{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 nov\u00fd zp\u016fsob organizace \u00fanik\u016f dat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00daniky dat jsou v\u00e1\u017en\u00fdm probl\u00e9mem pro bezpe\u010dnostn\u00ed slu\u017eby. A nyn\u00ed, kdy\u017e v\u011bt\u0161ina lid\u00ed pracuje z domova, je nebezpe\u010d\u00ed \u00fanik\u016f mnohem vy\u0161\u0161\u00ed. Pr\u00e1v\u011b proto si notoricky zn\u00e1m\u00e9 kybernetick\u00e9 zlo\u010dineck\u00e9 skupiny v\u00edce v\u0161\u00edmaj\u00ed zastaral\u00fdch a nedostate\u010dn\u011b chr\u00e1n\u011bn\u00fdch protokol\u016f pro vzd\u00e1len\u00fd p\u0159\u00edstup. A co je zaj\u00edmav\u00e9, st\u00e1le v\u00edce \u00fanik\u016f dat je dnes spojeno s ransomwarov\u00fdmi \u00fatoky. Jak, pro\u010d a jak\u00fdm zp\u016fsobem \u2013 \u010dt\u011bte d\u00e1l.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nZa\u010dn\u011bme t\u00edm, \u017ee v\u00fdvoj a distribuce ransomwaru je velmi v\u00fdnosn\u00fd zlo\u010dineck\u00fd byznys. Nap\u0159\u00edklad podle odhad\u016f americk\u00e9ho FBI, skupina Sodinokibi<\/a><\/noindex> za minul\u00fd rok vyd\u011bl\u00e1vala p\u0159ibli\u017en\u011b 1 milion dolar\u016f m\u011bs\u00ed\u010dn\u011b. A \u00fato\u010dn\u00edci, kte\u0159\u00ed pou\u017eili Ryuk, z\u00edsk\u00e1vali dokonce je\u0161t\u011b v\u00edce \u2013 na za\u010d\u00e1tku \u010dinnosti skupiny jejich p\u0159\u00edjmy dosahovaly a\u017e 3 miliony dolar\u016f m\u011bs\u00ed\u010dn\u011b. Nen\u00ed tedy p\u0159ekvapen\u00ed, \u017ee mnoho \u0159editel\u016f informa\u010dn\u00ed bezpe\u010dnosti (CISO) ozna\u010duje ransomware jako jedno z p\u011bti hlavn\u00edch rizik pro podniky.<\/p>\n

Centrum bezpe\u010dnosti Acronis Cyber Protection Operation Center (CPOC), s\u00eddl\u00edc\u00ed v Singapuru, potvrzuje n\u00e1r\u016fst kybernetick\u00e9 kriminality v oblasti ransomwaru. Ve druh\u00e9 polovin\u011b kv\u011btna bylo po cel\u00e9m sv\u011bt\u011b zablokov\u00e1no o 20 % v\u00edce ransomwaru ne\u017e obvykle. Po mal\u00e9 stagnaci nyn\u00ed, v \u010dervnu, op\u011bt pozorujeme n\u00e1r\u016fst aktivity. A k tomu existuje n\u011bkolik d\u016fvod\u016f. <\/p>\n

Dostat se do po\u010d\u00edta\u010de ob\u011bti
\n<\/h3>\n

\nOchrann\u00e9 technologie se vyv\u00edjej\u00ed a \u00fato\u010dn\u00edci mus\u00ed trochu zm\u011bnit svou taktiku, aby se dostali na konkr\u00e9tn\u00ed syst\u00e9m. C\u00edlen\u00e9 \u00fatoky ransomwaru se st\u00e1le \u0161\u00ed\u0159\u00ed pomoc\u00ed dob\u0159e promy\u0161len\u00fdch phishingov\u00fdch e-mail\u016f (zde se neobejdeme bez soci\u00e1ln\u00ed in\u017een\u00fdrstv\u00ed). Nicm\u00e9n\u011b v posledn\u00ed dob\u011b se v\u00fdvoj\u00e1\u0159i malwaru zam\u011b\u0159uj\u00ed zejm\u00e9na na vzd\u00e1len\u00e9 zam\u011bstnance. Aby na n\u011b za\u00fato\u010dili, mohou naj\u00edt \u0161patn\u011b chr\u00e1n\u011bn\u00e9 slu\u017eby pro vzd\u00e1len\u00fd p\u0159\u00edstup, nap\u0159\u00edklad RDP, nebo VPN servery se zranitelnostmi.
\nT\u00edm se skute\u010dn\u011b zab\u00fdvaj\u00ed. Na dark webu se dokonce objevily slu\u017eby ransomware-as-a-service, kter\u00e9 poskytuj\u00ed v\u0161e pot\u0159ebn\u00e9 k \u00fatoku na vybranou organizaci nebo jednotlivce. <\/p>\n

\u00dato\u010dn\u00edci hledaj\u00ed jak\u00e9koli zp\u016fsoby, jak proniknout do firemn\u00ed s\u00edt\u011b a roz\u0161\u00ed\u0159it sv\u016fj z\u00e1b\u011br \u00fatoku. Mezi \u010dast\u00e9 zam\u011b\u0159en\u00ed pat\u0159\u00ed pokusy infikovat s\u00edt\u011b poskytovatel\u016f slu\u017eeb. Vzhledem k tomu, \u017ee cloudov\u00e9 slu\u017eby dnes teprve nab\u00edraj\u00ed na popularit\u011b, infikov\u00e1n\u00ed popul\u00e1rn\u00ed slu\u017eby umo\u017e\u0148uje za\u00fato\u010dit na des\u00edtky nebo dokonce stovky ob\u011bt\u00ed najednou. <\/p>\n

V p\u0159\u00edpad\u011b prolomen\u00ed webov\u00fdch konzol\u00ed pro spr\u00e1vu bezpe\u010dnostn\u00edch syst\u00e9m\u016f nebo z\u00e1lohov\u00e1n\u00ed mohou \u00fato\u010dn\u00edci vypnout ochranu, odstranit z\u00e1lohy a tak\u00e9 umo\u017enit sv\u00e9mu \u0161kodliv\u00e9mu softwaru roz\u0161\u00ed\u0159en\u00ed po cel\u00e9 organizaci. Mimochodem, pr\u00e1v\u011b proto odborn\u00edci doporu\u010duj\u00ed pe\u010dliv\u011b chr\u00e1nit v\u0161echny servisn\u00ed \u00fa\u010dty pomoc\u00ed v\u00edcestup\u0148ov\u00e9 autentizace. Nap\u0159\u00edklad v\u0161echny cloudov\u00e9 slu\u017eby Acronis umo\u017e\u0148uj\u00ed nastavit dvojitou ochranu, proto\u017ee v p\u0159\u00edpad\u011b kompromitace hesla mohou \u00fato\u010dn\u00edci zma\u0159it v\u0161echny v\u00fdhody vyu\u017e\u00edv\u00e1n\u00ed komplexn\u00edho syst\u00e9mu kybernetick\u00e9 ochrany. <\/p>\n

Roz\u0161\u00ed\u0159en\u00ed z\u00e1b\u011bru \u00fatoku
\n<\/h3>\n

\nKdy\u017e je k\u00fd\u017een\u00fd c\u00edl dosa\u017een a \u0161kodliv\u00fd software je ji\u017e uvnit\u0159 firemn\u00ed s\u00edt\u011b, pro dal\u0161\u00ed \u0161\u00ed\u0159en\u00ed se obvykle pou\u017e\u00edvaj\u00ed zcela standardn\u00ed taktiky. \u00dato\u010dn\u00edci zkoumaj\u00ed situaci a sna\u017e\u00ed se p\u0159ekonat ty bari\u00e9ry, kter\u00e9 byly uvnit\u0159 firmy vytvo\u0159eny k obran\u011b p\u0159ed hrozbami. Tato \u010d\u00e1st \u00fatoku m\u016f\u017ee prob\u00edhat ru\u010dn\u011b (koneckonc\u016f, kdy\u017e se u\u017e dostali do s\u00edt\u011b, znamen\u00e1 to, \u017ee \"n\u00e1straha na h\u00e1\u010dku\"!). K tomu se pou\u017e\u00edvaj\u00ed ji\u017e dob\u0159e zn\u00e1m\u00e9 n\u00e1stroje, jako je PowerShell, WMI PsExec, a tak\u00e9 nov\u011bj\u0161\u00ed emul\u00e1tor Cobalt Strike a dal\u0161\u00ed utility. N\u011bkter\u00e9 zlo\u010dineck\u00e9 skupiny c\u00edlen\u011b \u00fato\u010d\u00ed na spr\u00e1vce hesel, aby pronikly hloub\u011bji do firemn\u00ed s\u00edt\u011b. A takov\u00fd \u0161kodliv\u00fd software jako Ragnar byl ned\u00e1vno zaznamen\u00e1n v pln\u011b uzav\u0159en\u00e9m obraze virtu\u00e1ln\u00edho stroje VirtualBox, kter\u00fd pom\u00e1h\u00e1 skr\u00fdt p\u0159\u00edtomnost ciz\u00edho softwaru na za\u0159\u00edzen\u00ed. <\/p>\n

Kdy\u017e se \u0161kodliv\u00fd software dostane do firemn\u00ed s\u00edt\u011b, sna\u017e\u00ed se ov\u011b\u0159it \u00farove\u0148 p\u0159\u00edstupu u\u017eivatele a vyu\u017e\u00edt ukraden\u00e1 hesla. N\u00e1stroje jako Mimikatz a Bloodhound & Co. pom\u00e1haj\u00ed hacknout \u00fa\u010dty dom\u00e9nov\u00fdch spr\u00e1vc\u016f. A teprve kdy\u017e \u00fato\u010dn\u00edk pova\u017euje mo\u017enosti \u0161\u00ed\u0159en\u00ed za vy\u010derpan\u00e9, nahr\u00e1v\u00e1 p\u0159\u00edmo na klientsk\u00e9 syst\u00e9my program pro v\u00fdkupn\u00e9. <\/p>\n

Ransomware jako kryt\u00ed
\n<\/h3>\n

\nVzhledem k z\u00e1va\u017enosti hrozby ztr\u00e1ty dat st\u00e1le v\u00edce spole\u010dnost\u00ed ka\u017ed\u00fd rok realizuje takzvan\u00fd \u201epl\u00e1n obnovy po katastrof\u011b\u201c. D\u00edky tomu se nemus\u00ed p\u0159\u00edli\u0161 ob\u00e1vat za\u0161ifrovan\u00fdch dat, a v p\u0159\u00edpad\u011b \u00fatoku ransomware neza\u010d\u00ednaj\u00ed shroma\u017e\u010fovat v\u00fdkupn\u00e9, ale spou\u0161t\u011bj\u00ed proces obnovy. Ale ani \u00fato\u010dn\u00edci nesp\u00ed. Pod z\u00e1minkou ransomware doch\u00e1z\u00ed masivn\u00ed kr\u00e1de\u017ei dat. Jako prvn\u00ed za\u010dali s masov\u00fdm vyu\u017e\u00edv\u00e1n\u00edm t\u00e9to taktiky Maze ji\u017e v roce 2019, i kdy\u017e i jin\u00e9 skupiny ob\u010das kombinovaly \u00fatoky. Nyn\u00ed se kr\u00e1de\u017eemi dat paraleln\u011b se \u0161ifrov\u00e1n\u00edm zab\u00fdvaj\u00ed minim\u00e1ln\u011b Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO a Sekhmet.<\/p>\n

N\u011bkdy \u00fato\u010dn\u00edk\u016fm poda\u0159\u00ed st\u00e1hnout z firmy des\u00edtky terabajt\u016f dat, kter\u00e1 mohla b\u00fdt odhalena prost\u0159edky s\u00ed\u0165ov\u00e9ho monitoringu (kdyby byla nainstalov\u00e1na a nastavena). Vzhledem k tomu, \u017ee nej\u010dast\u011bji p\u0159enos dat prob\u00edh\u00e1 jednodu\u0161e pomoc\u00ed FTP, Putty, WinSCP nebo skript\u016f PowerShell. Aby obch\u00e1zeli DLP a syst\u00e9my s\u00ed\u0165ov\u00e9ho monitoringu, lze data \u0161ifrovat nebo pos\u00edlat jako archiv s heslem, co\u017e p\u0159edstavuje novou v\u00fdzvu pro bezpe\u010dnostn\u00ed slu\u017eby, kter\u00e9 mus\u00ed kontrolovat odchoz\u00ed provoz na p\u0159\u00edtomnost takov\u00fdch soubor\u016f.<\/p>\n

Zkoum\u00e1n\u00ed chov\u00e1n\u00ed infostealer\u016f ukazuje, \u017ee \u00fato\u010dn\u00edci nesb\u00edraj\u00ed v\u0161echno mo\u017en\u00e9 \u2013 zaj\u00edmaj\u00ed je p\u0159edev\u0161\u00edm finan\u010dn\u00ed zpr\u00e1vy, datab\u00e1ze klient\u016f, osobn\u00ed \u00fadaje zam\u011bstnanc\u016f a klient\u016f, smlouvy, z\u00e1znamy, pr\u00e1vn\u00ed dokumenty. \u0160kodliv\u00fd software prohled\u00e1v\u00e1 disky ve snaze naj\u00edt jak\u00e9koli informace, kter\u00e9 by teoreticky mohly b\u00fdt pou\u017eity pro vyd\u00edr\u00e1n\u00ed.
\nPokud takov\u00fd \u00fatok prob\u011bhl \u00fasp\u011b\u0161n\u011b, zlo\u010dinci obvykle zve\u0159ejn\u00ed malou uk\u00e1zku, kter\u00e1 ukazuje n\u011bkolik dokument\u016f jako d\u016fkaz, \u017ee data unikla z organizace. N\u011bkter\u00e9 skupiny v\u0161ak publikuj\u00ed \u00faplnou sadu dat na sv\u00e9 str\u00e1nce, pokud \u010das na zaplacen\u00ed v\u00fdkupn\u00e9ho ji\u017e vypr\u0161el. Aby se vyhnuli blokaci a zajistili \u0161irok\u00fd dosah, publikuj\u00ed data tak\u00e9 na s\u00edti TOR.<\/p>\n

Dal\u0161\u00edm zp\u016fsobem monetizace je prodej dat. Nap\u0159\u00edklad Sodinokibi ned\u00e1vno ozn\u00e1mili kon\u00e1n\u00ed ve\u0159ejn\u00fdch aukc\u00ed, na kter\u00fdch z\u00edsk\u00e1v\u00e1 data \u00fa\u010dastn\u00edk, kter\u00fd nab\u00eddne nejvy\u0161\u0161\u00ed cenu. Za\u010d\u00ednac\u00ed cena takov\u00e9ho dra\u017een\u00ed se pohybuje mezi 50 000 - 100 000 USD v z\u00e1vislosti na kvalit\u011b a obsahu dat. Nap\u0159\u00edklad sada 10 000 z\u00e1znam\u016f o pen\u011b\u017en\u00edch toc\u00edch, d\u016fv\u011brn\u00fdch obchodn\u00edch informac\u00ed a naskenovan\u00fdch \u0159idi\u010dsk\u00fdch pr\u016fkaz\u016f se prod\u00e1vala od 100 000 USD. A za 50 000 USD bylo mo\u017en\u00e9 koupit v\u00edce ne\u017e 20 000 finan\u010dn\u00edch dokument\u016f plus t\u0159i datab\u00e1ze s \u00fa\u010detn\u00edmi soubory a klientsk\u00fdmi daty. <\/p>\n

Webov\u00e9 str\u00e1nky, na nich\u017e jsou publikov\u00e1ny \u00faniky, mohou m\u00edt r\u016fznou formu. M\u016f\u017ee to b\u00fdt jednoduch\u00e1 str\u00e1nka, na kterou byly jednodu\u0161e um\u00edst\u011bny v\u0161echny ukraden\u00e9 informace, ale mohou to b\u00fdt i slo\u017eit\u011bj\u0161\u00ed struktury se sekcemi a mo\u017enost\u00ed n\u00e1kupu. Hlavn\u00ed je, \u017ee v\u0161echny tyto str\u00e1nky slou\u017e\u00ed jednomu c\u00edli \u2013 zv\u00fd\u0161it \u0161ance \u00fato\u010dn\u00edk\u016f na z\u00edsk\u00e1n\u00ed skute\u010dn\u00fdch pen\u011bz. Pokud se tato obchodn\u00ed model osv\u011bd\u010d\u00ed zlo\u010dinc\u016fm, nen\u00ed pochyb, \u017ee takov\u00fdch str\u00e1nek bude je\u0161t\u011b v\u00edce a techniky kr\u00e1de\u017ee a monetizace firemn\u00edch dat budou d\u00e1le roz\u0161\u00ed\u0159eny.<\/p>\n

Takto vypadaj\u00ed aktu\u00e1ln\u00ed str\u00e1nky, na kter\u00fdch se publikuj\u00ed \u00faniky dat:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Co d\u011blat s nov\u00fdmi \u00fatoky
\n<\/h3>\n

\nHlavn\u00ed v\u00fdzvou pro bezpe\u010dnostn\u00ed slo\u017eky v t\u00e9to situaci je, \u017ee v posledn\u00ed dob\u011b je st\u00e1le v\u00edce incident\u016f spojen\u00fdch s Ransomware prost\u011b metodou odvr\u00e1cen\u00ed pozornosti od kr\u00e1de\u017ee dat. Zlo\u010dinci u\u017e se nesoust\u0159ed\u00ed pouze na \u0161ifrov\u00e1n\u00ed server\u016f. Naopak, jejich hlavn\u00edm c\u00edlem se st\u00e1v\u00e1 organizace \u00faniku, zat\u00edmco bojujete se \u0161ifrovac\u00edmi programy. <\/p>\n

Pouze pou\u017e\u00edv\u00e1n\u00ed z\u00e1lo\u017en\u00edho syst\u00e9mu, i s dobr\u00fdm pl\u00e1nem obnovy, nesta\u010d\u00ed k odol\u00e1v\u00e1n\u00ed v\u00edcevrstv\u00fdm hrozb\u00e1m. Samoz\u0159ejm\u011b, \u017ee z\u00e1lohy jsou nezbytn\u00e9, proto\u017ee \u00fato\u010dn\u00edci se pokus\u00ed n\u011bco za\u0161ifrovat a po\u017eadovat v\u00fdkupn\u00e9. Jde sp\u00ed\u0161e o to, \u017ee nyn\u00ed by m\u011bla b\u00fdt ka\u017ed\u00e1 \u00fatok Ransomware pova\u017eov\u00e1na za p\u0159\u00edle\u017eitost k d\u016fkladn\u00e9 anal\u00fdze provozu a zah\u00e1jen\u00ed vy\u0161et\u0159ov\u00e1n\u00ed mo\u017en\u00e9 \u00fatoky. Tak\u00e9 je t\u0159eba zv\u00e1\u017eit dal\u0161\u00ed bezpe\u010dnostn\u00ed opat\u0159en\u00ed, kter\u00e1 by mohla: <\/p>\n