Co je ransomware?

Vyskytují se především dva druhy ransomwaru: kryptografický ransomware a blokovací ransomware (locker). Ty se dále dělí na několik podtypů.

Kryptografický ransomware
Při útoku kryptografického ransomwaru útočník zašifruje citlivá data nebo soubory oběti tak, že k nim oběť nebude mít přístup, dokud nezaplatí požadované výkupné. Teoreticky platí, že jakmile útočník dostane zaplaceno, přenechá dešifrovací klíč, který oběti poskytne přístup k souborům nebo datům, ale neexistuje žádná záruka. Mnoho organizací trvale ztratilo přístup ke svým souborům i po zaplacení výkupné.

Blokovací ransomware
V případě blokovacího ransomwaru útočníci uzamknou oběti přístup do jejího zařízení a zobrazí jí pokyny, jak zaplatit výkupné, aby získala přístup zpět. Tato forma ransomwaru obvykle nezahrnuje šifrování, takže jakmile oběť znovu získá přístup do svého zařízení, dostane se ke všem citlivým souborům a datům. Blokovací ransomware se běžně používá na mobilních zařízeních.

Tyto dvě hlavní formy ransomwaru se dělí na následující podtypy:

Scareware
Scareware využívá strachu, aby přiměl lidi zaplatit výkupné. Při těchto typech kybernetických útoků se zlí aktéři vydávají za orgány činné v trestním řízení a posílají oběti zprávu, ve které ji obviňují z trestného činu a požadují pokutu.

Doxware
V případě doxwaru zlí aktéři kradou osobní údaje a hrozí, že je zveřejní, pokud nebude zaplaceno výkupné.

Ransomware s dvojitým vydíráním
V případě ransomwaru s dvojitým vydíráním útočníci nejen zašifrují soubory, ale také ukradnou citlivá data a vyhrožují, že je zveřejní, pokud jim nebude zaplaceno výkupné.

Wipers
Wipers vyhrožují zničením dat oběti, pokud nezaplatí výkupné.

Většina útoků ransomwaru má tři fáze.

1. Získání přístupu
Zlí aktéři používají různé metody k získání přístupu k citlivým datům společnosti. Jedním z nejběžnějších je útok phishing, kdy kyberzločinci používají e-maily, SMP nebo telefonní hovory, aby podvodně vylákali z lidí přihlašovací údaje nebo je přiměli ke stažení malwaru. Zlí aktéři také cílí na zaměstnance a další uživatele se škodlivými weby, které používají tzv. sadu exploitů k automatickému stažení a instalaci malwaru do zařízení oběti.

2. Zašifrování dat
Jakmile útočníci ransomwaru získají přístup k citlivým datům, zkopírují je a zničí původní soubor spolu se všemi zálohami, ke kterým mají přístup. Potom svou kopii zašifrují a vytvoří dešifrovací klíč.

3. Požadavek na výkupné
Poté, co ransomware znepřístupní data, zobrazí prostřednictvím okna výstrahy zprávu, která vysvětluje, že data byla zašifrována, a požaduje peníze, obvykle v kryptoměně, výměnou za dešifrovací klíč. Zlí aktéři, kteří stojí za těmito útoky, mohou také vyhrožovat, že pokud oběť odmítne zaplatit, data zveřejní.

Kromě okamžitého narušení provozu mohou důsledky útoku ransomwaru zahrnovat značné finanční ztráty, poškození pověsti a dlouhodobé provozní problémy.

Finanční důsledky
Náklady na zaplacení výkupného mohou být značné – často jdou do milionů dolarů a neexistuje žádná záruka, že útočníci poskytnou dešifrovací klíč nebo že bude daný klíč správně fungovat.

I když organizace odmítnou výkupné zaplatit, mohou jim vzniknout velké finanční náklady. Narušení způsobené útokem ransomwaru může vést k prodlouženým odstávkám, což ovlivní produktivitu a může vést ke ztrátě příjmů. Zotavení po útoku zahrnuje další výdaje, včetně nákladů na forenzní vyšetřování, právní poplatky a investice do vylepšených bezpečnostních opatření.

Poškození reputace
Zákazníci a partneři můžou ztratit důvěru v napadenou firmu, což vede k poklesu loajality zákazníků a potenciální ztrátě budoucích zakázek. Velké útoky často přitahují pozornost médií, což může poškodit pověst společnosti a dobré jméno její značky.

Provozní problémy
I při zálohování existuje riziko ztráty nebo poškození dat, což může mít dopad na kontinuitu podnikání a provozní efektivitu. Firmám mohou také hrozit právní a regulační postihy za zanedbání ochrany citlivých údajů, zejména pokud se na ně vztahují předpisy o ochraně údajů, jako je Obecné nařízení o ochraně údajů v Evropské unii nebo Kalifornský zákon o ochraně soukromí spotřebitelů.

Mnoho z nejznámějších útoků ransomwaru řízených lidmi je prováděno ransomwarovými skupinami, které využívají obchodní model ransomwaru jako služby.

 

• Od svého prvního výskytu v roce 2019 se LockBit zaměřuje na různé sektory, včetně finančních služeb, zdravotnictví a výroby. Tento ransomware je známý díky své schopnosti se sám šířit v sítích, a proto je obzvláště nebezpečný. Subjekty stojící za ransomwarem LockBit jsou zodpovědné za řadu významných útoků, při nichž byly použity sofistikované techniky k šifrování dat a požadováno výkupné. 
• Útoky BlackByte často zahrnují dvojité vydírání, kdy kyberzločinci zašifrují a exfiltrují data a vyhrožují publikování odcizených dat, pokud jim není zaplaceno výkupné. Tento ransomware se používá k cílení na sektory kritické infrastruktury, včetně státní správy a finančních služeb.
• Skupina za ransomwarem Hive, která byla aktivní od června 2021 do ledna 2023, používala dvojité vydírání a obvykle cílila na veřejné instituce a kritickou infrastrukturu, včetně zdravotnických zařízení. FBI dosáhla významného vítězství v boji proti kybernetické kriminalitě, když v roce 2022 pronikla do sítě společnosti Hive, získala dešifrovací klíče a zabránila požadavkům na výkupné ve výši přes 130 milionů USD. 
• Ransomware Akira je sofistikovaný malware, který je aktivní od začátku roku 2023 a zaměřuje se na systémy Windows i Linux. Zlí aktéři využívají ransomware Akira k získání počátečního přístupu prostřednictvím ohrožení zabezpečení ve službách VPN, zejména těch, které nemají vícefaktorové ověřování. Od svého vzniku ransomware Akira napadl více než 250 organizací a vydělal svým tvůrcům přibližně 42 milionů USD.

 

Pokud zjistíte, že jste se stali obětí ransomwarového útoku, máte k dispozici několik možností pro nápravu a řešení.

Izolujte nakažená data
Jakmile budete moct, izolujte napadená data, abyste zabránili šíření ransomwaru do jiných oblastí vaší sítě.

Spusťte antimalwarový program
Po izolaci všech nakažených systémů použijte k odebrání ransomwaru antimalwarový program.

Dešifrujte soubory nebo obnovte zálohy
Pokud je to možné, použijte k dešifrování souborů bez placení výkupného dešifrovací nástroje poskytované orgány činnými v trestním řízení nebo bezpečnostními výzkumníky. Pokud dešifrování není možné, obnovte soubory ze záloh.

Útok nahlaste
Pokud chcete nahlásit útok, obraťte se na příslušné místní nebo státní orgány. Ve Spojených státech kontaktujte místní pobočku FBI, IC3 nebo tajnou službu. I když tento krok pravděpodobně nevyřeší vaše aktuální problémy, je důležitý, protože tyto orgány aktivně sledují a monitorují různé útoky. Když se podělíte o své zkušenosti, můžete přispět k vypátrání a trestnímu stíhání kyberzločinců nebo jejich skupiny.

K platbě výkupného přistupujte obezřetně
I když může být lákavé zaplatit výkupné, nemáte žádnou záruku, že kyberzločinci dodrží své slovo a umožní vám přístup k vašim datům. Bezpečnostní experti a orgány činné v trestním řízení doporučují, aby oběti ransomwarových útoků požadované výkupné neplatily, protože by tím mohly být vystaveny budoucím hrozbám a aktivně by podporovaly zločinecké skupiny.

Výzkumníci v oblasti zabezpečení očekávají, že ransomware bude v nadcházejících letech nadále růst na četnosti a složitosti. Pokroky v oblasti AI usnadňují kybernetickým zločincům rychlou automatizaci a vylepšování ransomwaru. Do hry se zapojuje stále více lidí s omezenými technickými dovednostmi, protože si mohou na dark webu koupit nástroje pro ransomware řízené umělou inteligencí nebo spolupracovat s organizací poskytující ransomware jako službu.

Větší a sofistikovanější kybernetické zločinecké organizace, včetně národních států, se také stále častěji zaměřují na kritickou infrastrukturu a dodavatelské řetězce, což vede k významnému narušení komunálních a obchodních operací. Tyto subjekty se často zaměřují na státní správu, dopravní systémy a zdravotnické organizace s cílem paralyzovat služby.

Aby organizace mohly těmto vyvíjejícím se hrozbám čelit, zavádějí AI pro kybernetickou bezpečnost, která jim pomáhá rychle a efektivně odhalovat útoky ransomwaru a reagovat na ně. Tyto technologie analyzují obrovské objemy dat a identifikují vzory a anomálie, které by mohly indikovat útok ransomwaru. Mnoho z těchto řešení může také automaticky reagovat na zjištěné hrozby a zkrátit tak dobu potřebnou ke zmírnění útoku.

Model zabezpečení s nulovou důvěrou (Zero Trust) také zrychluje způsob, jak zvýšit kybernetickou bezpečnost a omezit šíření ransomwaru a dalších škodlivých aktivit.