Главная мысль
Подготовка к ransomware не сводится к установке программы: нужны обновлённые системы, ограниченные административные права, подготовленные сотрудники, сегментация сети и проверенные резервные копии для восстановления.
Что делает ransomware
Программа-вымогатель ограничивает доступ к данным или устройству и требует плату за его восстановление. Она может шифровать файлы или блокировать устройство; в некоторых атаках данные также похищают и угрожают раскрыть. Это может остановить сервисы, увеличить расходы на восстановление и подорвать доверие: недоступность данных пациентов, например, влияет на работу медицинской организации. Оплата не гарантирует ни восстановления данных, ни удаления украденных копий. Ответственные лица принимают решение по процедуре реагирования, советуясь с профильными специалистами.
Основные этапы истории
История программ-вымогателей показывает изменения техники и преступных моделей. В модели Ransomware-as-a-Service (RaaS) поставщики программы и инфраструктуры и партнёры, проводящие атаки, могут распределять роли и доходы; единой обязательной цепочки нет. REvil — исторический пример партнёрской модели.
1989 · AIDS Trojan
AIDS Trojan появился в 1989 году: программа ограничивала доступ и требовала отправить 189 долларов компании в Панаме. Из-за слабого шифрования появились бесплатные средства восстановления. Этот ранний пример не определяет возможности восстановления при современных атаках.
Gpcode и Archiveus
Gpcode и Archiveus — ранние примеры вредоносных программ, требовавших плату за доступ к файлам. Некоторые варианты Gpcode использовали RSA. Исследователи разработали способы расшифровки файлов для отдельных вариантов; возможность восстановления зависела от конкретной программы и реализации шифрования.
Начало 2010-х · цифровые платежи
Некоторые группы стали принимать криптовалюту. В требованиях также встречались предоплаченные платёжные услуги, Western Union и подарочные карты. Способ оплаты зависел от группы и кампании; криптовалюта не делает платежи неотслеживаемыми. Программы-блокировщики могут ограничивать доступ к экрану или устройству без шифрования файлов.
2017 · Petya/NotPetya
События Petya/NotPetya в 2017 году показали значение обновлений и подготовки к восстановлению. В опубликованной тогда памятке о Petya Европол рекомендовал устанавливать обновления, хранить резервные копии, отключать заражённые устройства от сети и сообщать об инциденте.
С 2019 года · REvil и модель услуг
REvil, появившийся в 2019 году, использовал модель Ransomware-as-a-Service. Разработчики программы и инфраструктуры предоставляли средства партнёрам, которые проводили атаки. Такая модель разделяла разработку и эксплуатацию платформы и проведение атак.
2021 · международные меры
13–14 октября 2021 года представители более 30 стран и Европейского союза участвовали во встрече Counter-Ransomware Initiative по сотрудничеству, устойчивости и противодействию атакам с программами-вымогателями. Пример показывает ценность согласованных действий.
Пути проникновения и факторы риска
Атака может начаться с фишингового письма, ненадёжной загрузки, украденной учётной записи, неисправленной уязвимости или открытой из интернета системы. Старое устройство повышает риск, когда оно больше не поддерживается или не обновлено; возраст сам по себе не доказывает уязвимость. Непроверенные копии и неподготовленная команда усложняют восстановление. Отдельно проверьте учётные записи, почту, открытые сервисы и связи с поставщиками.
Резервные копии для восстановления
Регулярно копируйте критичные данные. Отделённая от сети копия и неизменяемое хранилище снижают разные риски; в конкретной среде одно не всегда заменяет другое. Частоту и срок хранения выбирайте по допустимой потере данных, простою и применимым требованиям. При тестовом восстановлении проверяйте файлы, учётные записи, приложения и зависимости, отдельно подтверждая чистоту копии: открытие файла само по себе этого не доказывает.
Контроль доступа, обновлений и действий сотрудников
Своевременно обновляйте операционные системы, браузеры, приложения и прошивки устройств. Ограничьте повседневное использование административных прав, применяйте многофакторную аутентификацию и минимально необходимые права по ролям, отключайте ненужные аккаунты. Научите сотрудников проверять подозрительные письма, не открывать неожиданные файлы и быстро сообщать об инцидентах. Сегментируйте сеть по критичным системам, чтобы проблема на одном устройстве не распространялась на другие зоны.
Порядок действий при инциденте
План должен назначать руководителя реагирования, роли, каналы связи, порядок сохранения доказательств и критерии восстановления. При подозрении немедленно сообщайте об инциденте и начинайте согласованную изоляцию; масштаб уточняют на протяжении всего реагирования. Оценку возможных уведомлений начинают рано. Руководитель реагирования определяет порядок действий с учётом безопасности, критичных сервисов и сохранения следов.
Сообщите и определите масштаб
Немедленно сообщите ИТ-службе и команде реагирования. Начните учёт затронутых устройств, учётных записей, данных и сервисов; зафиксируйте время и сохраните записи событий, не меняя без нужды подозрительные устройства. Уточняйте масштаб по мере расследования.
Ограничьте распространение
По указанию руководителя реагирования отключите устройство от сети или ограничьте затронутый сегмент. Учитывайте безопасность критичных сервисов, возможность управления для расследования и сохранение нужных следов. При подозрении на кражу учётных данных отзовите доступ и смените пароли с доверенного устройства.
Сохраните цифровые доказательства
Уполномоченные специалисты собирают образы подходящих систем, данные памяти, журналы безопасности и сети. Отключение питания может уничтожить доказательства в оперативной памяти. Если устройство невозможно отключить от сети, руководитель реагирования оценивает необходимость выключения для ограничения распространения, учитывая безопасность критичных сервисов.
Очистите и проверьте восстановление
Устраните путь проникновения и закрепления, оцените необходимость очистки или переустановки. Восстанавливайте в чистой среде из проверенной чистой копии или утверждённого образа. Проверьте данные, приложения и сервисы до контролируемого подключения к сети.
Учтите выводы и завершите уведомления
Задокументируйте хронологию и меры, завершите начатую ранее оценку юридических и договорных уведомлений и выполните необходимые сообщения по внутренней процедуре. Назначьте ответственных и сроки для исправления пробелов в копировании и плане реагирования.
Многоуровневая защита и учения
Фильтрация почты и веб-трафика, защита от вредоносного ПО, обнаружение вторжений, мониторинг конечных устройств, управление учётными записями и доступом и резервные копии снижают разные риски. EDR помогает выявлять подозрительные действия, расследовать и изолировать, но не заменяет остальные меры. Проведите учение по связи, решениям, изоляции и восстановлению; назначьте ответственных и сроки по его итогам.