesta să se răspândească mai departe.
5) Utilizați protecție activă împotriva ransomware-ului, precum antivirusurile și software-ul de securitate. Sau utilizați protecția activă împotriva ransomware-ului, prezentă în toate soluțiile de backup Acronis. Avantajul protecției active Acronis este că este specializată direct pentru ransomware. Protecția activă poate detecta și opri criptarea și răspândirea ransomware-ului sau cel puțin poate reduce daunele produse. În plus, protecția activă Acronis poate restaura automat, din memoria cache a sistemului de fișiere, fișierele deja criptate. Pe mașinile pe care nu aveți o soluție de backup Acronis plătită, instalați cel puțin protecția activă gratuită împotriva ransomware-ului – Acronis Ransomware Protection (protecția activă gratuită inclusă în Acronis Ransowmare Protection este destinată doar sistemelor de operare Windows 7, 8, 10. Protecția activă din soluțiile de backup Acronis plătite protejează și sistemele de operare pentru servere și infrastructura virtuală).
6) Utilizați protecția pasivă – prin backup. Nicio protecție activă nu garantează o apărare 100% împotriva ransomware-ului. Este întotdeauna o luptă între dezvoltatorii protecției active și creatorii de ransomware. Prin urmare, protecția activă doar crește șansele de a rezista unui atac. Creați copii de rezervă și păstrați-le într-un loc sigur. În cel mai rău caz, veți restaura datele și sistemele din backup. Condiția este ca backupurile să fie păstrate „în siguranță”; consultați punctele 7 și 8 de mai jos.
7) Protejați backupurile. Dacă ransomware-ul ajunge la backupuri (ransomware-ul mai inteligent încearcă mai întâi acest lucru), le va cripta și pe acestea fără milă. Dacă utilizați soluția de backup Acronis, beneficiați suplimentar de protecție activă împotriva ransomware-ului. Aceasta, printre altele, nu permite criptarea de pe mașinile atacate a backupurilor create de Acronis (așa-numitul sistem Acronis self defense).
8) Ascundeți backupurile. Nu trebuie să protejați activ backupurile dacă ransomware-ul nu poate ajunge la ele. Prin urmare, nu stocați backupurile în spații de stocare la care are acces toată lumea. Cel mai rău lucru pe care îl puteți face este să păstrați liber backupurile chiar lângă datele utilizatorilor. Trebuie alocat și separat un spațiu pentru backupuri. Drepturile trebuie stabilite cu precizie. Dacă creați backupuri cu software-ul Acronis, configurați ca doar Acronis să aibă acces la spațiul de stocare respectiv și să fie necesare credențiale protejate prin parolă. Nu utilizați această parolă și, implicit, spațiul de stocare pentru backupuri, în niciun alt scop.
9) Stocați copii ale backupurilor într-un loc unde ransomware-ul nu le poate face rău. Locul ideal este spațiul de stocare cloud al Acronis – Acronis Cloud Storage. De ce? Deoarece comunicarea dintre dispozitivele client și spațiul de stocare cloud este realizată printr-un mecanism proprietar, cu autentificare inclusiv prin certificate valide, astfel încât ransomware-ul nu are nicio șansă să deterioreze sau să cripteze backupurile din Cloud. Aceasta înseamnă că, chiar dacă organizația este atacată și un backup infectat este trimis în spațiul de stocare cloud Acronis, celelalte backupuri stocate în cloud vor fi în regulă. Ultimul backup infectat nu va putea fi utilizat pentru restaurare. Dar va putea fi utilizat orice alt backup creat anterior, al cărui conținut nu este deja criptat.
În comparație cu spațiile offsite obișnuite de tip public cloud sau private cloud, accesibile prin protocoale utilizate în mod curent, este clar că deschiderea unei conexiuni în timpul unui atac pune în pericol și backupurile stocate într-un spațiu secundar din afara organizației. Ransomware-ul poate obține acces la aceste spații de stocare la fel ca la cele locale. Astfel, poate cripta inclusiv backupurile păstrate la celălalt capăt al lumii. Un astfel de spațiu secundar va proteja organizația doar împotriva defecțiunilor spațiului principal de backup, însă, din păcate, nu este suficient împotriva ransomware-ului.
10) Dacă îndepliniți toate punctele anterioare, puteți dormi liniștiți. Aveți certitudinea de 100% că nu veți plăti răscumpărarea. Aveți certitudinea că nu veți pierde datele. Aveți certitudinea că, și dacă ransomware-ul criptează jumătate din organizație, veți putea în cele din urmă să repuneți sistemele în funcțiune (desigur, va dura ceva timp). Dacă acest lucru nu vă este suficient, citiți punctul 11.
11) Punct pentru cunoscători – dacă nu sunteți dispuși să tolerați întreruperile cauzate de ransomware sau de o altă cauză (garantați funcționarea continuă, operați sisteme critice, fiecare oră de întrerupere vă generează pierderi uriașe), analizați combinația dintre soluția de backup pentru întreprinderi Acronis Backup și Acronis Disaster Recovery. Acest sistem poate porni, în momentul unei defecțiuni (cauzate, de exemplu, de ransomware), mașinile critice în cloud-ul Acronis și poate prelua astfel toate serviciile care trebuie să funcționeze. După repunerea în funcțiune a mediului de producție, veți comuta funcționarea aproape fără întrerupere (calculați 1–2 minute offline) înapoi pe mașinile de producție din organizație. Pe acestea vor fi încărcate în fundal datele actuale de pe mașinile cloud care au rulat temporar, după care se va face comutarea.
Prezentare generală a soluțiilor Acronis pentru protecția împotriva ransomware-ului
| Pentru cine este potrivită soluția | Soluții potrivite pentru gospodării | Soluții potrivite pentru organizații | ||||
| Numele soluției | Acronis True Image Standard | Acronis True Image Advanced | Acronis True Image Premium | Acronis Backup | Acronis Backup + Acronis Cloud Storage | Acronis Backup + Acronis Disaster Recovery |
| Soluție plătită |  | | | | | |
| Pentru protecția calculatoarelor, statiilor și laptopurilor | | | | | | |
| Pentru protecția serverelor, infrastructurii virtuale și cloud | | | | |||
| Protecție împotriva criptării datelor și răspândirii ransomware-ului | | | | | | |
| Crearea și stocarea backupurilor în spații de stocare locale și de rețea | | | | | | |
| Protecție împotriva criptării backupurilor Acronis | | | | | | |
| Trimiterea backupurilor în spațiul separat de stocare cloud Acronis | 250 GB | 1 000 GB | La alegere proprie | La alegere proprie | ||
| Pornirea unei copii identice a unei mașini critice în cloud | | |||||
| Transferarea unei copii actuale a mașinii înapoi în producție | | |||||
Denumirile soluțiilor – în partea de sus a tabelului se află linkuri (făcând clic ajungeți la soluția respectivă)
Aveți nevoie de un sfat concret?
• Aveți nevoie de sfaturi privind protecția împotriva ransomware-ului?
• Vă interesează cum ar putea arăta o astfel de protecție la dvs.?
• Doriți să vedeți cu ochii dvs. cum protejăm sistemele la noi?
Nu ezitați să ne contactați la numărul +420 596 912 961 sau scrieți la e-mailul info@acronis.cz
Autorul articolului: Redacția ZEBR.ai
