Τι είναι το ransomware;

Το ransomware διατίθεται σε δύο κύριες μορφές: Crypto ransomware και Locker ransomware, τα οποία χωρίζονται περαιτέρω σε διάφορους δευτερεύοντες τύπους.

Crypto ransomware
Σε μια επίθεση crypto ransomware, ο εισβολέας κρυπτογραφεί τα ευαίσθητα δεδομένα ή αρχεία του θύματος, ώστε να μην μπορεί να έχει πρόσβαση σε αυτά, εκτός εάν καταβάλει τα λύτρα που του ζητούνται. Θεωρητικά, μόλις το θύμα πληρώσει, ο επιτιθέμενος παραδίδει ένα κλειδί αποκρυπτογράφησης που του δίνει πρόσβαση στα αρχεία ή τα δεδομένα, ωστόσο, δεν υπάρχει καμία εγγύηση. Πολλοί οργανισμοί έχουν χάσει οριστικά την πρόσβαση στα αρχεία τους ακόμη και μετά την καταβολή των λύτρων.

Locker ransomware
Στο locker ransomware, οι κακόβουλοι παράγοντες αποκλείουν το θύμα από τη συσκευή του και του παρουσιάζουν ένα σημείωμα λύτρων στην οθόνη με οδηγίες για το πώς να πληρώσει λύτρα για να ανακτήσει την πρόσβαση. Αυτή η μορφή ransomware δεν περιλαμβάνει συνήθως κρυπτογράφηση, οπότε μόλις το θύμα ανακτήσει πρόσβαση στη συσκευή του, όλα τα ευαίσθητα αρχεία και δεδομένα διατηρούνται. Το ransomware locker χρησιμοποιείται συνήθως σε κινητές συσκευές.

Αυτές οι δύο κύριες μορφές ransomware χωρίζονται στους ακόλουθους δευτερεύοντες τύπους:

Scareware
Το scareware χρησιμοποιεί τον φόβο για να κάνει τους ανθρώπους να πληρώνουν λύτρα. Σε αυτούς τους τύπους επιθέσεων στον κυβερνοχώρο, οι κακόβουλοι παράγοντες παρουσιάζονται ως υπηρεσία επιβολής του νόμου και στέλνουν ένα μήνυμα στο θύμα, κατηγορώντας το για ένα έγκλημα και απαιτώντας πρόστιμο.

Doxware
Στο Doxware, οι κακόβουλοι παράγοντες υποκλέπτουν προσωπικές πληροφορίες και απειλούν να τις αποκαλύψουν δημοσίως, αν δεν καταβληθούν λύτρα.

Double extortion ransomware (διπλού εκβιασμού)
Στο double extortion ransomware, οι εισβολείς όχι μόνο κρυπτογραφούν αρχεία, αλλά επίσης υποκλέπτουν ευαίσθητα δεδομένα και απειλούν να τα δημοσιοποιήσουν αν δεν καταβληθούν λύτρα.

Wipers
Τα Wipers απειλούν να καταστρέψουν τα δεδομένα του θύματος αν δεν καταβληθούν λύτρα.

Οι περισσότερες επιθέσεις ransomware ακολουθούν μια διαδικασία τριών βημάτων.

1. Απόκτηση πρόσβασης
Οι κακόβουλοι παράγοντες χρησιμοποιούν διάφορες μεθόδους για να αποκτήσουν πρόσβαση στα ευαίσθητα δεδομένα μιας εταιρείας. Ένα από τα πιο συνηθισμένα είναι το ηλεκτρονικό "ψάρεμα", δηλαδή όταν οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν ηλεκτρονικό ταχυδρομείο, μηνύματα κειμένου ή τηλεφωνικές κλήσεις για να παραπλανήσουν τους χρήστες να δώσουν τα διαπιστευτήριά τους ή να κατεβάσουν κακόβουλο λογισμικό. Οι κακόβουλοι παράγοντες στοχεύουν επίσης υπαλλήλους και άλλους χρήστες με κακόβουλες τοποθεσίες web που χρησιμοποιούν αυτό που ονομάζεται "κιτ εκμετάλλευσης ευπάθειας" για να κατεβάσουν και να εγκαταστήσουν αυτόματα κακόβουλο λογισμικό στη συσκευή του θύματος.

2. Κρυπτογράφηση δεδομένων
Μόλις οι εισβολείς του ransomware αποκτήσουν πρόσβαση στα ευαίσθητα δεδομένα, τα αντιγράφουν και καταστρέφουν το αρχικό αρχείο μαζί με τυχόν αντίγραφα ασφαλείας στα οποία έχουν πρόσβαση. Στη συνέχεια, κρυπτογραφούν το αντίγραφό τους και δημιουργούν ένα κλειδί αποκρυπτογράφησης.

3. Απαίτηση λύτρων
Αφού κάνει τα δεδομένα απρόσιτα, το ransomware παραδίδει ένα μήνυμα μέσω ενός πλαισίου ειδοποίησης που εξηγεί ότι τα δεδομένα έχουν κρυπτογραφηθεί και ζητά χρήματα, συνήθως σε κρυπτονόμισμα, σε αντάλλαγμα για το κλειδί αποκρυπτογράφησης. Οι κακόβουλοι παράγοντες που βρίσκονται πίσω από αυτές τις επιθέσεις ενδέχεται επίσης να απειλήσουν να δημοσιοποιήσουν τα δεδομένα στο κοινό, αν το θύμα αρνηθεί να πληρώσει.

Πέρα από την άμεση διακοπή των λειτουργιών, οι συνέπειες μιας επίθεσης ransomware μπορούν να περιλαμβάνουν σημαντικές οικονομικές απώλειες, ζημιά στη φήμη και μακροπρόθεσμες λειτουργικές προκλήσεις.

Οικονομικές επιπτώσεις
Το κόστος της πληρωμής λύτρων μπορεί να είναι σημαντικό, φτάνοντας συχνά τα εκατομμύρια δολάρια, ενώ δεν υπάρχει καμία εγγύηση ότι οι εισβολείς θα δώσουν το κλειδί αποκρυπτογράφησης ή ότι αυτό θα λειτουργήσει σωστά.

Ακόμη και όταν οι οργανισμοί αρνηθούν να πληρώσουν τα λύτρα, μπορεί να υπάρξει μεγάλο οικονομικό κόστος. Η αναστάτωση που προκαλείται από μια επίθεση ransomware μπορεί να οδηγήσει σε παρατεταμένο χρόνο διακοπής λειτουργίας, επηρεάζοντας την παραγωγικότητα και οδηγώντας ενδεχομένως σε απώλεια εσόδων. Η ανάκαμψη από μια επίθεση συνεπάγεται πρόσθετες δαπάνες, όπως το κόστος των εγκληματολογικών ερευνών, τα νομικά έξοδα και οι επενδύσεις σε βελτιωμένα μέτρα ασφαλείας.

Ζημιά στη φήμη
Οι πελάτες και οι συνεργάτες ενδέχεται να χάσουν την εμπιστοσύνη τους σε μια επιχείρηση που έχει παραβιαστεί, οδηγώντας σε μείωση της αφοσίωσης των πελατών και πιθανή απώλεια μελλοντικών επιχειρηματικών ευκαιριών. Οι επιθέσεις υψηλού προφίλ συχνά προσελκύουν την προσοχή των μέσων ενημέρωσης, γεγονός που μπορεί να βλάψει τη φήμη και την εικόνα της επωνυμίας μιας εταιρείας.

Επιχειρησιακές προκλήσεις
Ακόμη και με τα αντίγραφα ασφαλείας, υπάρχει κίνδυνος απώλειας δεδομένων ή καταστροφής, πράγμα που μπορεί να επηρεάσει τη συνέχεια της επιχείρησης και την λειτουργική αποτελεσματικότητα. Οι επιχειρήσεις ενδέχεται επίσης να αντιμετωπίσουν νομικές και κανονιστικές κυρώσεις για την παράλειψη προστασίας ευαίσθητων δεδομένων, ιδίως εάν υπόκεινται σε κανονισμούς προστασίας δεδομένων, όπως ο Γενικός κανονισμός για την προστασία δεδομένων στην Ευρωπαϊκή Ένωση ή ο Νόμος προστασίας προσωπικών δεδομένων καταναλωτών της Καλιφόρνιας.

Πολλές από τις πιο υψηλού προφίλ επιθέσεις ransomware με ανθρώπινο έλεγχο πραγματοποιούνται από ομάδες ransomware, οι οποίες λειτουργούν χρησιμοποιώντας ένα επιχειρηματικό μοντέλο ransomware ως υπηρεσία.

 

• Από την εμφάνισή του το 2019, το LockBit έχει στοχεύσει διάφορους τομείς, όπως οι χρηματοπιστωτικές υπηρεσίες, η υγειονομική περίθαλψη και η μεταποίηση. Αυτό το ransomware είναι γνωστό για την ικανότητά του να αυτοδιαδίδεται μέσα σε δίκτυα, γεγονός που το κάνει ιδιαίτερα επικίνδυνο. Οι συνεργάτες του LockBit είναι υπεύθυνοι για πολυάριθμες επιθέσεις υψηλού προφίλ, χρησιμοποιώντας εξελιγμένες τεχνικές για την κρυπτογράφηση δεδομένων και την απαίτηση λύτρων. 
• Οι επιθέσεις BlackByte συχνά περιλαμβάνουν διπλό εκβιασμό, όπου οι εγκληματίες του κυβερνοχώρου κρυπτογραφούν και εξαφανίζουν δεδομένα, απειλώντας να δημοσιεύσουν τα κλεμμένα δεδομένα εάν δεν καταβληθούν τα λύτρα. Αυτό το ransomware έχει χρησιμοποιηθεί για να στοχεύσει τομείς κρίσιμων υποδομών, συμπεριλαμβανομένων των κυβερνητικών και χρηματοπιστωτικών υπηρεσιών.
• Η ομάδα πίσω από το ransomware Hive, το οποίο ήταν ενεργό μεταξύ Ιουνίου 2021 και Ιανουαρίου 2023, χρησιμοποίησε διπλή υποστήριξη και συνήθως στοχεύει δημόσια ιδρύματα και κρίσιμες υποδομές, συμπεριλαμβανομένων των εγκαταστάσεων υγειονομικής περίθαλψης. Σε μια σημαντική νίκη κατά του εγκλήματος στον κυβερνοχώρο, το FBI διείσδυσε στο δίκτυο της Hive το 2022, συλλαμβάνοντας τα κλειδιά αποκρυπτογράφησης και αποτρέποντας απαιτήσεις λύτρων άνω των 130 εκατομμυρίων δολαρίων ΗΠΑ. 
• Το ransomware Akira είναι ένα εξελιγμένο λογισμικό κακόβουλης λειτουργίας που είναι ενεργό από τις αρχές του 2023 και στοχεύει συστήματα Windows και Linux. Οι κακόβουλοι παράγοντες χρησιμοποιούν το Akira για να αποκτήσουν αρχική πρόσβαση μέσω ευπαθειών στις υπηρεσίες VPN, ιδιαίτερα σε εκείνες που δεν διαθέτουν έλεγχο ταυτότητας πολλών παραγόντων. Από την εμφάνισή του, το Akira έχει επηρεάσει πάνω από 250 οργανισμούς και έχει διεκδικήσει περίπου 42 εκατομμύρια δολάρια ΗΠΑ σε έσοδα από ransomware.

 

Αν βρεθείτε θύμα επίθεσης ransomware, υπάρχουν επιλογές για να βρείτε διέξοδο και να το αφαιρέσετε.

Απομόνωση των μολυσμένων δεδομένων
Μόλις μπορέσετε, απομονώστε τα δεδομένα που έχουν παραβιαστεί για να αποτρέψετε την εξάπλωση του ransomware σε άλλες περιοχές του δικτύου σας.

Εκτέλεση προγράμματος προστασίας από λογισμικό κακόβουλης λειτουργίας
Μόλις απομονώσετε τυχόν μολυσμένα συστήματα, χρησιμοποιήστε ένα λογισμικό προστασίας από ιούς για να αφαιρέσετε το ransomware.

Αποκρυπτογράφηση αρχείων ή επαναφορά αντιγράφων ασφαλείας
Εάν είναι δυνατό, χρησιμοποιήστε εργαλεία αποκρυπτογράφησης που παρέχονται από τις υπηρεσίες επιβολής του νόμου ή από ερευνητές ασφαλείας για την αποκρυπτογράφηση αρχείων χωρίς να πληρώσετε τα λύτρα. Εάν δεν είναι δυνατή η αποκρυπτογράφηση, επαναφέρετε αρχεία από τα αντίγραφα ασφαλείας σας.

Αναφορά της επίθεσης
Επικοινωνήστε με τις τοπικές ή ομοσπονδιακές υπηρεσίες επιβολής του νόμου για να αναφέρετε την επίθεση. Στις Ηνωμένες Πολιτείες, αυτές είναι τα τοπικά γραφεία του FBI,το IC3, ή η Μυστική Υπηρεσία. Παρόλο που αυτό το βήμα πιθανότατα δεν θα λύσει καμία από τις άμεσες ανησυχίες σας, είναι σημαντικό επειδή αυτές οι αρχές παρακολουθούν και ελέγχουν ενεργά διάφορες επιθέσεις. Η παροχή λεπτομερειών σχετικά με την εμπειρία σας θα μπορούσε να είναι χρήσιμη στις προσπάθειές τους για την ανεύρεση και τη δίωξη ενός εγκληματία στον κυβερνοχώρο ή μιας ομάδας εγκληματιών στον κυβερνοχώρο.

Να είστε προσεκτικοί σχετικά με την πληρωμή των λύτρων
Παρόλο που μπορεί να μπείτε στον πειρασμό να πληρώσετε τα λύτρα, δεν υπάρχει καμία εγγύηση ότι οι εγκληματίες του κυβερνοχώρου θα κρατήσουν τον λόγο τους και θα σας δώσουν πρόσβαση στα δεδομένα σας. Οι εμπειρογνώμονες σε θέματα ασφάλειας και οι υπηρεσίες επιβολής του νόμου συνιστούν στα θύματα επιθέσεων ransomware να μην πληρώνουν τα λύτρα που ζητούνται, διότι κάτι τέτοιο θα μπορούσε να αφήσει τα θύματα ανοιχτά σε μελλοντικές απειλές και να υποστηρίξει ενεργά μια εγκληματική βιομηχανία.

Οι ερευνητές ασφαλείας αναμένουν ότι το ransomware θα συνεχίσει να αυξάνεται σε συχνότητα και πολυπλοκότητα τα επόμενα χρόνια. Οι εξελίξεις στην τεχνητή νοημοσύνη διευκολύνουν τους εγκληματίες του κυβερνοχώρου να αυτοματοποιήσουν και να βελτιώσουν γρήγορα το ransomware τους. Επίσης, περισσότεροι άνθρωποι με περιορισμένες τεχνικές δεξιότητες μπαίνουν στο παιχνίδι, επειδή μπορούν να αγοράσουν εργαλεία ransomware που βασίζονται στην τεχνητή νοημοσύνη στο dark web ή να συνεργαστούν με έναν οργανισμό ransomware-ως-υπηρεσία.

Μεγαλύτεροι, πιο εξελιγμένοι οργανισμοί κυβερνοεγκληματιών, συμπεριλαμβανομένων κρατικών φορέων, στοχεύουν επίσης όλο και περισσότερο κρίσιμες υποδομές και αλυσίδες εφοδιασμού, οδηγώντας σε σημαντικές διαταραχές των δημοτικών και επιχειρηματικών λειτουργιών. Αυτές οι οντότητες συχνά στοχεύουν δημόσιους οργανισμούς, συστήματα μεταφορών και οργανισμούς υγειονομικής περίθαλψης με στόχο την παράλυση των υπηρεσιών.

Για την αντιμετώπιση αυτών των εξελισσόμενων απειλών, οι οργανισμοί υιοθετούν τεχνητή νοημοσύνη για την ασφάλεια στον κυβερνοχώρο για να τους βοηθήσει να εντοπίζουν και να ανταποκρίνονται σε επιθέσεις ransomware γρήγορα και αποτελεσματικά. Αυτές οι τεχνολογίες αναλύουν τεράστιες ποσότητες δεδομένων για τον εντοπισμό μοτίβων και ανωμαλιών που μπορεί να υποδεικνύουν μια επίθεση ransomware. Πολλές από αυτές τις λύσεις μπορούν επίσης να ανταποκριθούν αυτόματα σε εντοπισμένες απειλές, μειώνοντας τον χρόνο που απαιτείται για τον μετριασμό μιας επίθεσης.

Το μοντέλο ασφάλειας Μηδενική Εμπιστοσύνη κερδίζει επίσης έδαφος ως τρόπος ενίσχυσης της ασφάλειας από απειλές στον κυβερνοχώρο και περιορισμού της εξάπλωσης ransomware και άλλων κακόβουλων δραστηριοτήτων.