Pięć przełomowych zmian we współczesnych atakach ransomware

W ciągu kilku ubiegłych lat metody wykorzystywane przez cyberprzestępców w atakach z użyciem ransomware uległy znacznej zmianie. Podczas gdy dawniej atakujący dążyli do zaszyfrowania danych jak największej liczby użytkowników, obecnie ich działania są znacznie bardziej precyzyjne – przestępcy szczegółowo badają każdy cel, szukając słabych punktów. Zaawansowane cybergangi działają niemal jak dostawcy usług online, stosując tradycyjne mechanizmy marketingowe. Na bazie działań grupy przestępczej Darkside badacze z firmy Kaspersky zidentyfikowali pięć przykładów tej transformacji.

 

1. Członkowie cybergangu Darkside aktywnie nawiązują kontakty z mediami. Na swojej stronie zamieścili stosowną sekcję, w której dziennikarze mogą zadawać pytania i otrzymywać informacje z pierwszej ręki, a także sprawdzać na bieżąco, które z danych skradzionych w ramach ataków będą w najbliższym czasie ujawniane. Wyraźnie widać, że cyberprzestępcy chcą uzyskać jak najwięcej rozgłosu w internecie.

2. Grupy wykorzystujące narzędzia ransomware współpracują z firmami oferującymi usługi deszyfrowania danych. Dzieje się tak dlatego, że wiele firm z sektora publicznego ma zakaz negocjowania z cyberprzestępcami. Z tego powodu powstało zapotrzebowanie na swego rodzaju pośredników, którzy działają legalnie i oferują usługi odzyskania danych po ataku, a w rzeczywistości po prostu płacą przestępcom okup w imieniu ofiary.

3. Członkowie cybergangu Darkside utrzymują, że przekazują część swoich zysków na cele charytatywne. W ten sposób pokazują ofiarom ataków, które nie chcą finansować działalności przestępczej, że część ich pieniędzy trafi na słuszny cel. Warto wiedzieć, że w wielu przypadkach organizacje charytatywne nie mogą przyjmować pieniędzy od takich ugrupowań i przelewy będą zamrażane. O ile w ogóle zostaną wykonane.

4. Cyberprzestępcy uważnie analizują skradzione dane i rynek. Przed opublikowaniem informacji zdobytych od ofiary, która nie zapłaciła okupu, atakujący sprawdzają jej kontakty i identyfikują dobrze znanych klientów, partnerów, a także konkurencję. Badacze z firmy Kaspersky uważają, że głównym celem tych działań jest maksymalizacja szkód i zastraszenie ofiar, a tym samym zwiększenie szans na otrzymanie okupu.

5. Grupa Darkside funkcjonuje zgodnie z własnymi zasadami etycznymi, tak jak prawdziwe korporacje. Przestępcy utrzymują, że nigdy nie atakują firm z sektora medycznego, zakładów pogrzebowych, instytucji edukacyjnych oraz organizacji non-profit i rządowych.

Jesteśmy świadkami wielkiej transformacji w działaniu cybergangów stosujących ataki ransomware i nie jest niespodzianką, że zmiany te mają na celu zwiększenie zysków. Współcześni cyberprzestępcy zarabiają więcej niż kiedykolwiek wcześniej i mogą inwestować w analizę rynku, a także współpracować z partnerami, mediami i organizacjami charytatywnymi. Jedynym sposobem na powstrzymanie ich działań jest odcięcie atakujących od funduszy poprzez rezygnację z płacenia okupu – powiedział Piotr Kupczyk, dyrektor biura komunikacji z mediami, Kaspersky Lab Polska.

Porady bezpieczeństwa

Eksperci z firmy Kaspersky przygotowali kilka porad pozwalających zabezpieczyć firmy przed atakami ransomware:

• Instaluj aplikacje wyłącznie z wiarygodnych źródeł i oficjalnych stron producentów.
• Zadbaj o regularne tworzenie kopii zapasowych danych i sprawdzaj, czy jesteś w stanie szybko odtworzyć krytyczne informacje na wypadek awarii lub cyberataku. Dla większego bezpieczeństwa możesz przechowywać kopie w dwóch miejscach, np. na nośnikach fizycznych i w chmurze.
• Nie bagatelizuj wagi świadomości personelu w zakresie cyberbezpieczeństwa i zadbaj o wdrożenie stosownych szkoleń.
• Instaluj wszelkie poprawki bezpieczeństwa natychmiast po ich opublikowaniu przez producentów oprogramowania. Dotyczy to zarówno systemów operacyjnych, jak i użytkowanych aplikacji.
• Rozważ przeprowadzenie audytu swoich sieci, który pozwoli zidentyfikować i usunąć słabe punkty w zabezpieczeniach.
• Zadbaj, by wszystkie punkty końcowe były wyposażone w skuteczną ochronę przed ransomware. Firma Kaspersky ma w swojej ofercie wyspecjalizowane, bezpłatne rozwiązanie Kaspersky Anti-Ransomware Tool for Business, które chroni komputery i serwery przed atakami tego rodzaju, a także zapobiega szkodliwym narzędziom wykorzystującym luki w zabezpieczeniach (tzw. exploitom). Rozwiązanie może funkcjonować równolegle z innymi produktami bezpieczeństwa, które są już zainstalowane w firmowej sieci.
• Pamiętaj, że ataki z wykorzystaniem ransomware to przestępstwo. Gdy padniesz ofiarom takich działań, nigdy nie płać okupu – nie zagwarantuje to odzyskania danych i zachęci cyberprzestępców do dalszych szkodliwych działań. Zamiast tego zgłoś incydent organom ścigania i poszukaj w internecie narzędzi deszyfrujących – wiele z nich znajdziesz na stronie organizacji No More Ransom.

Więcej informacji na temat zmian w działaniu cybergangów stosujących ataki ransomware znajduje się na oficjalnym blogu firmy Kaspersky – Kaspersky Daily: https://kas.pr/9np1.