Šifrējošie izspiedējvīrusi – pasaules gals vai tomēr ne?

Pirmais šifrējošā izspiedējvīrusa uzbrukums notika jau tālajā 1989. gadā. Datnes netika sabojātas, bet gan paslēptas, un tām tika nomainīts nosaukums, lai tās būtu grūtāk atrast. Zinošs datorspeciālists viegli varēja “zaudētos” datus atgūt. Kādu ļaunumu šobrīd var nodarīt šie vīrusi, un kā no tiem pasargāt savu uzņēmumu?

Kas ir izspiedējvīruss?

Attīstoties iespējām anonīmi sazināties un anonīmi saņemt maksājumus, auga arī izspiešanas uzbrukumu pievilcība likumpārkāpēju acīs. 2005. gada vidū parādījās pirmie nopietnie izspiedējvīrusi, kuros tika izmantoti šifrēšanas algoritmi, lai padarītu datus lietotājam nepieejamus. Datu atgūšanai uzbrucēji pieprasīja veikt maksājumu, pēc kura saņemšanas upurim tiktu nodota atšifrēšanas atslēga.

Viens no lielākajiem šifrējošo izspiedējvīrusu incidentiem ir 2017. gadā notikušais “WannaCry” uzbrukums, kurā īsā laikā tika inficēts vairāk nekā 230 tūkst. iekārtu 150 valstīs, t. sk. arī Latvijā.

Dažādu izspiedējvīrusu radītais kaitējums arvien pieaug. 2020. gadā viena uzbrukuma radītie zaudējumi, iekļaujot dīkstāvi, datu atjaunošanu u.tml., sasniedza 75 milj. ASV dolāru. Jāņem arī vērā, ka turpina izzust robeža starp sensitīvas informācijas zādzībām un šifrējošo izspiedējvīrusu uzbrukumiem. Daudzi šifrējošie vīrusi, tādi kā “Sodinokibi”, “Maze” u.c., pirms iekārtu šifrēšanas veica arī datu kopēšanu. Upuriem tika pieprasīta izpirkuma maksa ne tikai par datu atgūšanu, bet arī par nozagto datu neizplatīšanu. Ņemot vērā Vispārīgajā datu aizsardzības regulā noteikto sodu par datu noplūdi – līdz 20 milj. eiro vai 4% no globālā apgrozījuma gadā (piemērots lielākais) –, uzbrucēji var noteikt atbilstošu datu nenopludināšanas “cenu”.

Kā tas notiek?

Šifrējošie izspiedējvīrusi datorā var nonākt dažādi. Ja datorā nav uzstādīti atjauninājumi un gadās apmeklēt tīmekļa vietni, kura ir uzlauzta, dators var tikt inficēts ar šifrējošo vīrusu.

Var gadīties, ka šifrējošais izspiedējvīruss tiek atsūtīts e-pastā kā pielikums no pilnīgi nezināma sūtītāja vai arī no kolēģa, vai drauga, kura dators arī ticis inficēts. E-pastiem no zināma sūtītāja ir lielāka iespēja tikt atvērtiem.

Trešais šīs ļaunatūras izplatīšanas veids, kas beidzamajos pāris gados ir kļuvis ļoti populārs kibernoziedznieku vidū, ir nepietiekami aizsargātas attālinātās piekļuves (Remote Desktop Protocol jeb RDP) izmantošana. RDP sniedz iespēju attālināti pieslēgties citam datoram vai serverim. Pandēmijas ietekmē RDP tiek plašāk izmantota, lai no mājām pieslēgtos dažādiem uzņēmumu un iestāžu iekšējiem resursiem. Ja šai piekļuvei netiek noteikti ierobežojumi, teiksim, tikai izmantojot virtuālo privāto tīklu (VPN), un ir vāja parole, uzbrucēji var piemeklēt paroli, vai nu minot, vai izmantojot par pamatu nozagtu paroļu datubāzes.

Nonākot datorā, vīruss sašifrē visas tur esošās datnes un cieto disku, izmantojot gana sarežģītu algoritmu, lai pēcāk pieprasītu izpirkuma maksu kriptovalūtā par piekļuves atjaunošanu. Jo potenciāli svarīgāki dati un iekārtas (piemēram, serveris salīdzinājumā ar individuālu datoru), jo augstāka būs izpirkuma maksa.

Kā sevi pasargāt?

No šifrējošajiem izspiedējvīrusiem savu datoru var pasargāt tāpat kā no jebkuras citas ļaunprogrammatūras. Jārūpējas, lai izmantotā programmatūra un arī operētājsistēma tiek regulāri atjauninātas. Kad vien tas iespējams, jāizvēlas automātiskā atjauninājumu uzstādīšana. Jo jaunāka ir programmatūra, jo mazāk tai būs zināmu “caurumu” un nepilnību, kurus kibernoziedznieki varētu izmantot datora inficēšanai.

Katram resursam jāizmanto droša un unikāla parole. Nepietiek tikai ar vienu garu un sarežģītu paroli visos resursos, – ja kāds resurss cieš kiberuzbrukumā un uzbrucēji nozog lietotāja datus, tostarp paroles, datu drošība visos citos resursos tiek apdraudēta. Tādēļ katram resursam ir nepieciešama sava parole. Lai tā būtu droša, tai jābūt vismaz 14 simbolu garai un jāsatur dažādas rakstu zīmes (gan burti, gan cipari, gan speciālie simboli). Lai varētu veidot drošākas paroles, iesakām izmantot paroļu frāzes (īsus teikumus vai vārdu savirknējumus, kas papildināti ar simboliem) vai paroļu pārvaldniekus (speciālas programmas vai iekārtas, kuras palīdzēs veidot un atcerēsies visas lietotāja garās un sarežģītās paroles; jāatminas tikai viena – paroļu pārvaldnieka parole). Papildu drošībai visur, kur tas tiek piedāvāts, aicinām iespējot arī vairāku faktoru autentifikāciju. Tā apgrūtinās uzbrucēju piekļuvi lietotāja iekārtai vai datiem, pat ja viņu rīcībā būs nonākusi viņa parole. Tieši vāju paroļu dēļ bieži notiek RDP uzlaušana.

Regulāri jāveido svarīgu datu rezerves kopijas. Tas palīdzēs ne tikai pret šifrējošajiem izspiedējvīrusiem, bet arī tad, ja iekārta tiks nozaudēta vai vienkārši pārstās darboties. Par drošu rezerves kopiju nevar uzskatīt vēl vienu mapīti turpat datorā: ja ar iekārtu notiek kas nelāgs, zaudēta tiek arī “rezerves kopija”, kuras uzdevums ir sniegt iespēju turpināt “digitālo dzīvi” arī pēc incidenta, tāpēc tai jābūt ar datoru nesaistītai – ārējā cietajā diskā, kas ikdienā nav pieslēgts pie datora. Cita iespēja ir glabāt rezerves kopijas “mākonī”.

__________________________________________________________________________

2020. gadā viena uzbrukuma radītie zaudējumi, iekļaujot dīkstāvi, datu atjaunošanu u. tml., sasniedza 75 milj. ASV dolāru

__________________________________________________________________________

Jābūt modriem un kritiskiem. Ja tiek saņemts negaidīts e-pasts ar pielikumu no nezināma sūtītāja, tas jāignorē, it īpaši, kad e-pastā steidzina atvērt pielikumu. Ja sūtītājs ir zināms, ar viņu var sazināties citā veidā, piemēram, piezvanot, un tā pārliecināties, vai e-pasts ir uzticams un drošs.

Pienācīgi jāaizsargā izmantojamie resursi. Jāpaaugstina attālinātās piekļuves drošība, nosakot ierobežojumus šīs piekļuves izmantošanai un veidojot atbilstošu grupu politiku, piemēram, bloķējot lietotāju, ja no vienas IP adreses notikuši vairāk nekā trīs kļūdaini pieslēgšanās mēģinājumi. Jāizmanto tikai garas un sarežģītas paroles. Jāpārskata, kam ir tiesības izdarīt izmaiņas (veikt ierakstus vai dzēst) koplietošanas mapēs gan iekšējā tīklā, gan ārējos risinājumos.

Ko darīt, ja izspiedējvīruss tomēr ir nokļuvis datorā?

Ja rodas aizdomas, ka datorā ir nonācis šifrējošais vīruss, var mēģināt ierobežot tā izplatību, bet parasti šifrēšana notiek ātri (1 TB ārējo disku var šifrēt dažās minūtēs). Dažādi vīrusu paveidi uzvedas atšķirīgi, bet var mēģināt atvienot iekārtu no tīkla (atslēdzot arī “Wi-Fi”, “Bluetooth” un citas tīklošanās iespējas), lai novērstu vīrusa izplatīšanos uz citām tīkla iekārtām vai diskiem. Pēc atvienošanas no tīkla iekārtu var izslēgt, lai apturētu vīrusa darbību un pasargātu vismaz daļu datu no šifrēšanas, taču tas var padarīt problemātisku šifrēto datu atgūšanu. Pirms iekārtas izslēgšanas iesakām izveidot RAM operatīvās atmiņas kopiju (noderēs FTK imager vai citi rīki).

Ja dati tomēr ir sašifrēti un rezerves kopijas nav pieejamas, ir novecojušas vai bojātas, iesakām uzreiz nekrist panikā, bet pārbaudīt, vai projektā "No More Ransom" nav pieejama atbilstoša atšifrēšanas atslēga. Projekta vietnē informācija ir arī latviešu valodā, un šobrīd te pieejamas atšifrēšanas atslēgas jau 140 dažādiem vīrusiem.

Pirms veic jebkādas darbības ar šifrēto iekārtu (gan datu atjaunošanu no rezerves kopijas, gan atšifrēšanas mēģinājumus), aicinām izveidot cietā diska spoguļkopiju (mirrorimage). Šim mērķim noderēs programma “Clonezilla”. Tas nepieciešams, lai nejauši neizdzēstu kādu failu, kā rezultātā nevarētu atšifrēt datus.

Ja projektā “No More Ransom” atšifrēšanas atslēga tomēr nav pieejama:

• var izveidot šifrēto datu kopiju un glabāt to, gaidot, līdz publiski būs pieejama atšifrēšanas atslēga;
• ja šifrēto datu radītie zaudējumi pārsniedz izpirkšanas izmaksas, daļa uzņēmumu izvēlas maksāt izspiedējiem. Cert.lv gan maksāt neiesaka, jo tas negarantē datu atgūšanu, kā arī finansē un popularizē šādas ļaundabīgas aktivitātes. Maksājums var kalpot arī par indikatoru, ka upuris ir spējīgs maksāt, un var izraisīt papildu uzbrukumus nākotnē.

Pirms atsāk iekārtas lietošanu, ieteicams to pārinstalēt. Lai līdzīga situācija neatkārtotos, ir svarīgi incidenta analīzes ceļā saprast, kā vīruss ir iekļuvis sistēmā, un šo “caurumu aizlāpīt”. Pretējā gadījumā pastāv risks atkārtoti uzkāpt uz tā paša grābekļa.