Ako se precizno pridržavate preporuka opisanih u ovom članku, nikada nećete plaćati otkupninu, uvek ćete dobiti svoje podatke nazad i minimizovaćete prekide rada na period koji ste spremni da prihvatite.
Nekoliko zanimljivosti
• Svakog dana se u Češkoj prijavi 20 krivičnih dela povezanih sa sajber napadom.
• U poslednje 3 godine broj napada se udvostručio.
• Svake godine se za napad u proseku plaća 25% više.
• Samo neke organizacije se unapred pripremaju za napad. Ostale čekaju.
• Pitanje nije da li će napad doći, već kada će doći.
Šta je ransomware
Ransomware je zlonamerni kod (malver), napravljen s ciljem sticanja koristi za napadača. Funkcioniše na principu ucene korisnika. Oštećeni korisnici su primorani da plate za ponovno omogućavanje pristupa (dešifrovanje sopstvenih podataka).
Kako ransomware funkcioniše
Čim se ransomware infiltrira u računar ili računarsku mrežu, šifruje sve podatke na lokalnim diskovima, eksternim diskovima, mrežnim skladištima, NAS-u, kao i podatke na ostalim uređajima. Zahvaljujući ranjivim protokolima (obično preko neažuriranih sistema), ransomware može dospeti i do mesta u mreži i uređaja koji su inače veoma dobro zaštićeni i obično nedostupni. Veoma podmuklo je i to što šifrovanje ne mora početi odmah nakon zaraze, već tek nakon određenog vremena. Kada su svi podaci šifrovani, napadač traži otkupninu. Obično se na monitorima oštećenih uređaja pojavi zahtev za uplatu određenog iznosa u određenom roku i pokrene se odbrojavanje (na primer, platite 5 Bitcoina u roku od 72 sata na određeni Bitcoin račun). Ako postanete žrtva ransomware napada i izgubite sve podatke, sisteme i rezervne kopije, ne preostaje vam ništa drugo nego da platite otkupninu. Nakon plaćanja otkupnine, napadači bi trebalo da pošalju ključ za dešifrovanje. Nakon njegovog unosa trebalo bi da se izvrši dešifrovanje vaših podataka, odnosno njihov povratak u prvobitno stanje.
Zašto sada ima toliko ransomwarea i zašto se o njemu svuda govori?
Jednostavno zato što funkcioniše i predstavlja veoma lak način da se nepošteno zaradi novac. Dok su ranije uspešni ransomware napadači bili veoma dobri programeri, dovoljno pokvareni da se na ovaj način obogate, danas je dovoljan samo pokvaren karakter. To je zato što se ransomware može kupiti ili čak iznajmiti. Kada skoro svako može postati uspešan napadač, broj napada logično raste.
Da li napadači nakon plaćanja zaista šalju funkcionalne ključeve za dešifrovanje?
Na to se ne može dati opšti odgovor. Iskustva naših kupaca i partnera su različita. Dok su neki platili čak i nekoliko puta i potom uspešno dešifrovali podatke, nekima ključevi nikada nisu stigli. Zavisi od napada do napada. Poznati su čak i slučajevi očigledno „neuspelog ransomwarea“, kada je šifrovanje izvršeno, ali veza za plaćanja i komunikaciju nije funkcionisala, pa nije došlo do dešifrovanja.
Jedan savet – pokušajte unapred da stupite u kontakt s napadačem i zatražite dokaz da zaista kontroliše vaše podatke. Zamolite napadača da dešifruje deo podataka ili vam dostavi neki deo oštećenih podataka (na primer nekoliko datoteka). Iz toga će se videti da li je moguće stupiti u kontakt s napadačem i da li vam uopšte može pomoći. Ako se traži mali iznos – na primer 100 do 500 dolara (obično masovni napad na veliki broj korisnika) – napadač se možda neće javiti, a ključevi za dešifrovanje ipak mogu biti poslati jer je proces automatizovan. Ali ako ste velika ili uspešna organizacija na koju je izvršen ciljani napad i traženi iznos iznosi hiljade dolara, napadač će verovatno imati interes da komunicira s vama. Tada je dovoljno platiti, nadati se, dešifrovati, izvući pouku i zaštititi se od sledećeg napada.
Može li ransomware napasti i nas?
Da. A ako se to još nije dogodilo, vrlo je verovatno da će se dogoditi veoma uskoro. Jedan od aktuelnih trendova u oblasti ransomwarea jeste ciljanje lokalnih korisnika i organizacija. To napadačima povećava šansu za uspeh. Na imejlove napisane lošim engleskim jezikom, koji pozivaju na otvaranje sumnjivog priloga, danas nasedne tek retko ko. Ali ako direktor dobije imejl od ugledne advokatske kancelarije (imejl adresa je, naravno, falsifikovana), napisan dobrim pravničkim češkim jezikom, u kojem se navodi da će zbog neplaćenog računa narednih dana protiv kompanije biti podneta tužba sudu, vrlo je verovatno da će direktor otvoriti zaraženi prilog u kojem bi trebalo da se nalazi neplaćeni račun. A pošto u mnogim kompanijama najviše rukovodstvo ima puna, odnosno administratorska prava, šifrovanje može početi. Druga česta metoda su, na primer, napadi preko RDP protokola, kada napadač grubom silom pokušava da probije pristup udaljenoj radnoj površini. Ako u tome uspe, ništa ne sprečava pokretanje ransomwarea.
10 + 1 pravila za efikasnu odbranu od ransomwarea
1) Najčešći način zaraze je putem imejla i inficiranog priloga ili veze u imejlu koja vodi do zaraženog sadržaja. Najmanje što možete učiniti jeste da podesite strože filtriranje pošte.
2) Najveći rizik predstavljaju korisnici. Nije teško ubediti neobučenog korisnika da pod nekim izgovorom otvori prilog. Takav prilog može biti, na primer, navodno neplaćeni račun poslat odeljenju za fakturisanje, navodni CV poslat kadrovskom odeljenju, navodna porudžbina poslata prodajnom odeljenju ili navodna potvrda o isporuci pošiljke. Zato ne dodeljujte administratorska prava korisnicima koji ih ne bi trebalo da imaju.
3) Obučite korisnike i redovno ih edukujte o bezbednom ponašanju. Posebno korisnike kojima su dodeljena veća prava.
4) Ažurirajte. Aktuelan sistem obično znači zakrpljen i manje ranjiv sistem (iako ne uvek). U redovno ažuriranim sistemima rizik da ransomware napadne sistem i dalje se širi uvek je manji.
5) Koristite aktivnu zaštitu od ransomwarea, kao što su antivirusi i bezbednosni softver. Ili koristite aktivnu zaštitu od ransomwarea, koja je prisutna u svim Acronis rešenjima za izradu rezervnih kopija. Prednost aktivne zaštite Acronis je što je specijalizovana direktno za ransomware. Aktivna zaštita može otkriti i zaustaviti šifrovanje i širenje ransomwarea ili barem ublažiti pričinjenu štetu. Aktivna zaštita Acronis takođe može automatski, iz keša datotečnog sistema, obnoviti već šifrovane datoteke. Na uređajima na kojima nemate plaćeno Acronis rešenje za izradu rezervnih kopija, instalirajte barem besplatnu aktivnu zaštitu od ransomwarea – Acronis Ransomware Protection (Besplatna aktivna zaštita sadržana u Acronis Ransowmare Protection namenjena je samo operativnim sistemima Windows 7, 8, 10. Aktivna zaštita u plaćenim Acronis rešenjima za izradu rezervnih kopija štiti i serverske operativne sisteme i virtuelnu infrastrukturu).
6) Koristite pasivnu zaštitu – izradu rezervnih kopija. Nijedna aktivna zaštita ne garantuje 100% odbranu od ransomwarea. To je stalna borba između programera aktivne zaštite i autora ransomwarea. Aktivna zaštita samo povećava šansu za otpornost na napad. Zato pravite rezervne kopije i čuvajte ih na bezbednom mestu. Ako bude najgore, podatke i sisteme ćete obnoviti iz rezervnih kopija. Uslov je da rezervne kopije budu sačuvane „bezbedno“, pogledajte sledeće tačke 7 i 8.
7) Zaštitite rezervne kopije. Ako ransomware dođe do rezervnih kopija (pametniji ransomware to pokušava prvo), bez milosti će i njih šifrovati. Ako koristite Acronis rešenje za izradu rezervnih kopija, na raspolaganju vam je i aktivna zaštita od ransomwarea. Ona, između ostalog, ne dozvoljava da se sa napadnutih uređaja šifruju rezervne kopije koje je napravio Acronis (tzv. Acronis self defense sistem).
8) Sakrijte rezervne kopije. Ne morate aktivno štititi rezervne kopije ako ransomware ne može do njih da dođe. Zato rezervne kopije ne čuvajte u skladištima kojima svi imaju pristup. Najgore što možete učiniti jeste da rezervne kopije slobodno čuvate odmah pored podataka korisnika. Potrebno je izdvojiti i odvojiti prostor za rezervne kopije. Potrebno je precizno definisati prava pristupa. Ako rezervne kopije pravite pomoću Acronis softvera, podesite da tom skladištu ima pristup samo Acronis i da su potrebni akreditivi zaštićeni lozinkom. Tu lozinku, a samim tim i skladište rezervnih kopija, ne koristite ni u koje druge svrhe.
9) Kopije rezervnih kopija čuvajte na mestu gde im ransomware ne može nauditi. Idealno mesto je cloud skladište kompanije Acronis – Acronis Cloud Storage. Zašto? Zato što se komunikacija između klijentskih uređaja i cloud skladišta ostvaruje vlasničkim mehanizmom uz autentifikaciju, između ostalog preko važećih sertifikata, tako da nema šanse da ransomware ošteti ili šifruje rezervne kopije u Cloudu. To znači da čak i ako je organizacija trenutno pod napadom i u Acronis cloud skladište bude poslata zaražena rezervna kopija, ostale rezervne kopije sačuvane u cloudu biće u redu. Poslednja, zaražena rezervna kopija neće moći da se koristi za oporavak. Ali će biti moguće koristiti bilo koju drugu, ranije napravljenu rezervnu kopiju čiji sadržaj još nije šifrovan.
Kada to uporedimo sa uobičajenim udaljenim skladištima tipa public cloud ili private cloud, dostupnim preko standardno korišćenih protokola, jasno je da će otvaranje veze tokom napada ugroziti i one rezervne kopije koje su sačuvane u sekundarnom skladištu izvan organizacije. Osim toga, ransomware može dobiti pristup tim skladištima, slično kao i lokalnim skladištima. Ransomware tako može šifrovati čak i rezervne kopije koje čuvate na drugom kraju sveta. Takvo sekundarno skladište tada štiti organizaciju samo od havarija primarnog skladišta rezervnih kopija, ali nažalost nije dovoljno protiv ransomwarea.
10) Ako ispunite sve prethodne tačke, možete mirno spavati. Imate 100% sigurnost da nećete plaćati otkupninu. Sigurni ste da nećete izgubiti podatke. Sigurni ste da ćete, čak i ako ransomware šifruje polovinu organizacije, na kraju moći ponovo da osposobite sisteme (naravno, to će potrajati). Ako vam to nije dovoljno, pročitajte tačku 11.
11) Tačka za znalce – ako niste spremni da tolerišete prekide rada uzrokovane ransomwareom ili drugim uzrokom (garantujete neprekidan rad, upravljate kritičnim sistemima, svaki sat prekida vam stvara ogromne gubitke), pogledajte kombinaciju poslovnog rešenja za izradu rezervnih kopija Acronis Backup i Acronis Disaster Recovery. Ovaj sistem može u trenutku havarije (uzrokovane, na primer, ransomwareom) pokrenuti kritične uređaje u Acronis cloudu i tako preuzeti sve usluge koje je potrebno održavati. Nakon ponovnog osposobljavanja produkcionog okruženja, rad možete gotovo bez prekida (računajte na 1–2 minuta van mreže) prebaciti nazad na produkcione uređaje u organizaciji. Na njih će se u pozadini učitati aktuelni podaci sa privremeno pokrenutih cloud uređaja, nakon čega sledi prebacivanje.
Pregled Acronis rešenja za zaštitu od ransomwarea
| Za koga je rešenje pogodno | Rešenja pogodna za domaćinstva | Rešenja pogodna za organizacije | ||||
| Naziv rešenja | Acronis True Image Standard |
Acronis True Image Advanced |
Acronis True Image Premium |
Acronis Backup |
Acronis Backup + Acronis Cloud Storage |
Acronis Backup + Acronis Disaster Recovery |
| Plaćeno rešenje |  | | | | | |
| Za zaštitu računara, radnih stanica i laptopova | | | | | | |
| Za zaštitu servera, virtuelne i cloud infrastrukture | | | | |||
| Zaštita od šifrovanja podataka i širenja ransomwarea | | | | | | |
| Izrada i čuvanje rezervnih kopija u lokalnim i mrežnim skladištima | | | | | | |
| Zaštita od šifrovanja Acronis rezervnih kopija | | | | | | |
| Slanje rezervnih kopija u odvojeno Acronis cloud skladište | 250 GB | 1 000 GB | Po sopstvenom izboru | Po sopstvenom izboru | ||
| Pokretanje identične kopije kritičnog uređaja u cloudu | | |||||
| Prenos aktuelne kopije uređaja nazad u produkciju | | |||||
Nazivi rešenja – u gornjem delu tabele nalaze se veze (klikom prelazite na dato rešenje)
Potrebna vam je konkretna konsultacija?
• Potreban vam je savet o zaštiti od ransomwarea?
• Zanima vas kako bi takva zaštita mogla izgledati kod vas?
• Želite li svojim očima da vidite kako štitimo sisteme kod nas?
Slobodno nas kontaktirajte na broj +420 596 912 961 ili pišite na imejl info@acronis.cz
Autor članka: Redakcija ZEBR.ai
