ransomware

Ransomware to rodzaj złośliwego oprogramowania (malware), który szyfruje pliki na urządzeniu, przez co one same i zależne od nich systemy stają się bezużyteczne ^[1]. NIST opisuje atak ransomware jako szyfrowanie danych organizacji połączone z żądaniem zapłaty za przywrócenie dostępu ^[2]. Atakujący mogą też kraść dane i żądają pieniędzy za ich nieopublikowanie ^[2]. Ransomware nie jest więc pojedynczą techniką, lecz sposobem wymuszenia, który łączy kilka etapów ataku.

Jak działa

MITRE ATT&CK opisuje technikę jako szyfrowanie danych na jednym systemie albo na wielu systemach w sieci, aby odciąć dostęp do zasobów ^[3]. Atakujący szyfruje pliki na dyskach lokalnych i zdalnych i zatrzymuje klucz; celem jest okup albo trwałe zniszczenie danych, gdy klucza nikt nie zachowa ^[3]. Ta druga odmiana zbliża się do działania programu typu wiper.

Szyfrowanie jest ostatnim krokiem ataku, nie pierwszym. Wcześniej przestępca musi wejść do systemu, rozejrzeć się w nim, wykraść dane i usunąć przeszkody. CISA zwraca uwagę, że odmiany ransomware aktywnie szukają dostępnych kopii zapasowych (backup), aby je skasować albo zaszyfrować i w ten sposób wymusić zapłatę ^[1].

RYS. 1Przebieg ataku ransomware

Odmiany

Wczesne kampanie opierały się na blokadzie ekranu. CERT Polska opisał we wrześniu 2013 roku program, który tworzył nowy pulpit systemu Windows i wyświetlał na nim komunikat oskarżający użytkownika o przestępstwo, żądając 500 zł w bonach Ukash lub paysafecard ^[4]. Komunikat zawierał liczne błędy językowe, a autorzy przygotowywali też wersje na inne rynki ^[4]. Współcześnie szyfrowanie często łączy się z kradzieżą danych ^[2]. CISA opisuje przypadki, w których przestępcy w ogóle rezygnują z szyfrowania i szantażują wyłącznie groźbą ujawnienia ^[1]. Istnieje też odmiana niszcząca: gdy klucz nie zostaje zachowany, szyfrowanie trwale odbiera dostęp do danych ^[3]. Odrębnym zjawiskiem jest model ransomware-as-a-service (RaaS), w którym twórcy udostępniają narzędzia innym grupom.

W WordPressie

Strony internetowe pojawiają się w historii ransomware na dwa sposoby. Po pierwsze jako kanał dystrybucji. CERT Polska w 2013 roku odnotował, że ransomware rozprzestrzeniał się przez przejęte strony w domenie gov.pl, przez sieci reklamowe na legalnych witrynach oraz przez podatności w Javie ^[4].

Po drugie jako ofiara. W sierpniu 2017 roku Help Net Security opisał, za badaczami firmy Wordfence, tak zwany EV ransomware, wgrywany na już przejęte strony WordPress ^[5]. Program szyfrował większość plików strony i dopisywał do nich rozszerzenie .ev ^[5]. Według badaczy nie zawierał działającego mechanizmu odszyfrowania, dlatego odradzali płacenie okupu ^[5]. Warianty tego programu publikowano na GitHubie co najmniej od maja 2016 roku, a kod źródłowy i nazwa konta wskazywały na grupę z Indonezji ^[5]. Badacze spodziewali się, że kolejne wersje obejmą także bazę danych WordPressa ^[5]. Warunkiem ataku było wcześniejsze przejęcie strony, na przykład przez podatność we wtyczce albo wgranie dowolnego pliku (arbitrary file upload).

Podstawową obroną strony WordPress jest kopia zapasowa (backup). Dokumentacja WordPressa przypomina, że pełne odtworzenie wymaga kopii zarówno bazy danych, jak i plików ^[6]. Zaleca przechowywanie od trzech do pięciu ostatnich kopii w różnych miejscach, na przykład na serwerze, w chmurze i na komputerze lokalnym ^[6]. Częstotliwość zależy od aktywności strony: dla małych witryn dokumentacja proponuje kopię raz w tygodniu, dla stron z dużą liczbą wpisów codziennie, a bazę zawsze przed aktualizacją ^[6]. Przy ransomware istotne jest to drugie i trzecie miejsce: badacze Wordfence radzili trzymać kopie poza serwerem WWW, bo inaczej one również zostaną zaszyfrowane ^[5].

Zagrożenia i skutki

Skutkiem jest utrata dostępności danych i usług, a przy podwójnym wymuszeniu także poufności. Kradzież danych przed szyfrowaniem to eksfiltracja danych, a gdy dotyczy danych osobowych, oznacza naruszenie ochrony danych osobowych z obowiązkami wynikającymi z RODO. Zapłata okupu nie gwarantuje odzyskania danych, co dobrze pokazuje przypadek EV ransomware bez działającego odszyfrowania ^[5].

Jak się bronić

Profil NIST IR 8374 porządkuje obronę według funkcji NIST Cybersecurity Framework: identyfikacji, ochrony, wykrywania, reagowania i odtwarzania ^[2]. Najczęściej powtarzane zalecenia to:

• Kopie offline. CISA zaleca utrzymywanie zaszyfrowanych kopii krytycznych danych offline i regularne testowanie ich dostępności i integralności w scenariuszu odtwarzania ^[1]. Ten sam cel ma kopia niezmienna (immutable backup).
• Plan odtwarzania. MITRE zaleca plany odtwarzania z procedurą regularnego wykonywania i testowania kopii, przechowywanych poza zasięgiem atakującego ^[3].
• Utrudnienie wejścia: aktualizacje, uwierzytelnianie dwuskładnikowe i ograniczanie uprawnień.
• Przygotowane reagowanie na incydenty, w tym izolacja zainfekowanych systemów.

Historia i przykłady

Jednym z największych działań przeciw grupie ransomware była operacja Cronos. 20 lutego 2024 roku brytyjska National Crime Agency ogłosiła przejęcie środowiska administracyjnego grupy LockBit oraz jej strony z wyciekami w dark webie ^[7]. Agencja pozyskała ponad 1000 kluczy odszyfrowujących dla ofiar ^[7]. W ramach operacji zatrzymano dwie osoby związane z LockBitem w Polsce i na Ukrainie ^[7]. W Stanach Zjednoczonych zarzuty usłyszało dwóch oskarżonych, a ujawniono też akty oskarżenia wobec dwóch obywateli Rosji ^[7]. Śledczy przejęli ponadto kod źródłowy platformy i dużą ilość informacji z jej systemów ^[7]. Operację wspierało dziewięć państw, a koordynował ją Europol ^[7].