Живи и здрави: рансъмуер вируси през 2019 г

Рансъмуер вирусите, подобно на други типове злонамерен софтуер, се развиват и променят през годините - от обикновени шкафчета, които не позволяват на потребителя да влезе в системата, и „полицейски“ рансъмуер, който заплашва съдебно преследване за фиктивни нарушения на закона, стигнахме до програми за криптиране. Този злонамерен софтуер криптира файлове на твърди дискове (или цели дискове) и изисква откуп не за връщане на достъпа до системата, а за факта, че информацията на потребителя няма да бъде изтрита, продадена в даркнет или изложена на обществеността онлайн . Освен това плащането на откупа изобщо не гарантира получаването на ключа за дешифриране на файловете. И не, това „вече се е случило преди сто години“, но все още е актуална заплаха.

Предвид успеха на хакерите и рентабилността на този тип атаки, експертите смятат, че тяхната честота и изобретателност само ще нарастват в бъдеще. от данни Cybersecurity Ventures, през 2016 г. ransomware вирусите са атакували компании приблизително веднъж на всеки 40 секунди, през 2019 г. това се случва веднъж на всеки 14 секунди, а през 2021 г. честотата ще се увеличи до една атака на всеки 11 секунди. Струва си да се отбележи, че необходимият откуп (особено при целенасочени атаки срещу големи компании или градска инфраструктура) обикновено се оказва многократно по-нисък от щетите, причинени от атаката. Така атаката през май срещу правителствени структури в Балтимор, Мериленд, САЩ, причини щети в размер на над 18 милиона долара, като обявената от хакерите сума на откупа е 76 хиляди долара в биткойн еквивалент. А атака срещу администрацията на Атланта, Джорджия, струва на града 2018 милиона долара през август 17 г. с изискван откуп от 52 XNUMX долара.

Специалистите на Trend Micro анализираха атаки с помощта на ransomware вируси през първите месеци на 2019 г. и в тази статия ще говорим за основните тенденции, които очакват света през втората половина.

Ransomware вирус: кратко досие

Значението на вируса рансъмуер е ясно от самото му име: заплашвайки да унищожи (или, обратно, да публикува) поверителна или ценна информация за потребителя, хакерите го използват, за да поискат откуп за връщане на достъп до него. За обикновените потребители подобна атака е неприятна, но не критична: заплахата от загуба на музикална колекция или снимки от ваканции през последните десет години не гарантира плащане на откуп.

Ситуацията изглежда съвсем различна за организациите. Всяка минута престой в бизнеса струва пари, така че загубата на достъп до система, приложения или данни за една модерна компания е равно на загуби. Ето защо фокусът на рансъмуер атаките през последните години постепенно се измести от обстрелване на вируси към намаляване на активността и преминаване към целенасочени нападения срещу организации в области на дейност, в които шансът за получаване на откуп и неговият размер са най-големи. От своя страна организациите се стремят да се защитят от заплахи по два основни начина: чрез разработване на начини за ефективно възстановяване на инфраструктура и бази данни след атаки и чрез приемане на по-модерни системи за киберзащита, които откриват и незабавно унищожават зловреден софтуер.

За да бъде в течение и да разработва нови решения и технологии за борба със зловреден софтуер, Trend Micro непрекъснато анализира резултатите, получени от своите системи за киберсигурност. Според Trend Micro Интелигентна защитна мрежа, ситуацията с рансъмуер атаките през последните години изглежда така:

Изборът на жертвата през 2019 г

Тази година киберпрестъпниците очевидно са станали много по-селективни в избора си на жертви: те се насочват към организации, които са по-малко защитени и са готови да платят голяма сума за бързо възстановяване на нормалните операции. Ето защо от началото на годината вече са регистрирани няколко атаки срещу държавни структури и администрация на големи градове, включително Лейк Сити (откуп - 530 хиляди щатски долара) и Ривиера Бийч (откуп - 600 хиляди щатски долара) във Флорида, САЩ.

Разбити по отрасли, основните вектори на атака изглеждат така:

— 27% — държавни агенции;
— 20% — производство;
— 14% — здравеопазване;
— 6% — търговия на дребно;
— 5% — образование.

Киберпрестъпниците често използват OSINT (разузнаване от публичен източник), за да се подготвят за атака и да оценят нейната рентабилност. Събирайки информация, те разбират по-добре бизнес модела на организацията и рисковете за репутацията, които тя може да понесе от атака. Хакерите също така търсят най-важните системи и подсистеми, които могат да бъдат напълно изолирани или деактивирани с помощта на рансъмуер вируси - това увеличава шанса за получаване на откуп. Не на последно място се оценява състоянието на системите за киберсигурност: няма смисъл да се предприема атака срещу компания, чиито ИТ специалисти са в състояние да я отблъснат с голяма вероятност.

През втората половина на 2019 г. тази тенденция ще бъде все още актуална. Хакерите ще намерят нови области на дейност, в които нарушаването на бизнес процесите води до максимални загуби (например транспорт, критична инфраструктура, енергетика).

Методи на проникване и заразяване

В тази област също непрекъснато се случват промени. Най-популярните инструменти остават фишингът, злонамерените реклами в уебсайтове и заразени интернет страници, както и експлойтите. В същото време основният „съучастник“ в атаките все още е потребителят на служителя, който отваря тези сайтове и изтегля файлове чрез връзки или от имейл, което провокира допълнително заразяване на мрежата на цялата организация.

Въпреки това през втората половина на 2019 г. тези инструменти ще бъдат добавени към:

• по-активно използване на атаки, използващи социално инженерство (атака, при която жертвата доброволно извършва действията, желани от хакера, или дава информация, като вярва, че например комуникира с представител на ръководството или клиент на организацията), което опростява събирането на информация за служителите от публично достъпни източници;
• използване на откраднати идентификационни данни, например влизане и пароли за системи за отдалечено администриране, които могат да бъдат закупени в тъмната мрежа;
• физическо хакване и проникване, което ще позволи на хакерите на място да открият критични системи и да победят сигурността.

Методи за прикриване на атаки

Благодарение на напредъка в киберсигурността, включително Trend Micro, откриването на класически рансъмуер семейства стана много по-лесно през последните години. Технологиите за машинно обучение и анализ на поведението помагат да се идентифицира зловреден софтуер, преди да проникне в системата, така че хакерите трябва да измислят алтернативни начини за скриване на атаки.

Вече познатите на специалистите в областта на ИТ сигурността и новите технологии на киберпрестъпниците са насочени към неутрализиране на пясъчници за анализ на подозрителни файлове и системи за машинно обучение, разработване на безфайлов зловреден софтуер и използване на заразен лицензиран софтуер, включително софтуер от доставчици на киберсигурност и различни отдалечени услуги с достъп до мрежата на организацията.

Заключения и препоръки

Като цяло можем да кажем, че през втората половина на 2019 г. има голяма вероятност от целенасочени атаки срещу големи организации, които са в състояние да платят големи откупи на киберпрестъпниците. Хакерите обаче не винаги сами разработват хакерски решения и зловреден софтуер. Някои от тях, например, небезизвестният отбор GandCrab, който вече е прекрати дейността си, след като са спечелили около 150 милиона щатски долара, продължават да работят по схемата RaaS (ransomware-as-a-service или „ransomware вируси като услуга“, по аналогия с антивирусите и системите за киберзащита). Тоест разпространението на успешен ransomware и крипто-шкафове тази година се извършва не само от техните създатели, но и от „наематели“.

В такива условия организациите трябва постоянно да актуализират своите системи за киберсигурност и схеми за възстановяване на данни в случай на атака, тъй като единственият ефективен начин за борба с ransomware вирусите не е да плащат откуп и да лишават авторите им от източник на печалба.

Източник: www.habr.com