Egregor je agresivni soj ransomwarea koji cilja velike organizacije. Izuzetno je aktivan od svog otkrića u rujnu 2020. godine i zahvatio je stotine žrtava u više industrija.
Možete li biti sigurni da vaše računalo ne sadrži virus? Dizajn mnogih zlonamjernih programa je izbjegavanje otkrivanja čak i najboljeg antivirusnog softvera.
Ako se ne pripremite, pripremate se za neuspjeh
U slučaju ransomware napada, učinkovit plan odgovora može značiti razliku između panike i odlučne akcije. To može značiti razliku između infekcije u cijeloj tvrtki i zatvorenog incidenta; razlika između brze sanacije i trajnog zatvaranja poduzeća.
U ovom ćemo vodiču detaljno razgovarati o tome kako bi tvrtke trebale reagirati na ransomware napade i istražiti preventivne mjere koje mogu pomoći u smanjenju rizika od zaraze.
Ako preventivne mjere ne uspiju, organizacije bi trebale poduzeti sljedeće korake odmah nakon utvrđivanja zaraze ransomwareom.
1. Izolirajte pogođene sustave
Izolaciju treba smatrati glavnim prioritetom. Velika većina ransomwarea skenirat će ciljanu mrežu, šifrirati datoteke pohranjene na mrežnim dijelovima i pokušati se proširiti na druge sustave. Da bi se spriječila zaraza i spriječilo širenje ransomwarea, zaraženi sustavi moraju se ukloniti s mreže što je prije moguće.
2. Osigurajte sigurnosne kopije
Iako sigurnosne kopije igraju presudnu ulogu u sanaciji, važno je zapamtiti da nisu imune na ransomware. Kako bi osujetili napore na oporavku, mnogi moderni sojevi ransomwarea posebno će ciljati sigurnosne kopije tvrtke i pokušati ih šifrirati, poništiti ili izbrisati.
U slučaju incidenta s ransomwareom, organizacije moraju osigurati svoje sigurnosne kopije isključivanjem sigurnosne kopije s mreže ili zaključavanjem pristupa sigurnosnim kopijama dok se infekcija ne riješi.
Pogledajte ovaj vodič za više informacija o tome kako stvoriti i održavati sigurnosne kopije otporne na ransomware .
3. Onemogućite zadatke održavanja
Organizacije bi trebale odmah onemogućiti automatizirane zadatke održavanja, poput privremenog uklanjanja datoteka i rotacije logova na pogođenim sustavima, jer ti zadaci mogu ometati datoteke koje mogu biti korisne istražiteljima i forenzičkim timovima.
Na primjer, zapisnici logova mogu sadržavati vrijedne tragove u vezi s početnom točkom zaraze, dok neke loše programirane inačice ransomwarea mogu pohraniti važne informacije (poput ključeva za šifriranje) u privremene datoteke.
4. Stvorite sigurnosne kopije zaraženih sustava
Organizacije bi trebale stvoriti sigurnosne kopije ili slike zaraženih sustava nakon što ih izoliraju od mreže. Dva su glavna razloga za to:
Spriječite gubitak podataka
Neki dešifrivači ransomware sadrže bugove koji mogu oštetiti podatke. Na primjer, poznato je da dešifriratelj ransomware obitelji poznat kao Ryuk skraćuje datoteke , učinkovito odsijecajući jedan bajt svake datoteke tijekom postupka dešifriranja. Iako ovo nije uzrokovalo velike probleme kod nekih formata datoteka, druge vrste datoteka - poput formata datoteka virtualnog tvrdog diska kao što su VHD / VHDX kao i puno datoteka baze podataka Oracle i MySQL - pohranjuju važne informacije u zadnji bajt i nalazile su se u rizik od oštećenja nakon dešifriranja.
Sigurnosna kopija zaraženih sustava osigurava integritet podataka. Ako nešto pođe po zlu tijekom postupka dešifriranja, žrtve mogu vratiti svoje sustave i pokušati ponoviti dešifriranje ili se obratiti stručnjaku za oporavak ransomwarea radi pouzdanog, prilagođenog rješenja za dešifriranje.
U budućnosti će biti moguće besplatno dešifriranje
Ako šifrirani podaci nisu presudni za poslovanje organizacije i ne treba ih hitno oporaviti, treba ih sigurnosno kopirati i sigurno pohraniti jer postoji mogućnost da se u budućnosti mogu dešifrirati.
Bilo je slučajeva kada su agencije za provođenje zakona uhvatile autore ransomwarea i pronađene C&C poslužitelje, što je rezultiralo oslobađanjem ključeva za dešifriranje i omogućilo žrtvama da besplatno obnove svoje podatke. Pored toga, brojne ransomware grupe - uključujući Shade, TeslaCrypt i CrySis, između ostalih - dragovoljno su pustile ključeve za dešifriranje nakon isključivanja svojih operacija.
5. Zlonamjerni softver stavite u karantenu
Žrtve nikada ne bi smjele izravno uklanjati, brisati, preoblikovati ili preoblikovati zaražene sustave, osim ako to specijalno ne naloži stručnjak za oporavak ransomware-a. Umjesto toga, zlonamjerni softver treba staviti u karantenu, što istražiteljima omogućuje analizu infekcije i utvrđivanje točnog soja ransomwarea odgovornog za šifriranje datoteka. Uklanjanjem cjelokupne infekcije timovima za oporavak izuzetno je teško pronaći određeni uzorak ransomwarea koji je uključen u napad.
Ako se zlonamjerni softver i dalje izvodi, prije karantene treba napraviti Memory Dump kako bi se stvorio cjelovit zapis o svim zlonamjerenim procesima koji se izvode. Memory Dump može sadržavati ključni materijal korišten za šifriranje datoteka, koji se potencijalno može izdvojiti i koristiti za pomoć žrtvama u dešifriranju datoteka bez plaćanja otkupnine.
6. Identificirajte i istražite nultog pacijenta
Identificiranje nultog pacijenta (tj. Izvora zaraze) ključno je za razumijevanje kako su napadači stekli pristup sustavu, koje su druge radnje poduzeli dok su bili na mreži i opseg zaraze. Otkrivanje izvora zaraze korisno je ne samo za rješavanje trenutnog incidenta, već također može pomoći organizacijama u rješavanju ranjivosti i smanjenju rizika od budućih kompromisa.
Može biti izazov identificirati izvornu točku kompromisa jer će u mnogim slučajevima akteri prijetnje biti u sustavu tjednima ili čak mjesecima prije postavljanja korisnog tereta za ransomware. Tvrtke kojima nedostaju resursi ili stručnost za obavljanje temeljite digitalne forenzike trebale bi razmotriti mogućnost registracije za usluge profesionalne forenzičke tvrtke.
7. Prepoznajte soj ransomware-a
Organizacije mogu koristiti besplatne usluge poput Emsisoftovog mrežnog alata za identifikaciju ransomware-a ili ID Ransomware-a kako bi utvrdile na koji soj ransomware-a je utjecao.
Ovi alati omogućuju korisnicima prijenos napomene o otkupnini, uzorak šifrirane datoteke i kontaktne podatke napadača te analizu podataka kako bi se utvrdilo koji je soj ransomwarea utjecao na korisnikove datoteke. Također usmjerava korisnika na besplatni alat za dešifriranje ako je dostupan.
8. Odlučite hoćete li platiti otkupninu
Ako su sigurnosne kopije oštećene i ako nema dostupnog besplatnog alata za dešifriranje, organizacije će možda doći u iskušenje da plate otkupninu kako bi oporavile svoje datoteke.
Iako plaćanje otkupnine može pomoći u smanjenju smetnji i može biti jeftinije od ukupnih troškova zastoja, to nije odluka koju treba uzeti olako. Organizacije bi trebale razmisliti o plaćanju otkupnine samo ako su sve ostale mogućnosti iscrpljene, a gubitak podataka vjerojatno će dovesti do toga da tvrtka prestane poslovati.
Treba uzeti u obzir sljedeće čimbenike:
Nepravilno postupanje s incidentom ransomwareom može spriječiti napore oporavka, ugroziti podatke i rezultirati nepotrebnim plaćanjem otkupnina žrtvama. Nakon napada na ransomware, organizacije bi trebale izbjegavati sljedeće pogreške:
1. NEMOJTE ponovo pokretati pogođene uređaje
Organizacije bi trebale izbjegavati ponovno pokretanje uređaja na koje je utjecao ransomware. Mnogi sojevi ransomwarea otkrivat će pokušaje ponovnog pokretanja i kažnjavanja žrtava oštećivanjem instalacije sustava Windows tako da se sustav više nikada neće pokrenuti, dok će drugi možda početi nasumično brisati šifrirane datoteke. Zloglasni Jigsaw ransomware, koji je bio plodan 2016. godine, nasumično je izbrisao 1.000 šifriranih datoteka svaki put kad bi se zaraženi uređaj ponovno pokrenuo.
Ponovno pokretanje sustava također može omesti napore forenzičara. Ponovnim podizanjem sustava briše se memorija uređaja koja, kao što je ranije spomenuto, može sadržavati tragove koji mogu biti korisni istražiteljima. Umjesto toga, pogođeni sustavi trebaju se staviti u stanje hibernacije, što zapisuje sve podatke u memoriju u referentnu datoteku na tvrdom disku uređaja, koja se zatim može koristiti za buduću analizu.
2. NEMOJTE spajati vanjske uređaje za pohranu na zaražene sustave
Mnoge obitelji ransomware namjerno ciljaju uređaje za pohranu i sigurnosne kopije. Kao takvi, vanjski uređaji za pohranu i sigurnosni sustavi ne smiju biti povezani (fizički ili putem mrežnog pristupa) sa zaraženim sustavima sve dok organizacije ne budu potpuno sigurne da je zaraza uklonjena.
Nije uvijek očito da je pokrenut ransomware. Nažalost, bilo je mnogo slučajeva kada su tvrtke započele postupak oporavka, a da nisu shvatile da je ransomware još uvijek prisutan u njihovom sustavu, što je rezultiralo ransomwareom koji šifrira svoje sigurnosne kopije i uređaje za pohranu.
3. NEMOJTE odmah platiti otkupninu
Iako izgledi za zastoj i potencijalni gubitak reputacije mogu biti zastrašujući, organizacije ne bi trebale odmah platiti otkupninu. Uvijek postoje druge mogućnosti, a njih treba istražiti u cijelosti prije nego što se pribjegne plaćanju otkupnine.
4. NE komunicirajte na ugroženoj mreži
Tijekom oporavka, žrtve bi trebale pretpostaviti da napadači još uvijek imaju pristup ugroženoj mreži i stoga mogu presresti bilo koju komunikaciju koja se šalje i prima putem mreže. Organizacije bi trebale uspostaviti sigurne komunikacijske kanale izvan opsega i zabraniti korisnicima komuniciranje na ugroženoj mreži sve dok sanacija ne završi i mreža se ne ukloni od uljeza.
5. NE brišite datoteke
Datoteke se ne smiju brisati iz šifriranih sustava, osim ako to nije savjetovao stručnjak za oporavak ransomware-a. Ne samo da su šifrirane datoteke korisne za forenziku, već neke obitelji ransomwarea pohranjuju ključeve za šifriranje u šifrirane datoteke - ako se datoteke izbrišu, dešifrivač neće raditi.
Slično tome, bilješke o otkupnini ne smiju se brisati. Neke obitelji otkupljivača, poput DoppelPaymer i BitPaymer, stvaraju bilješku o otkupnini za svaku datoteku koju šifriraju, a koja sadrži kodirani i šifrirani ključ potreban za dešifriranje. Ako se napomena o otkupnini izbriše, odgovarajuća datoteka se ne može dešifrirati.
6. NE vjerujte autorima ransomwarea
Iako se sve više trude usvojiti fasadu profesionalizma, autori ransomwarea kriminalci su koji nisu obvezni pridržavati se bilo kakvih sporazuma ili se pridržavati bilo kojeg etičkog kodeksa. Organizacije ne bi trebale vjerovati nikakvim informacijama koje pružaju grupe otkupljivača, uključujući podatke u napomeni o otkupnini (poput soja ransomware-a), niti vjerovati da će plaćanje otkupnine dovesti do oporavka šifriranih podataka.
Pouzdane usluge poput Emsisoftovog internetskog alata za identifikaciju ransomwarea i ID Ransomware uvijek se trebaju koristiti za identifikaciju sojeva. Žrtve trebaju imati na umu da napadači ne smiju pružiti dekriptor nakon plaćanja i da alati za dešifriranje koje pruža napadač mogu biti neispravni i / ili potencijalno oštetiti šifrirane podatke.
Proaktivni pristup sigurnosti može pomoći smanjiti rizik od ransomware incidenta. Tvrtke svih veličina trebale bi provoditi, provoditi i redovito testirati sljedeće preventivne mjere:
Postupke reagiranja na incidente treba redovito testirati kako bi se osiguralo da su zaposlenici upoznati sa sigurnosnim postupcima i razumiju točno što treba učiniti u slučaju infekcije. Testiranje također pomaže tvrtkama da identificiraju i isprave nedostatke u lancu odgovora. Najgore vrijeme za tvrtku da pokuša razraditi što učiniti u ransomware napadu je tijekom pravog ransomware napada. Pogledajte ovo upozorenje FBI-a za više informacija o otkrivanju i uklanjanju zlonamjernih aktivnosti.
Proaktivni pristup prevenciji ransomware programa može pomoći tvrtkama da značajno smanje rizik od zaraze. U slučaju incidenta, organizacije moraju imati uspostavljene učinkovite postupke reagiranja kako bi se incident spriječio, spriječio gubitak podataka i sigurno pokrenuo postupak oporavka.
Prakse opisane u ovom članku mogu pomoći tvrtkama svih veličina da ublaže utjecaj ransomware napada. Ipak, imajte na umu da bi se ovi postupci trebali smatrati općim i neobuhvatnim savjetom. Sigurnosni zahtjevi mogu se značajno razlikovati, a sigurnosni sustavi uvijek bi trebali biti prilagođeni industriji, regulatornim zahtjevima i jedinstvenim sigurnosnim potrebama tvrtke.
Je li vas antivirus iznevjerio? Mi nećemo. Preuzmite besplatnu probnu inačicu Emsisoft Anti-Malware i uvjerite se sami.
Naši programeri trenutno rade na nekim većim značajkama koje će uskoro biti objavljene. U međuvremenu je naš softver podvrgnut redovnom održavanju i dobio je manja poboljšanja.
Manja poboljšanja upotrebljivosti na skeneru
Zaštita uređaja (radna površina)
Upravljačka konzola (web aplikacija)
Kako dobiti novu verziju
Kao i uvijek, sve dok u softveru omogućite automatsko ažuriranje, najnoviju verziju automatski ćete primati tijekom redovito planiranih ažuriranja koja su prema zadanim postavkama satna.
Napomena za korporativne korisnike: Ako ste odlučili primati ažuriranja s odgodom u postavkama ažuriranja za svoje klijente, oni će novu verziju softvera primiti najranije 30 dana nakon redovite dostupnosti „Stabilno“. To vam daje vrijeme za obavljanje internih testova kompatibilnosti prije nego što se nova verzija automatski uvede na vaše klijente.
Ugodan i dobro zaštićen dan!
Izrada sigurnosnih kopija bitan je dio bilo kojeg plana za oporavak od katastrofe ransomwarea . U slučaju da je organizacija pogođena ransomware-om, ona jednostavno može upotrijebiti sigurnosne kopije za oporavak sustava bez plaćanja centa lošim momcima.
Postoji samo jedan problem: sigurnosne kopije nisu imune na ransomware. Sve više napredni ransomware sojevi sadrže mehanizme koji su dizajnirani za traženje i šifriranje sigurnosnih kopija koje se pohranjuju i lokalno i u oblaku. A ako se tvrtke sigurnosne kopije kriptiraju, možda neće imati drugog izbora nego platiti otkupninu .
U ovom ćemo vam članku pokazati kako ransomware može utjecati na stvaranje sigurnosnih kopija tvrtke i što možete učiniti kako bi sigurnosne kopije bile sigurne.
Postoji mnogo načina na koje ransomware može zaraziti sustav, uključujući privitke e-pošte, zlonamjerne veze, preuzimanja putem uređaja, RDP napade, MSP alate i drugi softver treće strane. Nakon što zarazi krajnju točku, potencijalno se može proširiti na sve sigurnosne kopije koje se održavaju na uređajima dostupnim za pisanje putem standardnih protokola, poput NAS uređaja, lokalno instaliranih usluga u oblaku i uređaja povezanih USB-om.
Nekoliko je načina na koji to možete učiniti:
Mnogi vlasnici malih poduzeća razumiju vrijednost sigurnosnih kopija, ali možda nemaju resurse ili stručnost za stvaranje i održavanje cjelovite strategije kontinuiteta. Umjesto toga, oni mogu uzeti ad-hoc pristup, koji može uključivati ručno kopiranje kritičnih datoteka na vanjski tvrdi disk ili automatiziranje redovitih sigurnosnih kopija na mrežnom datotečnom poslužitelju.
Lokalne sigurnosne kopije važne su, ali nisu učinkovito rješenje ako se koriste same. Mnoge ransomware verzije mogu se bočno širiti na druga računala na mreži i preslikati mrežne pogone. Ako se sustav zarazi, postoji velika vjerojatnost da će se ransomware širiti po mreži i šifrirati pogon koji sadrži sigurnosne kopije organizacije.
Spremanje u oblaku prikladan je način pohrane datoteka, ali nije učinkovit način održavanja sigurnosnih kopija - posebno kada je u pitanju ransomware.
Mnoge usluge pohrane u oblaku kao što su Dropbox, OneDrive i Google Drive automatski sinkroniziraju lokalne datoteke s datotekama pohranjenim u oblaku. Ako se vaše poslovanje nađe na udaru zbog ransomwarea i datoteke na vašoj mreži su šifrirane, datoteke će se također kriptirati u oblaku.
Neki pružatelji usluga pohrane u oblaku nude inačicu datoteka, što znači da zadržava više verzija datoteka. Ako su datoteke vaše tvrtke šifrirane, datoteke možete jednostavno vratiti u prethodnu, nešifriranu verziju. No ovu značajku ne podržavaju svi davatelji podataka u oblaku i ona možda neće biti omogućena prema zadanim postavkama.
Vraćanje sustava, ugrađeni alat za oporavak sustava Windows omogućuje administratoru da preusmjeri nedavne promjene u operativni sustav i može biti koristan za vraćanje upravljačkih programa i sistemskih datoteka na prethodne verzije. Nažalost, vraćanje sustava ne sprema kopije osobnih datoteka, uključujući dokumente, fotografije i videozapise, što znači da se ne može upotrijebiti za poništavanje šifriranja.
Čak i ako bi Vraćanje sustava moglo pomoći u obnavljanju osobnih datoteka, mnogi ransomware programi - uključujući WannaCry, Cryptolocker i Locky - dizajnirani su da namjerno njuškaju i brišu kopije sjena volumena (snimke koje System Restore koristi za oporavak) koristeći naredbe naredbenog retka.
Višeslojni pristup je najbolji način zaštite sigurnosnih kopija od ransomwarea.
Lokalne sigurnosne kopije su brze, učinkovite i mogu im se lako pristupiti kad god je to potrebno. Međutim, kao što je već spomenuto, lokalne sigurnosne kopije ranjive su za ransomware, koji se potencijalno može širiti mrežom.
Iako su rješenja za pohranu van mjesta uglavnom sporija i manje zgodna, izolirana su od mreže poduzeća te se stoga smatraju pouzdanijima. Upotreba mješavine lokalnih i vanjskih sigurnosnih kopija pruža najbolje od oba svijeta.
Imajući to u vidu, najlakši način za sigurnosno kopiranje zaštićen je softverom je primjena pravila 3-2-1 koja propisuje da poduzeće treba:
Ne zaboravite da uvijek koristite jedinstvene prijave i lozinke za sve sigurnosne kopije (i sve ostalo po tom pitanju!).
Što više sigurnosnih kopija ima tvrtka, to je manji rizik od gubitka podataka. Tvrtke bi trebale nastojati održavati najmanje tri kopije podataka. Ako se jedna kopija izgubi zbog otkupne opreme, krađe, tehničke pogreške ili prirodne katastrofe, poslovni čelnici mogu biti sigurni da će se na nju vratiti i druge kopije.
Svi uređaji prestaju prije ili kasnije. Diverzificiranje medija za pohranu umanjuje rizik istodobno neuspjeh sigurnosnih kopija. Pri lokalnom pohranjivanju sigurnosnih kopija koristite barem dvije različite vrste medija za pohranu, poput lokalnog pogona, poslužitelja datoteka, NAS uređaja ili pogona vrpce.
Da bi se osigurala maksimalna zaštita, najmanje jedna kopija sigurnosnih kopija trebala bi biti u potpunosti izolirana od mreže i po mogućnosti pohranjena izvan mreže, gdje će biti sigurno od ransomwarea.
Postoji nekoliko različitih opcija za pohranjivanje sigurnosnih kopija tvrtke u izvan. Sustavi izrade sigurnosnih kopija mogu se činiti pomalo zastarjelim rješenjem, ali ostaju popularna opcija zahvaljujući ekonomičnosti, skalabilnosti i arhivskoj stabilnosti. Sigurnosni sigurnosni sustavi obično nisu povezani ni s jednom mrežom i na njih ne može utjecati ransomware.
Usluge sigurnosnih kopija u oblaku nude modernije rješenje za stvaranje i održavanje izvanmrežnih sigurnosnih kopija. Posluživanje sigurnosnih kopija u oblaku smješteno je u sigurnim, namjenskim objektima koji obično uključuju kontrolu okoliša, rezervne zalihe napajanja, sustave za suzbijanje požara i još mnogo toga. Ako ransomware ili lokalna katastrofa uništavaju lokalne sigurnosne kopije vaše tvrtke, možete se koristiti sigurnosnim kopijama u oblaku za ponovno postavljanje i pokretanje.
Važno je napomenuti da usluge pohrane u oblaku i usluge sigurnosnog kopiranja u oblaku nisu ista stvar. Usluge pohrane u oblaku dizajnirane su upravo tako - pohranjivanje datoteka. Oni možda ne nude inačice datoteka, što ostavlja sigurnosne kopije ranjive za ransomware, a obično vam ne dopuštaju da zadržite strukturu datotečnog sustava, što znači da ako ikada trebate oporaviti svoj sustav, morat ćete organizirati sve svoje podatke prema ruka.
Usluge sigurnosnog kopiranja u oblaku s druge strane napravljene su s obzirom na oporavak od katastrofe i kontinuitet poslovanja. Omogućuju vam zadržavanje strukture datotečnog sustava i obično uključuju korisne značajke kao što su verzija datoteka, izvješća o statusu, opcije zakazivanja i bolje metode šifriranja za prijenos podataka. Kada je u pitanju sigurnosno kopiranje sigurnosnih kopija, usluge sigurnosnih kopija u oblaku su najbolja opcija.
Bez obzira na medij za pohranu koji je vaša tvrtka odabrala, važno je ograničiti pristup samo onima koji imaju zakonite poslovne potrebe. To uključuje vrlo selektivnost tko ima vjerodajnice za prijavu na poslužitelje datoteka i sigurnosne kopije, kao i ograničavanje fizičkog pristupa sigurnosnim kopijama na licu mjesta putem sigurnog upravljanja pohranom i pristupom. Ograničavanje pristupa sigurnosnim kopijama pomaže smanjiti površinu napada za ransomware i minimizira šanse da osjetljive informacije tvrtke padnu u pogrešne ruke.
Robusna sigurnosna kopija strategije je ključni sastojak za ublažavanje učinaka ransomwarea.
Danas je sjedište tvrtke Emsisoft na Novom Zelandu, ali održava globalnu prisutnost putem lokalnih timova u svim vremenskim zonama. Zlonamjerni softver ne spava, a ni mi.