Ransomware

В първата част на този материал разгледахме пет киберзаплахи, които ще продължат да се развиват и през тази година. За съжаление, това далеч не е всичко.

Ето още 5 опасности в киберпространството, които ще продължат да набират скорост през следващите 12 месеца.

Уязвимости на IoT устройствата

IoT (Internet of Things) устройствата дават възможност за процъфтяване на нови заплахи. Независимо дали става въпрос за слаби пароли по подразбиране, липса на криптиране или несигурен фърмуер – те са лесни цели за хакерите.

Тяхното превземане може да доведе до кражба на данни и пробиви в мрежата. Впоследствие те могат да бъдат използвани и за DDoS атаки.

Фактът, че обемът на свързаните устройства постоянно расте, засилва заплахата. В същото време обезопасяването им е истинско предизвикателство. Те са разнообразни и често имат ограничена изчислителна мощност, което не позволява наличието на функции за сигурност.

Организациите ще се нуждаят от защита на инфраструктурата си извън традиционните IT среди.

Криптографски слабости

Криптографските слабости продължават да представляват значителна заплаха. Този вид уязвимости подкопават основите на сигурната комуникация и защитата на данните. Те обикновено се проявяват по два начина: недостатъци в алгоритмите за криптиране или в начина, по който са реализирани.

Нарастващата заплаха се усложнява от факта, че с напредването на изчислителните възможности сегашният доскоро сигурен криптографски стандарт става все по-уязвим.

Тук решението е свързано с редовно актуализиране на криптографските библиотеки и прилагането на силни протоколи за криптиране. По този начин организациите ще намалят значително рисковете от man in the middle атаки и изтичане на чувствителна информация.

Пропуски в сигурността на API

Все повече организации разчитат на API за свързване на системите. Те обаче са изложени на риск, когато имат уязвимости в дизайна или в начина на функциониране. Атакуващите могат да пробият системите чрез неоторизиран достъп, което им позволява да манипулират определени действия.

Пропуските в сигурността на API служат като отправна точка за пробиви в данните. Те могат да доведат до загуба на чувствителна информация, неразрешени трансакции, увреждане на репутацията и значителни финансови загуби.

Заплахата ескалира, тъй като API става все по-разпространени, увеличавайки броя на потенциалните повърхности за атаки. За да намалите тези рискове, от съществено значение е да защитите крайните си точки, да приложите надеждни механизми за удостоверяване и редовно да актуализирате и одитирате достъпа до API.

Уязвимости на 5G мрежата

5G мрежите се разгръщат бързо. Киберпрестъпниците също започват да осъзнават и използват техните уязвимости. Те все по-често се насочват към 5G инфраструктурата, а това отваря вратата за още по-мащабни DDoS атаки, неоторизиран достъп до данни и прекъсване на критични услуги.

Глобалното разпространение на 5G води до увеличаване на броя на свързаните устройства. Това засилва риска от атаки, особено като се има предвид зависимостта им от облачни инфраструктури.

Еволюция на ransomware

Ransomware се превърнаха в едни от най-разрушителните и скъпоструващи кибератаки, главно заради бързата си еволюция.

Една от най-забележителните кампании от този вид беше извършена срещу тръбопровода Colonial Pipeline. Тя спря цялата му дейност, което доведе до недостиг на гориво и обявяване на извънредно положение в четири щата на Източното крайбрежие на САЩ.

Тъй като тези атаки стават все по-целенасочени и агресивни, е от решаващо значение бизнесите да започнат да прилагат надеждни стратегии за защита. Те трябва да включват:

• създаване на защитени резервни копия на критичните данни;
• укрепване на цялостните планове за реагиране при инциденти;
• непрекъснато обучение на служителите да разпознават и избягват опитите за фишинг, които могат да послужат като входна точка за ransomware атака.

Човек трябва да се учи от грешките си, а не да ги повтаря. Това важи с пълна сила и за бизнесите. Затова и големите инциденти на полето на киберсигурността не трябва да се забравят.

В първите дни на 2025 ще обърнем поглед назад, за да си припомним някои от знаковите кибератаки и сривове от предходните 12 месеца.

Пробивът на Internet Archive

На 9 октомври Internet Archive беше засегнат от две различни атаки едновременно. При първата бяха откраднати данните на 33 милиона потребители на сайта. В същото време DDoS атака извади от строя платформата за дни.

Въпреки че и двете бяха извършени в един и същ период, те бяха дело на различни групи.

Лоши актуализации на CrowdStrike сринаха 8,5 милиона устройства с Wndows

На 19 юли 2024 г. рано сутринта на компютрите с Windows беше разпространена дефектна актуализация на CrowdStrike Falcon. Това доведе до срив на драйвера на ядрото на софтуера за киберсигурност в операционната система.

Тази грешка предизвика значителни глобални смущения, засягайки приблизително 8,5 милиона устройства.

Дефектната актуализация предизвика поредица от сривове на системите, включително безкрайни цикли на рестартиране. Те засегнаха както устройствата с Windows, така и тези с Windows 365 Cloud. Смущенията спряха работата на финансови компании, авиопревозвачи, болници и др. по целия свят.

Нещата се влошиха още повече, когато в играта се включиха киберпрестъпниците. Те започнаха да разпространяваха фалшиви инструменти за ремонт на CrowdStrike и ръководства, които прокарваха зловреден софтуер, включително новия infostealer Daolpu.

Кражбата на данни от SnowFlake

През май хакери започнаха да продават критична информация, за която твърдяха, че е открадната от клиенти на Snowflake. Разследването установи, че нападателите не са пробили защитите на облачната платформа, а са използвали компрометирани идентификационни данни, за да влязат в акаунтите на клиентите ѝ.

През юли AT&T разкри, че по време на инцидента са били изложени на риск регистрите на обажданията на 109 млн. нейни клиенти.

TicketMaster също беше засегната, след като бяха откраднати данните на 560 милиона души.

Твърди се, че в рамките на тези атаки хакерите са измъкнали 2,5 млн. долара от засегнатите компании.

Атаката с ransomware срещу UnitedHealth

През февруари дъщерното дружество на UnitedHealth – Change Healthcare – претърпя масирана ransomware атака. Тя предизвика огромни смущения в здравната индустрия на САЩ.

Атаката беше свързана с BlackCat. Групата е използвала откраднати пълномощия, за да пробие услугата за отдалечен достъп Citrix на компанията. Причината – тя не е имала активирана MFA.

Хакерите откраднаха 6 TB данни и криптираха компютрите в мрежата. Това принуди компанията да изключи IT системите си, за да предотврати разпространението на атаката.

UnitedHealth Group призна, че е платила искания откуп в размер на 22 млн. долара. През октомври компанията потвърди, че личните и здравните данни на повече от 100 милиона души са били откраднати. Това е най-големият пробив в здравната индустрия през последните години.

Атаките срещу телеком мрежата в САЩ

Китайската APT група Salt Typhoon атакува множество телекомуникационни компании в световен мащаб. Кампанията ѝ компрометира най-малко девет големи доставчици на телекомуникационни услуги в САЩ, включително AT&T, Verizon и T-Mobile.

Целта на атаките беше кражбата на текстови съобщения, информация за телефонни обаждания и гласова поща от конкретни високопоставени лица. Хакерите успяха да компрометират платформите за подслушване, използвани от правителството на САЩ, което породи сериозни опасения за националната сигурност на страната.

В отговор на атаката, Вашингтон планира да забрани операциите на China Telecom в САЩ.

Пробивът на корпоративната електронна поща на Microsoft от хакери, свързани с Кремъл

През януари Microsoft разкри, че спонсорирани от руската държава хакери са проникнали в корпоративните ѝ имейл сървъри. При пробива бяха откраднат имейли от ръководството, екипите по киберсигурност и правния отдел. Някои от тях са съдържали информация за самата хакерска група, което е позволило на нападателите да научат какво знае Microsoft за тях.

През март 2024 г. Midnight Blizzard отново успяха да проникнат в системите на технологичния гигант. През април CISA потвърди, че при атаката са били откраднати имейли между федерални агенции на САЩ и Microsoft. Те са съдържали информация, която е позволила на хакерите да получат достъп до критични системи на някои нейни клиенти.

Водеща румънска енергийна компания обяви, че е станала обект на „продължаваща“ ransomware атака.

Electrica Group обслужва над 3,8 милиона потребители в Трансилвания и Мунтения.

Атаката не е засегнала SCADA системите на доставчика, използвани за контрол и наблюдение на разпределителната мрежа.

Тази кибератака идва, след като Конституционният съд на Румъния анулира първия тур от президентските избори. Причина за това бяха потвърдени данни за руска кампания за влияние в TikTok в полза на един от кандидатите.

Вълна от ransomware атаки има и зад океана. Те са насочени към здравния сектор на САЩ, а последната жертва е водещият производител на устройства за сърдечна хирургия Artivion. Базираната в Атланта компания има търговски представители в повече от 100 държави. Нападателите са криптирали някои от нейните системи и са откраднали различни типове данни.

В последните месеци подобни съобщения дойдоха и от други организации в сектора на здравеопазването в САЩ. Ransomware атаки бяха извършение срещу веригата от клиники Boston Children’s Health Physicians (BCHP) и UMC Health System, доставчик на здравни услуги за над 300 000 американци.

Организациите у нас също не са застраховани – независимо от тяхната големина и индустрия. За да се предпазите:

• спазвайте стратегията за съхранение на данни 3-2-1: 3 отделни копия на данните, на 2 различни места, и 1 копие офлайн;
• уверете се, че резервните ви копия работят правилно, което изисква постоянни проверки;
• поддържайте всички свои софтуери, особено тези за защита и създаване на резервни копия, актуализирани;
• използвайте софтуери за киберсигурност;
• въведете стриктен контрол на достъпа до своите системи и хранилищата на резервни копия чрез инструменти за аветентикация и оторизация;
• провеждайте постоянно обучения по киберсигурност на служителите си.

 

Ransomware атака срещу Blue Yonder, ключов доставчик на софтуер за управление на веригата за доставки, наруши операциите на редица глобални компании.

Starbucks, например, е била принудена да се върне към ръчни процеси за управление на графиците на служителите и системите за заплати.

В Обединеното кралство веригите супермаркети Morrisons и Sainsbury’s също са били засегнати. Първата разчита на Blue Yonder за управление на складовете си. След атаката се е наложило тя да прибегне до ръчна система за бекъп. Това е оказало влияние върху доставките и наличността на продуктите ѝ.

Други известни компании, включително Albertsons, Kroger, Ford, Procter & Gamble и Anheuser-Busch, също използват решенията на Blue Yonder.

Софтуерният доставчик обслужва над 3000 клиенти в 76 държави, като предлага end-to-end платформа за веригата за доставки. Тя е използвана от множество търговци на дребно, производители и логистични компании.

Този инцидент още веднъж показва колко свързана е глобалната бизнес екосистема. Атака срещу една компания може да окаже негативно влияние върху множество индустрии по целия свят. Затова киберсигурността трябва да е основен приоритет за всяка организация. Независимо от големината, сферата, в която оперира, и географското ѝ местоположение.

 

UnitedHealth потвърди, че при ransomware атака срещу нейната дъщерна компания Change Healthcare са били откраднати личните и здравните данни на над 100 милиона души. Това е най-големият пробив в сектора на здравеопазването в историята. 

Откраднатите данни включват здравноосигурителна информация, медицински досиета, диагнози, резултати от тестове, финансова и банкова информация, номера на шофьорски книжки и лични карти и др. 

Атаката през февруари беше извършена от бандата BlackCat ransomware, известна още като ALPHV. Тя използва откраднати идентификационни данни, за да пробие услугата за отдалечен достъп Citrix на компанията. По време на атаката нападателите са откраднаха 6TB данни и криптираха компютрите в мрежата. 

UnitedHealth Group призна, че е платила искания откуп, за да получи ключа за декриптиране. Предполага се, че той е бил в размер на 22 млн. долара. Освен това компанията разкри, че атаката е причинила общи загуби на стойност 872 млн. долара. 

Ако не искате вашата фирма да попадне в ситуацията на UnitedHealth:  

• спазвайте стратегията за съхранение на данни 3-2-1: 3 отделни копия на данните, съхранявани на 2 различни места, и 1 копие офлайн;  
• проверявайте редовно резервните копия, за да сте сигурни, че работят правилно;  
• поддържайте всички свои софтуери, особено тези за защита и създаване на резервни копия, актуализирани;  
• използвайте софтуери за киберсигурност;  
• въведат стриктен контрол на достъпа до своите системи и хранилищата на резервни копия чрез инструменти за автентикация и оторизация;  
• провеждайте постоянно обучения по киберсигурност на служителите си. 

Последен ъпдейт на 25 септември 2024 в 12:39 ч.

Училищатa и университетите са изправени пред нарастващи разходи, свързани с ransomware атаки, от една страна, а от друга – срещат все повече трудности да се възстановят след тях. 

Организациите от образователния сектор плащат най-високата средна стойност след подобни кампании – 6,6 млн. USD, като сумата е сравнима само с откупите, платени от федералното правителство на САЩ.  

Докладът State of Ransomware in Education 2024 на компанията за киберсигурност Sophos установява, че 44% от училищата в 14 държави от различни глобални региони, в това число и Европа, са се сблъскали с искане за откуп в размер на 5 млн. USD или повече. На 32% от висшите учебни заведения са им били искани между 1 и 5 млн. USD, а на 35% – над 5 млн. USD. 

Кампаниите срещу образователни институции са намалели през 2024 г. в сравнение с 2023, но остават повече спрямо 2022. 

В същото време 95% от атакуваните образователни институции са съобщили, че киберпрестъпниците са се опитали да компрометират и резервните копия на данните им, като при 71% тези опити са успешни. 

Въпреки че България не е след изследваните държави, училищата у нас не са застраховани по никакъв начин. За да се предпазят от ransomware атаки, те трябва да: 

• спазват стратегията за съхранение на данни 3-2-1: 3 отделни копия на данните, съхранявани на 2 различни места, и 1 копие офлайн; 
• сте сигурни, че резервните копия работят правилно, което изисква постоянни проверки; 
• поддържат всички свои софтуери, особено тези за защита и създаване на резервни копия, актуализирани; 
• използват софтуери за киберсигурност; 
• въведат стриктен контрол на достъпа до своите системи и хранилищата на резервни копия чрез инструменти за аветентикация и оторизация; 
• провеждат постоянно обучения по киберсигурност на служителите си. 

По-голямата част от ransomware атаките се извършват между 1 и 5 ч. сутринта, когато е най-вероятно екипите за киберсигурност да бъдат изненадани, според доклада „ThreatDown 2024 State of Ransomware” на компанията за киберсигурност Malwarebytes. 

Други основни заключения в него показват, че: 

• хакерите все по-често използват техники, при които разчитат на вградени инструменти за системно администриране, за да затруднят откриването и предотвратяването на атаките от екипи без Security Operations Center (SOC);
• целият процес на ransomware атаката – от първоначалния достъп до криптирането на данните – се съкращава от седмици до часове. 

Най-засегнатите сектори са услугите и производството, като във втория броят на ransomware атаките се е увеличил със 71% на годишна база. ИТ услугите, строителството, технологиите, логистиката, търговията на дребно, здравеопазването, образованието и търговията на едро допълват топ 10 на най-често атакуваните индустрии. 

Друга лоша новина е, че атаките, извършени от групи извън най-известните 15, също се увеличават – от 25% на 31%. Това подчертава, че те стават достъпни за по-широк кръг киберпрестъпници. 

За да защитите критичните си данни, вашите системи трябва да бъдат наблюдавани 24/7/365. 

Австралийското правителство включи използването на рансъмуер в списъка на криминалните престъпления. Специално наказателно преследване грози хора,  които атакуват критична инфраструктура с криптовируси.

Това е част от националния план за действие при рансъмуер атака, който не одобрява плащането на откуп на киберпрестъпници, с цел да се прекъсне порочен бизнес модел.

Планът въвежда нов задължителен режим за докладване на инциденти с рансъмуер, който ще изисква организации с оборот над 10 млн. AU$ годишно да уведомяват официално правителството, ако претърпят кибератака.

Критичната инфраструктура, която не може да си позволи прекъсвания на работата, е все по-често срещана цел на киберпрестъпници. В края на ноември 2021 г. инцидент с откуп се случи в държавна компания за производство на електроенергия в Куинсланд.

През последните няколко години станахме свидетели на значителен брой инциденти с рансъмуер. От лятото на 2021 г. ще запомним атаките срещу американски петролопровод с национално значение и международна софтуерна компания, които засегнаха доставчици на услуги (MSP) и техните клиенти надолу по веригата.

Да припомним:

Рансъмуер е злонамерен софтуер, предназначен да криптира файлове върху вашите устройства, така че те да станат неизползваеми за системата ви. Традиционно, атакуващите искат паричен откуп в замяна на декриптиране. С течение на времето хакерите подобриха своите тактики, с което заплахите станаха още по-разрушителни. Злонамерените участници все по-често ексфилтрират данните ви и след това заплашват да ги продадат или пуснат безплатно в мрежата ако откупът не бъде платен.

Когато откраднатото включва чувствителна или лична информация или данни за достъп до засегнатите системи, дейността и репутацията на компанията ви може сериозно да пострадат.

Препоръки за предотвратяване на рансъмуер атаки

Каквато и да е организацията ви, съществува риск да станете жертва на инцидент с рансъмуер. Затова и отговорността за защитата на чувствителни и лични данни, съхранявани в системите ви, е ваша – като управляващ бизнеса или като отговарящ за киберсибурността.

Ето какво е добре да направите:

1. Поддържайте офлайн криптирани архиви на данни и редовно ги тествайте.

Архивирането трябва да се извършва редовно. Важно е да поддържате офлайн копия, тъй като много варианти на рансъмуер се опитват да намерят и изтрият или криптират достъпни архиви.

2. Създайте, поддържайте и упражнявайте основен план за реакция при киберинциденти, план за устойчивост и свързан с тях комуникационен план:

• Планът за реакция при киберинциденти трябва да включва процедури за реакция и уведомяване в случай на рансъмуер атака
• Планът за устойчивост трябва да предвижда начин на работа, ако загубите достъп или контрол над критични функции

3. Обърнете особено внимание на уязвимости и неправилни конфигурации на всичките си критични системи. По този начин ще намалите възможността даден актив да бъде атакуван успешно:

• Прилагайте най-добрите практики за използване на протокол за отдалечен достъп (RDP). Атакуващите често получават първоначален достъп до мрежата чрез открити и лошо защитени отдалечени услуги, които дават възможност за разпространение на рансъмуер.
• Одитирайте мрежата за всички критични системи, използващи RDP; затваряйте неизползвани RDP портове; налагайте блокиране на акаунт след определен брой опити; прилагайте многофакторно удостоверяване (MFA); регистрирайте опитите за влизане в RDP
• Провеждайте редовно сканиране на уязвимости, за да ги идентифицирате и отстраните, особено тези на устройства с интернет. Възползвайки се от услуги на външни експертни екипи, за да намалите експозицията си и вероятността да станете жертва на рансъмуер.
• Актуализирайте своевременно софтуера, включително операционните системи, приложенията и фърмуера. Приоритизирайте своевременното закърпване на критични уязвимости и уязвимости на сървъри в интернет, както и софтуерна обработка на интернет данни, като уеб браузъри, приставки за браузъри и четци на документи. Ако бързото закърпване не е осъществимо, приложете съветите, предоставени от доставчика на съответния софтуер, за по-сигурна работа.
• Уверете се, че устройствата ви са правилно конфигурирани и функциите за защита са активирани. Например, деактивирайте портовете и протоколите, които не се използват за бизнес цели.
• Деактивирайте или блокирайте протокола за входящи и изходящи сървърни съобщения (SMB) и премахнете или забранете остарелите му версии.

4. Намалете риска фишинг имейлите да достигнат до крайните потребители

• Активирайте силни филтри за спам
• Прилагайте програма за повишаване на осведомеността и обучение на потребителите в областта на киберсигурността, която включва насоки за това как да се идентифицират и докладват подозрителни дейности (например фишинг) или инциденти

5. Практикувайте добра киберхигиена

• Осигурете си актуален антивирусен софтуер
• Приложете списък с разрешени приложения и забранете всички останали
• Ограничете използването на привилегировани акаунти чрез политики за използване, контрол и управление
• Използвайте MFA за всички услуги, доколкото е възможно, особено за уеб поща, виртуални частни мрежи (VPN) и акаунти, които имат достъп до критични системи

6. Следете каква лична и чувствителна информация се съхранява във вашите системи и кой има достъп до нея

• Ограничете данните, като съхранявате само информация, необходима за бизнес операциите ви. Уверете се, че данните се унищожават правилно, когато вече не са необходими.
• Идентифицирайте компютрите и сървърите, на които се съхранява чувствителна лична информация. Не съхранявайте чувствителни или лични данни в системи или лаптопи, свързани с интернет, освен ако това не е от съществено значение за бизнес операциите ви. Ако лаптопите ви съдържат чувствителни данни, ги шифровайте и обучете служителите си на правилата за физическа сигурност на устройствата.

7. Шифровайте чувствителната информация в покой и при транспортиране

• Внедрете защитни стени от ново поколение за елиминиране на злонамерен или ненужен мрежов трафик
• Обмислете прилагането на сегментиране на мрежата за допълнителна защита на системи, съхраняващи чувствителна или лична информация

8. Уверете се, че вашите планове за реакция при киберинциденти и комуникационни планове включват процедури за реакция и уведомяване за инциденти при нарушаване на данни

В случай че все пак станете жертва на рансъмуер:

• Определете кои системи са засегнати и незабавно ги изолирайте. Ако повече от една система е засегната, веднага изолирайте цялата мрежа на ниво суич. Ако това не е възможно, намерете кабела на мрежата (например Ethernet) и изключете засегнатите устройства или ги премахнете от Wi-Fi, за да ограничите инфекцията.
• Само в краен случай, ако засегнатите устройства не могат да бъдат премахнати от мрежата или мрежата не може да бъде временно спряна, изключете засегнатите устройства, за да избегнете по-нататъшно разпространение на заразата

Забележка: Тази стъпка трябва да се извършва само ако е необходимо, тъй като може да доведе до загуба на артефакти на инфекцията и потенциални доказателства, съхранявани в  паметта

• Ангажирайте вашите вътрешни и външни екипи и заинтересованите страни, като ги информирате как могат да ви помогнат да се възстановите от инцидента
• Сериозно обмислете да поискате помощ от реномиран доставчик на услуги по киберсигурност и реакция при инциденти
• Ако лична информация, съхранявана от името на други фирми, бъде открадната, уведомете тези фирми за нарушението
• Ако инцидента включва лична идентифицираща информация, уведомете засегнатите лица, за да могат те да предприемат стъпки за намаляване на вероятността с тяхната информация да се злоупотреби

Още по темата прочетете ТУК.

В петъчната вечер (13 август 2021 г.) е установена рансъмуер атака срещу вътрешната мрежа на секретариата на Националната хазна, разкри бразилското Министерството на икономиката. Специалистите по сигурността все още разследват степента на сериозност на пробива и последиците от него.

Националната хазна (Tesouro Nacional) е специализиран орган на Министерството на икономиката на Бразилия, който отговаря за администрирането на финансовите ресурси на федералното правителство, както и за управлението и финансирането на държавния дълг на страната. Сред основните задачи на секретариата е да финансира държавния дефицит чрез емитиране на дългови държавни ценни книжа.

Смята се, че атаката по никакъв начин не е засегнала платформата за търговия на Бразилската фондова борса и сделките могат да се извършват нормално.

Това не е първата подобна атака срещу бразилски държавни институции. През април 2021 г. съдебната система в Рио Гранде до Сул беше засегната от рансъмуера REvil.

А по-рано, през ноември 2020 г., бандата RansomEXX атакува Върховния съд на Бразилия, като криптира системите, а уебсайтовете на множество други бразилски федерални правителствени агенции също бяха изключени.

Заключение

Заразяването с криптовирус и последващото възстановяване е неприятно и скъпо „преживяване“. Проактивната защита и план за възстановяване при бедствени събития (disaster recovery plan) са две от „съставките на правилната рецепта“ за справяне с криптовирусите и минимизиране на негативните последици за дейността и репутацията.