Жив и здрав: вируси рансомваре-а у 2019

Рансомваре вируси, као и други типови малвера, еволуирају и мењају се током година – од једноставних ормарића који су спречавали корисника да се пријави у систем, до „полицијског” рансомваре-а који је претио гоњењем за фиктивна кршења закона, дошли смо до програма за шифровање. Овај злонамерни софтвер шифрује датотеке на чврстим дисковима (или целим дисковима) и захтева откуп не за враћање приступа систему, већ за чињеницу да информације корисника неће бити избрисане, продате на даркнету или изложене јавности на мрежи . Штавише, плаћање откупнине уопште не гарантује пријем кључа за дешифровање датотека. И не, ово се „већ десило пре сто година“, али је и даље актуелна претња.

С обзиром на успех хакера и исплативост ове врсте напада, стручњаци верују да ће се њихова учесталост и домишљатост у будућности само повећавати. Од стране дато Циберсецурити Вентурес, у 2016. години, рансомваре вируси су нападали компаније отприлике једном у 40 секунди, 2019. се то дешава сваких 14 секунди, а 2021. учесталост ће се повећати на један напад сваких 11 секунди. Вреди напоменути да се потребна откупнина (посебно у циљаним нападима на велике компаније или урбану инфраструктуру) обично показује вишеструко мањом од штете проузроковане нападом. Тако је мајски напад на владине структуре у Балтимору, Мериленд, у САД, нанео штету већу од 18 милиона долара, при чему је износ откупнине коју су прогласили хакери износио 76 хиљада долара у биткоин еквиваленту. А напад на администрацију Атланте, Џорџија, коштао је град 2018 милиона долара у августу 17, уз тражену откупнину од 52 долара.

Специјалисти Тренд Мицро анализирали су нападе коришћењем рансомваре вируса у првим месецима 2019. године, а у овом чланку ћемо говорити о главним трендовима који свет очекују у другој половини.

Рансомваре вирус: кратак досије

Значење вируса рансомваре јасно је из самог његовог имена: претећи уништавањем (или, обрнуто, објављивањем) поверљивих или вредних информација за корисника, хакери их користе да траже откуп за враћање приступа. За обичне кориснике такав напад је непријатан, али не и критичан: претња губитком музичке колекције или фотографија са одмора у последњих десет година не гарантује плаћање откупнине.

За организације ситуација изгледа потпуно другачије. Сваки минут застоја у пословању кошта, па је губитак приступа систему, апликацијама или подацима за савремену компанију једнак губицима. Због тога се фокус напада рансомваре-а последњих година постепено померао са гранатирања вируса на смањење активности и прелазак на циљане рације на организације у областима активности у којима су шансе за добијање откупнине и њена величина највећа. Заузврат, организације настоје да се заштите од претњи на два главна начина: развијањем начина за ефикасно обнављање инфраструктуре и база података након напада и усвајањем модернијих система сајбер одбране који откривају и брзо уништавају малвер.

Да би остао у току и развио нова решења и технологије за борбу против малвера, Тренд Мицро континуирано анализира резултате добијене од својих система сајбер безбедности. Према Тренд Мицро Паметна заштитна мрежа, ситуација са нападима рансомваре-а последњих година изгледа овако:

Избор жртве у 2019

Ове године, сајбер криминалци су очигледно постали много селективнији у избору жртава: циљају на организације које су мање заштићене и спремне су да плате велику суму да брзо врате нормално функционисање. Због тога је од почетка године већ забележено неколико напада на структуре власти и администрацију великих градова, укључујући Лејк Сити (откупнина – 530 хиљада америчких долара) и Ривијера бич (откуп – 600 хиљада америчких долара) на Флориди, САД.

Разложени према индустрији, главни вектори напада изгледају овако:

— 27% — владине агенције;
— 20% — производња;
— 14% — здравство;
— 6% — трговина на мало;
— 5% — образовање.

Сајбер криминалци често користе ОСИНТ (јавни извор обавештајних података) да би се припремили за напад и проценили његову исплативост. Прикупљајући информације, они боље разумеју пословни модел организације и репутационе ризике које може да претрпи услед напада. Хакери такође траже најважније системе и подсистеме који могу бити потпуно изоловани или онемогућени коришћењем рансомваре вируса – ово повећава шансе за добијање откупнине. На крају, али не и најмање важно, процењује се стање система сајбер безбедности: нема смисла вршити напад на компанију чији ИТ стручњаци су у стању да га одбију са великом вероватноћом.

У другој половини 2019. овај тренд ће и даље бити релевантан. Хакери ће пронаћи нове области активности у којима поремећај пословних процеса доводи до максималних губитака (на пример, транспорт, критична инфраструктура, енергија).

Методе продирања и инфекције

И у овој области се константно дешавају промене. Најпопуларнији алати су и даље пхисхинг, злонамерни огласи на веб локацијама и зараженим интернет страницама, као и експлоати. При томе, главни „саучесник” у нападима је и даље запослени корисник који отвара ове сајтове и преузима фајлове преко линкова или са мејла, што провоцира даљу инфекцију мреже целе организације.

Међутим, у другој половини 2019. ови алати ће бити додати:

• активније коришћење напада помоћу друштвеног инжењеринга (напад у којем жртва добровољно извршава радње које хакер жели или даје информације, верујући, на пример, да комуницира са представником менаџмента или клијентом организације), чиме се поједностављује прикупљање информација о запосленима из јавно доступних извора;
• коришћење украдених акредитива, на пример, пријава и лозинки за системе удаљене администрације, који се могу купити на даркнету;
• физичко хаковање и продор који ће омогућити хакерима на лицу места да открију критичне системе и поразе безбедност.

Методе за скривање напада

Захваљујући напретку у сајбер безбедности, укључујући Тренд Мицро, откривање класичних породица рансомвера је постало много лакше последњих година. Технологије машинског учења и анализе понашања помажу у идентификацији малвера пре него што продре у систем, тако да хакери морају да смисле алтернативне начине да сакрију нападе.

Већ познате стручњацима из области ИТ безбедности и нове технологије сајбер криминалаца имају за циљ да неутралишу сандбокове за анализу сумњивих датотека и система за машинско учење, развој малвера без фајлова и коришћење зараженог лиценцираног софтвера, укључујући софтвер произвођача сајбер безбедности и разне удаљене услуге са приступом мрежа организације.

Закључци и препоруке

Генерално, можемо рећи да у другој половини 2019. постоји велика вероватноћа циљаних напада на велике организације које су у стању да плате велике откупе сајбер криминалцима. Међутим, хакери не развијају увек сами решења за хаковање и малвер. Неки од њих, на пример, озлоглашени тим ГандЦраб, који већ јесте престала са својим активностима, зарадивши око 150 милиона америчких долара, настављају да раде по РааС шеми (рансомваре-ас-а-сервице, или „рансомваре вируси као услуга“, по аналогији са антивирусима и системима за сајбер одбрану). Односно, дистрибуцију успешног рансомваре-а и крипто-локера ове године не врше само њихови креатори, већ и „станари“.

У таквим условима, организације треба да стално ажурирају своје системе сајбер безбедности и шеме за опоравак података у случају напада, јер једини ефикасан начин за борбу против вируса рансомваре-а није плаћање откупнине и лишавање извора профита њиховим ауторима.

Извор: ввв.хабр.цом