"To najbardziej niszczycielski rodzaj cyberataku". W tle rosyjski rząd. Eksperci ostrzegają przed ransomware

Jak dochodzi do infekcji ransomware?

Programy typu ransomware należą do złośliwego oprogramowania (malware). Nazwa pochodzi od angielskiego słowa "ransom", oznaczającego okup. Istnieją różne metody infekowania komputerów. Jedną z popularniejszych jest rozsyłanie złośliwego spamu, który wykorzystuje metody inżynierii społecznej do wzbudzenia zaufania. Oprogramowanie ransomware dostaje się na komputer poprzez zainfekowane zainfekowane załączniki (np. dokumenty PDF lub Word) lub linki do złośliwych stron.

Inną popularną metodą infekcji są złośliwe reklamy. Podczas przeglądania sieci — nawet zaufanych stron — użytkownicy mogą być przekierowywani na serwery przestępców nawet bez klikania reklam. Serwery te gromadzą szczegółowe informacje na temat komputerów ofiar i ich lokalizacji, a następnie wybierają typ złośliwego oprogramowania najlepiej dopasowany do ataku na konkretnego użytkownika.

Działanie złośliwych reklam opiera się często o zainfekowane ramki lub niewidoczne elementy stron internetowych. Ramka przekierowuje użytkownika na stronę przestępców, gdzie złośliwy kod atakuje system za pomocą tzw. exploit kitu. Co ważne, dzieje się to bez wiedzy użytkownika, dlatego metodę tę określa się często mianem ataku drive-by download (powodującego automatyczne pobranie niepożądanych plików).

– pisze portal MalwareBytes.

Niezależnie od tego, w jaki sposób szkodliwe oprogramowanie dostanie się na nasz komputer, jego cel jest jeden: zmuszenie nas, aby zapłacić okup.

Ransomware to złośliwe oprogramowanie wymuszające okup

Za pośrednictwem oprogramowania ransomware cyberprzestępcy żądają okupu. Czasem wprost, czasem podszywają się pod organy ścigania i twierdzą, że na komputerze znaleziono np. materiały pornograficzne i konieczne jest wtedy zapłacenie grzywny. Jednak spełnienie żądań hakerów nie gwarantuje odzyskania danych.

Coraz częściej cyberprzestępcy nie tylko szyfrują dane, ale także wykradają je, by następnie szantażować ofiarę, grożąc ich ujawnieniem lub poinformowaniem innych o ataku, np. partnerów biznesowych, instytucji współpracujących czy opinię publiczną w przypadku nie zapłacenia okupu

- ostrzega rząd.

Celem ataku może być każdy z użytkowników sieci – zarówno osoba indywidualna, podmioty publiczne jak i prywatna firma. Co więcej, w ostatnich latach infekowane są nie tylko komputery, ale także smartfony.

Jak wygląda atak ransomware? Trzy główne typy ransomware

Typ ataku ransomware można podzielić ze względu na rodzaj złośliwego oprogramowania. Najmniej groźne jest scareware, czyli oprogramowanie zastraszające. Może ono wyświetlać wyskakujące okno z informacją o infekcji złośliwego oprogramowania, której usunięcie wymaga uiszczenia stosownej opłaty. Jest ono uciążliwe, ale zazwyczaj omija nasze osobiste pliki.

Bardziej problematyczna jest blokada ekranu. Oprogramowanie ransomware w tym wypadku wyświetla pełnoekranowy komunikat, stylizowany na policyjny, a w nim - informację o naszym rzekomym przestępstwie (np. znalezione na komputerze treści pornograficzne ) i wezwanie do zapłacenia grzywny, czyli innymi słowy okupu.

Najgroźniejsze jest jednak oprogramowanie ransomware, które poprzez techniki szyfrujące blokuje dostęp do zapisanych danych, a następnie żąda od ofiary okupu. Przywrócenie stanu pierwotnego bez klucza deszyfrującego, będącego w posiadaniu cyberprzestępców jest praktycznie niemożliwe.

Odpowiada to sytuacji, gdy ktoś przyjdzie do twojego domu, zamknie twoje rzeczy w sejfie i nie poda ci kombinacji

– tłumaczył Oliver Friedrichs, były dyrektor do spraw bezpieczeństwa Symantec w rozmowie z Associated Press jeszcze w 2005 r. Ransomware to bowiem zjawisko, które istnieje od końca lat 80., ale w ostatnich latach stało się ogromnym zagrożeniem.

ENISA: Oprogramowanie ransomware to poważne zagrożenie

Według raportu Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) z października zeszłego roku, ataki typu ransomware należą do najpoważniejszych zagrożeń, na równi z atakami DDoS.

W pierwszej połowie 2023 r. nastąpił bezprecedensowy wzrost liczby incydentów związanych z oprogramowaniem ransomware i tendencja ta nie wykazuje oznak słabnięcia

- Czytamy w dokumencie "ENISA Threat Landscape".

Jego autorzy zwracają uwagę, że cybeprzestępcom chodzi przede wszystkim o pieniądze, ale mogą mieć też mniej oczywiste pobudki. Eksperci ds. spraw bezpieczeństwa wskazują, że działania destabilizujące - często sponsorowane przez konkretne państwa - są na drugim miejscu wśród motywacji hakerów.

Warto tu podać przykład rosyjskiego hakera Jewgienija Bogaczewa, który według Departamentu Sprawiedliwości USA stał za słynnym atakiem t CryptoLockera sprzed dekady. Złośliwe oprogramowanie pomogło cyberprzestępcom wyłudzić szacunkowo 3 miliony dolarów okupu.

Podczas gdy Bogaczow opróżniał konta bankowe, wygląda na to, że władze rosyjskie zaglądały mu przez ramię, przeszukując te same komputery w poszukiwaniu plików i e-maili. W efekcie łączyli operację wywiadowczą z dalekosiężnym planem cyberprzestępczym, oszczędzając sobie ciężkiej pracy polegającej na włamywaniu się do samych komputerów

- Pisał "New York Times" w 2017 r.

Według administracji Stanów Zjednoczonych Bogaczew był też zamieszany w działania rosyjskiego wywiadu podczas wyborów prezydenckich w USA w 2016 r. FBI oferuje 3 miliony dolarów za informacje, które doprowadzą do jego aresztowania.

Gen. Waldemar Skrzypczak: Rosjanie mają coraz więcej możliwości

– Cyberprzestępcy są wykorzystywani do destabilizacji na szeroką skalę – mówi w rozmowie z LexDigital gen. Waldemar Skrzypczak, były dowódca Wojsk Lądowych. Generał podkreśla, że podczas wojny w Ukrainie obie strony wykorzystują walkę w internecie. Hakerzy uderzają tam, gdzie polecają ich zleceniodawcy, przykładowo podczas operacji zaczepnych paraliżują system dowodzenia lub włamują się do systemu obrony powietrznej.

– Rosjanie mają coraz większe możliwości. Problemy z GPS, które zaobserwowano w Polsce Północnej i nad Bałtykiem moim zdaniem wynikają nie ze stosowania sygnału zakłócającego, a z włamania do systemów – diagnozuje wojskowy.

– Wojna w cyberprzestrzeni nasila się. Wciąż mamy do czynienia z atakami, nie ma przestrzeni, które by się od tego uchowały. W ostatnich miesiącach dochodzi do wycieków danych medycznych czy klientów banków. Nie jest to przypadek – zaznacza Waldemar Skrzypczak.

Jak uniknąć infekcji ransomware?

Eksperci ds. zabezpieczeń są zgodni: najlepszym sposobem ochrony przed oprogramowaniem ransomware jest przede wszystkim zapobieganie potencjalnym infekcjom. Co zrobić, aby nie paść ofiarą cyberprzestępców? Problemy zaczynają się zwykle od kliknięcia w podejrzane linki. Warto więc uważać, podróżując po stronach internetowych.

Szczególną uwagę powinieneś zwrócić na wiadomości e-mail. Portal Support Online pokazuje sposób działania cyberprzestępców

• wiadomość będzie próbowała wzbudzić Twoje emocje – chęć łatwego zarobku, współczucie, pomoc innym, bycie częścią społeczności, zagrożenie bezpieczeństwa („Wygrałeś!”, „Twoje konto zostało zablokowane!”, „odnów subskrypcje”, „xyz udostępnia dokument”);
• by zapewnić wiarygodność zwykle dotyczy znanych Ci usługodawców i użytkowników (firmy kurierskie, banki, sklepy, Google, Microsoft, Facebook itp.);
• by uśpić Twoją czujność, będzie ograniczona czasowo, np. „ostatni dzień promocji”, „jutro wygasa twoje konto” itp.;
• może dotyczyć praktycznie wszystkiego: przesyłki, niezapłaconych faktur, aktualizacji oprogramowania, wygaśnięcia licencji, wygranej w loterii, podwyżki pensji, spadku, pomocy potrzebującym;
• może zawierać błędy gramatyczne i pomyłki, np. złe daty, grafiki;
• trzeba traktować każdą wiadomość z podejrzliwością.

Co chroni przed ransomware? Wykonywanie kopii zapasowych wytrąci cyberprzestępcom broń z rąk

Poza ostrożnością w korzystaniu z internetu warto pamiętać szczególnie o wykonaniu kopii zapasowych. W ten sposób nie tracimy plików, na których nam zależy, i nie można nas zmusić do płacenia okupu. Koniecznie zachowaj co najmniej jedną kopię offline – np. na dysku USB.

Alternatywą są usługi chmurowe. Ta metoda wymaga najczęściej ustawienia opcji kopiowania do naszego katalogu w chmurze – takie opcje są dostępne w aplikacjach instalowanych fabrycznie w smartfonach. Innym sposobem jest zainstalowanie dedykowanej aplikacji, która automatycznie tworzy kopie zapasowe plików, np. od razu po ich utworzeniu. Jej dodatkową zaletą jest to, że w przypadku zainfekowania złośliwym oprogramowaniem, pozwala na przywrócenie danych do stanu sprzed zdarzenia.

Popularne usługi chmurowe pomagają odtworzyć dowolne dane i zmiany, co nie tylko pomaga przy odzyskiwaniu przypadkowo skasowanych plików, ale umożliwia ich odtworzenie w przypadku zaszyfrowania na skutek cyberataku.

Co jeszcze ochroni cię od zainstalowania oprogramowania ransomware? Przede wszystkim zainstaluj dobre oprogramowanie antywirusowe. Poza tym regularnie aktualizuj swoje urządzenie, bo część ataków typu ransomware korzysta z istniejących luk w oprogramowaniu. Pamiętaj też, aby ostrożnie korzystać z publicznych sieci Wi-Fi - zanim to zrobisz koniecznie przeczytaj artykuł: Korzystasz z internetu poza domem? Łącz się bezpiecznie!

Jeśli masz firmę, warto się upewnić, że pracownicy wiedzą, jak tworzyć silne hasła i zarządzać nimi w bezpieczny sposób.

Co po ataku ransomware? Najważniejsze kroki

W przypadku, gdy oprogramowanie szyfrujące dostanie się na komputer, może się wydawać, że nie ma innej opcji, niż zapłacenie okupu. Nie daje to jednak gwarancji, że odzyskamy pliki, a do tego nasze pieniądze zachęcą hakerów do kolejnych ataków. Nawet FBI radzi, aby pod żadnym pozorem nie spełniać żądań cyberprzestępców.

Oto kroki, które powinieneś wykonać w pierwszej kolejności:

1.    Odłącz urządzenie od internetu (zarówno sieci przewodowych i bezprzewodowych), ale nie wyłączaj zasilania, ponieważ pamięć urządzenia może zawierać informacje niezbędne do analizy rodzaju oprogramowania ransomware

2.    Zachowaj plik z notatką dot. zaszyfrowania i okupu (ransome note) oraz przykładowe zaszyfrowane pliki;

3.    Odwiedź portal NoMoreRansom.org (jest to polska strona wsparcia dla ofiar ataku ransomware). Możliwe, że zidentyfikujesz program typu ransomware, którego użyto, a następnie znajdziesz deskryptor, który pozwoli odwrócić szyfrowanie plików. Jeśli w danym momencie nie narzędzia, które jest w stanie Ci pomóc, sprawdź w przyszłości - może będzie już dostępne

4.    Zgłoś problem specjalistom. Jeśli nie znalazłeś pomocy na stronie NoMoreRansom.org, incydent możesz zgłosić do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT NASK: https://incydent.cert.pl/

W zgłoszeniu przekaż informacje o podjętych do tej pory krokach oraz inne informacje, o które zostaniesz poproszony w formularzu.

Tu dowiesz się więcej na temat oprogramowania ransomware. Specjalny poradnik

Poradnik CSIRT NASK ,,Ransomware” to 10 stron praktycznej wiedzy o atakach tego typu. Znajdziesz tam szczegółowe informacje na temat rozpowszechniania złośliwego oprogramowania, sposobu, w jaki szyfruje pliki, weryfikacji procedur wykonywania kopii zapasowej, roli, jaką w procesie odgrywa oprogramowanie zabezpieczające i wielu innych zagadnień dotyczących oprogramowania ransomware.

Zachęcamy do zapoznania się z całą publikacją, która dostępna jest tutaj.