Una dintre marile ameninţări cibernetice, ransomware-ul, a devenit în ultimii ani cea mai eficientă armă folosită de criminalii informatici, nu numai pentru a genera profituri proprii, dar şi pentru a produce daune materiale şi financiare victimei.
Ransomware este o formă de atac cripto-viral în urma căruia victima e obligată să plătească recompensă atacatorilor pentru deblocarea datelor. În unele cazuri – de exemplu când ţinta este o organizaţie statală – atacul poate fi pur distructiv, cu scopul de a bloca procese tehnologice, activităţi de transport sau servicii financiare. În cea mai mare parte a existenţei sale, ransomware a fost folosit în atacuri care nu făceau vreo discriminare între victime, ţintind la un loc indivizi şi locuinţele lor, dar şi instituţii şi companii de toate mărimile. Treptat, operatorii de ransomware şi-au concentrat din ce în ce mai mult eforturile pe organizaţii ale căror date preţioase sporesc şansele de plată a recompensei.
Hacker antreprenor, vând franciză
Cea mai recentă evoluţie a fenomenului constă în folosirea ransomware-ului pe model de franciză. Ransomware-as-a-Service sau ransomware oferit ca serviciu permite până şi infractorilor amatori să „închirieze” un kit de infectare cu ransomware şi să lansase un atac. Vânzătorul pachetului îşi recrutează de regulă afiliaţii pe site-uri din Dark Web, unde cele două parţi negociază un comision pentru vânzător, dar şi pentru programatorii din spatele pachetului oferit spre vânzare.
Avantajul acestei practici e că furnizorii de ransomware se pot dedica exclusiv dezvoltării respectivului ransomware, iar atacatorii nu sunt nevoiţi să deţină cunoştinţe tehnice avansate pentru a programa o astfel de ameninţare. Pentru toate părţile implicate, profiturile se generează uşor şi repetabil, ceea ce face modelul RaaS extrem de atractiv. În esenţă, RaaS este corespondentul criminalităţii organizate în plan cibernetic.
Tehnici de atac în Ransomware-as-a-Service
Operatorii de RaaS se folosesc de numeroase căi de acces pentru a se infiltra în infrastructurile victimei şi a lansa un atac. Poate cea mai populară metodă de infiltrare, atât pentru operatorii de ransomware, cât şi pentru orice alt tip de atac, rămâne metoda ingineriei sociale, unde victima este păcălită să participe la desfăşurarea atacului – de exemplu, să deschidă un fişier ataşat sau să dea clic pe un link.
O altă unealtă des întâlnită este pachetul de exploituri. Afiliaţilor le este pus la dispoziţie un pachet cu componente modulare menite să exploateze vulnerabilităţi de sistem şi să faciliteze infecţia. Atacatorii oferă şi un pachet de instrucţiuni software menite să infecteze sistemul victimei prin exploatarea unor vulnerabilităţi în aplicaţii sau programe terţe, fie ele browsere, plugin-uri pentru browser sau clienţi de e-mail. Odată ajunşi în sistemul victimei, operatorii se pot folosi de privilegiile nou-dobândite să împrăştie ransomware pe toate sistemele dintr-o reţea internă, compromiţând astfel volume imense de date.
Deoarece marea provocare a atacatorilor rămâne păcălirea soluţiilor de securitate, operatorii de ransomware modifică constant forma ameninţării informatice pe care o folosesc ca să reuşească pe cât posibil să evite detecţia.
Cum ne ţinem departe de ransomware
Dacă vorbim despre cea mai bună apărare faţă de atacurile de tip ransomware, atunci prevenţia stă în capul listei. Prevenţia nu înseamnă însă protecţie totală. Cea mai eficientă măsură pe care o putem lua împotriva unui atac ransomware este să facem backup regulat la datele importante şi irecuperabile din alte surse, fie că vorbim de poze de familie, fie că vorbim de proprietatea intelectuală a unei companii. Astfel, deşi datele de pe dispozitive pot fi la un moment dat criptate, copiile făcute în prealabil pot fi soluţia cea mai uşoară de a scăpa de plata recompensei. Există însă cazuri când atacatorii reuşesc să compromită inclusiv copiile de siguranţă ale documentelor, de aceea e important de reţinut ca backupul să fie salvat separat, într-un mediu fără conexiune la internet.
Pe lângă practica de a menţine constant backupuri, specialiştii în securitate informatică de la Bitdefender recomandă instalarea unei soluţii de securitate performante cu protecţie special concepută împotriva ransomware-ului. Cele mai bune soluţii în acest sens folosesc modele de inteligenţă artificială antrenate să observe comportamentul suspicios, surclasând în mod clar eficienţa soluţiilor tradiţionale bazate exclusiv pe folosirea de „semnături”. În mod ideal, protecţia împotriva ransomware-ului va conţine de asemenea şi un modul de remediere, care va readuce datele la forma iniţială chiar şi atunci când ransomware-ul a trecut nedetectat de celelalte tehnologii.
În situaţia neplăcută a unei infectări cu ransomware, plata recompensei către atacator este cea mai proastă idee din trei motive: nu există vreo garanţie că atacatorul e o persoană de cuvânt şi va restitui accesul la date, victima îşi creează istoric de bun-platnic şi ar putea fi infectată şi pe viitor şi, cel mai dăunător, atacatorii vor folosi banii respectivi pentru arme şi mai puternice care să infecteze un număr tot mai mare de victime.