Главная мысль
Не определяйте вид ransomware только по тексту требования. Вместе с командой реагирования выясните, какие данные зашифрованы или похищены, затронуты ли аккаунты и системы, а также сопровождается ли требование угрозой публикации, давлением на третьи стороны или нарушением работы сервисов.
Основные виды и пересекающиеся категории
Ransomware обычно делает файлы недоступными с помощью шифрования либо блокирует доступ к устройству. В некоторых атаках к этому добавляется кража данных и отдельное давление с требованием выкупа. Категории могут пересекаться: «мобильный» обозначает платформу, а «модель услуг» — распределение ролей между преступниками.
Шифровальщики файлов
Шифровальщик может зашифровать файлы на устройстве и доступных ему сетевых папках, затем потребовать плату за расшифровку или восстановление доступа. В атаке могут сочетаться симметричная и асимметричная криптография; механизм не сводится к простому паролю.
Блокировщики устройства и экрана
Блокировщик может закрыть экран, учётную запись или доступ к устройству и потребовать плату. Это не означает, что файлы зашифрованы. Отличайте вымогательство с блокировкой от обычной блокировки учётной записи и выясняйте, что именно недоступно.
Doxware и leakware
При вымогательстве с угрозой утечки преступники могут заявить, что опубликуют или передадут похищенные конфиденциальные данные. Даже без шифрования это требует отдельного расследования, оценки утечки и проверки применимых процедур уведомления.
Вымогательское ПО на мобильных устройствах
Вымогательское ПО на мобильном устройстве может ограничить доступ к данным или учётной записи либо заблокировать экран. Возможности зависят от мобильной ОС и разрешений приложения; не предполагайте одинаковое поведение на всех телефонах. Отдельно планируйте восстановление учётных записей, приложений аутентификации и рабочих данных.
Семейство, способ проникновения, модель и последствия
Термины «бесфайловый», «мобильный» и «RaaS» относятся к разным уровням классификации. Точное описание отдельно указывает, какая программа применялась, как получили доступ, как были распределены роли преступников и какими угрозами они добивались выплаты.
Путь доставки и запуска
Доступ могут получить через фишинговое письмо, вредоносный сайт или загрузку, украденную учётную запись, открытый из интернета RDP или уязвимость. Открытый RDP — риск доступа, но сам по себе не доказательство уязвимости. Штатные средства вроде PowerShell могут запускать вредоносный код в памяти, но способны запускать и программы из файлов; само использование PowerShell не делает атаку бесфайловой.
Ransomware-as-a-Service (RaaS)
RaaS — преступная модель услуг: поставщики программы и инфраструктуры могут быть отделены от партнёров-исполнителей, проводящих атаки, а роли и доходы распределяются по их договорённости. Это не тип файла и не технический способ атаки.
Шифрование или утечка данных
Шифрование нарушает доступ к файлам и системам. Кража данных с угрозой публикации может происходить и без шифрования; такой случай не следует автоматически считать атакой шифровальщика. Отдельно фиксируйте подтверждённый механизм и движение данных, а не опирайтесь только на текст требования.
Типичная последовательность атаки
Не каждый инцидент развивается одинаково. После первоначального доступа злоумышленник может исследовать аккаунты, сетевые соединения и файлы, похитить данные, нацелиться на системы и резервные копии, а затем применить шифрование или угрозы. Журналы этих этапов помогают восстановить хронологию и определить масштаб.
Первоначальный доступ
Могут использоваться ссылка или вложение в фишинговом сообщении, вредоносный сайт, украденные данные доступа, уязвимый доступный из интернета сервис или другой путь. Отдельно проверьте защиту RDP в соответствии с политикой удалённого доступа организации.
Разведка и захват аккаунтов
Получив доступ, преступники могут изучать пользователей, устройства, общие папки, сетевые соединения и средства защиты. Сопоставляйте подозрительные аккаунты и процессы с событиями на других устройствах.
Поиск файлов и передача данных
Злоумышленник может искать важные папки и сетевые ресурсы, архивировать и передавать данные из системы. На этом этапе шифрования может не быть; меры защиты данных и необходимость уведомлений совместно оценивают команды безопасности, юристы и специалисты по конфиденциальности.
Шифрование, блокировка и требование
Файлы могут быть зашифрованы, экран или устройство заблокированы, а на системе оставлена записка с требованием. Если к шифрованию добавляются угрозы опубликовать похищенные данные, уведомить партнёров или нарушить работу сервиса, отдельно отслеживайте эти виды давления в плане реагирования.
Что такое двойное и тройное вымогательство?
Двойным вымогательством (double extortion) часто называют сочетание шифрования с кражей данных и угрозой их раскрытия. Тройное вымогательство (triple extortion) может означать дополнительное давление на партнёров, клиентов или сервисы. Употребление терминов различается, поэтому описывайте наблюдаемые механизмы и конкретные угрозы; угроза обратиться к партнёрам сама по себе не доказывает кражу данных.
Первый способ давления: потеря доступа
Шифрование файлов или блокировка устройства могут нарушить работу. Для изоляции и определения масштаба затронутых систем следуйте плану реагирования организации.
Второй способ давления: раскрытие данных
Угроза публикации похищенных данных может требовать отдельной оценки последствий для конфиденциальности и юридических обязанностей независимо от шифрования. Ответственные команды организации определяют, кого и в какие сроки необходимо уведомить.
Дополнительное давление на партнёров и сервисы
Угроза обратиться к партнёрам или клиентам либо нарушить работу сервиса может стать дополнительным способом давления. Сама угроза не доказывает кражу данных. Проверьте планы связи с третьими сторонами и непрерывности работы, отдельно запишите подтверждённые угрозы.
Частые вопросы
Раздельное исследование механизма атаки, пути проникновения и угроз помогает спланировать ответ.
Относится ли scareware к вымогательскому ПО?
Scareware использует ложные предупреждения, чтобы склонить человека к оплате, установке программы или предоставлению удалённого доступа. Одно предупреждение ещё не доказывает наличие программы-вымогателя; связанный вредоносный компонент может зашифровать файлы или заблокировать устройство, и тогда классификацию нужно пересмотреть.
Может ли это быть инцидентом ransomware без шифрования?
Да. Блокировщик может требовать выкуп за доступ к устройству без шифрования файлов. Вымогательство после одной лишь кражи данных тоже возможно без шифрования, но не обязательно является атакой программы-вымогателя. Отдельно фиксируйте блокировку доступа, шифрование и кражу данных.
Делает ли оплата криптовалютой преступника неотслеживаемым?
Нет. Способ оплаты не раскрывает автоматически личность или местонахождение преступника и не делает его неотслеживаемым. Решение об оплате ответственные руководители принимают вместе со специалистами по безопасности и правовым вопросам по процедуре организации и с учётом применимых рекомендаций.
Одинаковы ли шифрование файлов и блокировка устройства?
Нет. Шифрование делает файл нечитаемым без ключа; блокировщик закрывает экран, учётную запись или доступ к устройству. Выясните, что именно затронуто и связано ли ограничение доступа с требованием выкупа, поскольку способы восстановления различаются.