Əsas fikir
Ransomware hadisəsini yalnız tələb mətninə görə adlandırmayın. Hansı məlumatın kilidləndiyini və ya oğurlandığını, hesabların və sistemlərin təsirlənib-təsirlənmədiyini, həmçinin təhdidin yayımlama, üçüncü tərəflərə təzyiq və ya xidmət pozuntusu ilə müşayiət olunub-olunmadığını cavab qrupu ilə müəyyən edin.
Əsas növlər və kəsişən kateqoriyalar
Ransomware adətən faylları şifrələyərək əlçatmaz edir və ya cihaza girişi kilidləyir. Bəzi hücumlarda məlumat oğurluğu ayrıca ödəniş təzyiqi yaradır. Bu kateqoriyalar bir hücumda üst-üstə düşə bilər; “mobil” hədəflənən platformanı, “xidmət modeli” isə cinayətkarlar arasındakı iş bölgüsünü bildirir.
Fayl şifrələyicilər
Fayl şifrələyicisi cihazda və çata bildiyi şəbəkə paylaşımlarında faylları şifrələyə, sonra şifrin açılması və ya girişin bərpası üçün ödəniş tələb edə bilər. Hücumda simmetrik və asimmetrik kriptoqrafiya birləşə bilər; mexanizmi sadə parolla eyniləşdirməyin.
Cihaz və ekran kilidləyiciləri
Cihaz və ekran kilidləyicisi ekrana, hesaba və ya cihaza girişi məhdudlaşdırıb pul tələb edə bilər. Faylların şifrələndiyini fərz etməyin; adi hesab kilidindən fərqli olaraq hədə-qorxu tələbini və təsirlənən resursu yoxlayın.
Doxware və leakware
Məlumat sızdırmaqla hədələyən hücumda cinayətkarlar oğurlanmış həssas məlumatın dərc ediləcəyini və ya paylaşılacağını bildirə bilər. Fayllar şifrələnməsə belə, bu təhdid ayrıca araşdırma, məlumat pozuntusunun qiymətləndirilməsi və uyğun bildiriş prosedurlarını tələb edə bilər.
Mobil fidyə proqramları
Mobil hədə-qorxu proqramı bəzi cihazlarda fayllara və ya hesaba girişi məhdudlaşdıra, ekranı bağlaya bilər. İmkanlar mobil OS və tətbiq icazələrinə görə dəyişir; hər telefonda bütün üsulları mümkün saymayın. Hesab, autentifikasiya tətbiqləri və iş məlumatlarının bərpasını ayrıca planlaşdırın.
Zərərli proqram ailəsi, yayılma yolu, biznes modeli və təsir
“Faylsız”, “mobil” və “RaaS” sözləri eyni təsnifat səviyyəsini ifadə etmir. Dəqiq təsvir hücumun hansı proqramla aparıldığını, sistemə necə daxil olunduğunu, cinayətkarların necə əməkdaşlıq etdiyini və qurbanı hansı təhdidlə sıxdığını ayrı-ayrılıqda göstərir.
Yayılma və icra yolu
Giriş fişinq məktubu, zərərli sayt və ya yükləmə, oğurlanmış hesab, internetə açıq RDP və ya istismar edilə bilən zəifliklə başlaya bilər. Açıq RDP özü-özlüyündə istismar edilə bilən zəiflik demək deyil. PowerShell kimi qanuni alətlər yaddaşda zərərli kod işlədə bilər, lakin eyni alətlər fayl əsaslı kodu da başlada bilər; təkcə PowerShell istifadəsi hücumu «faylsız» etmir.
Ransomware-as-a-Service (RaaS)
RaaS cinayətkar xidmət modelidir: proqram və infrastrukturu təmin edənlər hücumları həyata keçirən tərəfdaşlardan ayrı ola bilər, gəlir və əməliyyat rolları isə razılaşmaya görə bölüşdürülür. Bu model fayl növü və ya texniki hücum üsulu deyil.
Şifrələmə və ya məlumat sızdırma
Şifrələmə fayl və sistemlərə girişi pozur. Yalnız məlumat oğurluğu və açıqlama hədəsi də baş verə bilər, lakin bunu avtomatik olaraq şifrələyici ransomware hadisəsi adlandırmayın. Hansı mexanizmin və hansı məlumat hərəkətinin təsdiqləndiyini ayrıca qeyd edin; tələb mətnini tək sübut saymayın.
Hücumun tipik ardıcıllığı
Hər hadisə eyni ardıcıllıqla getmir. İlkin girişdən sonra təcavüzkar hesabları, şəbəkə bağlantılarını və faylları araşdıra, məlumatı oğurlaya, sistemləri və ehtiyat nüsxələri hədəfə ala, sonda şifrələmə və ya hədə-qorxu tətbiq edə bilər. Bu mərhələlərə aid qeydlər vaxt xətti qurmağa və əhatəni müəyyən etməyə kömək edir.
İlkin giriş
Fişinq keçidi və ya əlavəsi, zərərli sayt, oğurlanmış etimadnamə, zəif internetə açıq xidmət və ya başqa giriş yolu istifadə oluna bilər. RDP-nin təşkilata məxsus uzaqdan giriş siyasətinə uyğun qorunmasını ayrıca yoxlayın.
Kəşfiyyat və hesabların ələ keçirilməsi
Girişdən sonra cinayətkarlar istifadəçiləri, cihazları, paylaşılmış qovluqları, şəbəkə əlaqələrini və təhlükəsizlik vasitələrini araşdıra bilərlər. Şübhəli hesab və prosesləri digər cihazlardakı hadisələrlə tutuşdurun.
Faylların seçilməsi və məlumatın çıxarılması
Hücumçu dəyərli qovluqları və şəbəkə resurslarını axtara, məlumatı arxivləşdirib sistemdən çıxara bilər. Bu mərhələdə şifrələmə olmaya da bilər; məlumatı qoruma və bildiriş ehtiyacını təhlükəsizlik, hüquq və məxfilik komandaları birlikdə qiymətləndirsin.
Şifrələmə, kilidləmə və tələb
Fayllar şifrələnə, ekran və ya cihaz kilidlənə və ransom note yerləşdirilə bilər. Şifrələmə ilə yanaşı oğurlanmış məlumatın dərc edilməsi, tərəfdaşlara məlumat verilməsi və ya xidmətin pozulması ilə hədələnirsə, cavab planında bu təzyiqləri ayrıca izləyin.
İkiqat və üçqat şantaj nə deməkdir?
İkiqat şantaj (double extortion) dedikdə şifrələmə ilə məlumat oğurluğu və onu açıqlamaq təhdidinin birlikdə tətbiqi nəzərdə tutulur. Üçqat şantaj (triple extortion) termini müxtəlif təhdidlərin əlavə olunduğu bəzi hallarda işlədilir; buna tərəfdaşlara, müştərilərə və ya digər üçüncü tərəflərə təzyiq, yaxud xidmətin pozulması daxil ola bilər. Terminlərin istifadəsi sabit deyil, ona görə hadisə hesabatında konkret müşahidə olunan təhdidləri yazın.
Birinci təzyiq: əlçatanlığın pozulması
Faylların şifrələnməsi və ya cihazın kilidlənməsi işə fasilə yarada bilər. Təsirə məruz qalan sistemləri təcrid etmək və təsir dairəsini müəyyənləşdirmək üçün təşkilatın insident planına əməl edin.
İkinci təzyiq: məlumatın açıqlanması
Oğurlanmış məlumatın yayımlanacağı təhdidi şifrələmədən asılı olmayaraq ayrıca məxfilik və hüquqi qiymətləndirmə tələb edə bilər. Müvafiq bildirişləri təşkilatın məsul komandaları müəyyən etməlidir.
Əlavə təzyiq: tərəflər və xidmətlər
Tərəfdaş və müştərilərlə əlaqə qurma və ya xidmətləri pozma hədəsi əlavə təzyiq ola bilər. Bu hədə özü-özlüyündə məlumat oğurluğunu sübut etmir. Üçüncü tərəflərlə əlaqə və xidmət davamlılığı planlarını yoxlayın, müşahidə edilən hədələri ayrı qeyd edin.
Tez-tez verilən suallar
Hadisənin mexanizmini, yayılma yolunu və təhdidlərini ayrıca araşdırmaq düzgün cavabı planlaşdırmağa kömək edir.
Scareware ransomware sayılırmı?
Scareware saxta xəbərdarlıqla istifadəçini ödəməyə, proqram quraşdırmağa və ya uzaq giriş verməyə sövq edir. Saxta xəbərdarlıq təkbaşına ransomware olduğunu sübut etmir; onunla bağlı başqa zərərli komponent faylları şifrələyir və ya cihazı kilidləyirsə, hadisənin təsnifatı dəyişə bilər.
Məlumat şifrələnməyibsə, ransomware hadisəsi ola bilərmi?
Bəli, kilidləyici ransomware faylları şifrələmədən cihaz və ya ekrana girişi bağlaya bilər. Məlumat oğurluğundan sonra yalnız hədə-qorxu da şifrələməsiz baş verə bilər, lakin bu avtomatik ransomware deyil. Girişin kilidlənməsini, şifrələməni və məlumat oğurluğunu ayrı qeyd edin.
Kriptovalyuta ödənişi hücumçunu izlənilməz edirmi?
Xeyr. Ödəniş üsulu hücumçunun şəxsiyyətini və ya yerini sübut etmir və izlənmənin mümkünsüzlüyünü göstərmir. Ödənişlə bağlı qərarları hüquq, təhlükəsizlik və rəhbərlik təşkilatın planı və tətbiq olunan məsləhətlə uyğunlaşdırmalıdır.
Faylın şifrələnməsi ilə cihazın kilidlənməsi eynidirmi?
Xeyr. Şifrələmə faylı açar olmadan oxunmaz edə bilər; locker isə ekrana, hesabına və ya cihaza girişi bloklaya bilər. Hadisə zamanı hansı resursun təsirləndiyini yoxlayın, çünki bərpa yolu fərqlənə bilər.