De San Francisco Municipal Transportation Agency werd niet zomaar gehackt. Het werd vastgehouden voor losgeld.
In november namen aanvallers een deel van het netwerk van het bureau over. Op Thanksgiving Day werden de ticketkiosken op de lightrail donker. De schermen van het bureau vertoonden geen foutcodes of onderhoudsmeldingen. Ze lieten een huiveringwekkend bericht zien: “Je hebt gehackt, ALLE gegevens zijn gecodeerd. Neem contact op voor sleutel ([email protected]) ID: 681, Enter.”
De vraag was groot. 100 bitcoins. Destijds ongeveer $ 73.000. Termijn? Dinsdag.
Het klinkt als een kop uit een dystopische roman. Toch is het meest opvallende aan de SFMTA-inbreuk niet de chaos. Het is hoe onvermijdelijk het voelt. Wij behandelen deze incidenten als afwijkingen. Dat zijn ze niet. Ze vormen de nieuwe basis voor digitale veiligheid.
Зміст
De ransomware-economie
Ransomware is van hinderlijk uitgegroeid tot een primaire inkomstenbron voor cybercriminelen. Andrew Howard, CTO bij Kudelski Security, zegt het ronduit: aanvallers hebben deze techniek gepromoveerd van een van de vele opties tot een van de meest effectieve tools in hun gereedschapskist.
Waarom de verschuiving?
Er bestaat nog steeds andere malware. Trojaanse paarden. Spyware. Maar ze missen de directe financiële uitbetaling. Ransomware verandert het spel door de tussenpersoon te verwijderen.
Joe Opacki, VP bedreigingsonderzoek bij PhishLabs, merkt de eenvoud op. “In plaats van gegevens te moeten stelen en verkopen of botnets te verhuren… biedt ransomware directe betaling.”
Infecteer de machine. Vergrendel de bestanden. Vraag om contant geld. Geen gegevenswitwassen. Geen dealers op de zwarte markt. Gewoon een directe transactie, meestal in Bitcoin of MoneyPak, die moeilijker te traceren zijn dan fysieke valuta.
Het volume is duizelingwekkend. U.S. Homeland Security schatte in 2016 gemiddeld 4.000 ransomware-aanvallen per dag. Dat is een stijging van 300 procent ten opzichte van het jaar daarvoor.
Wie betaalt?
Je zou kunnen denken dat bedrijven het belangrijkste doelwit zijn. Dat zijn ze. Maar thuisgebruikers worden onevenredig zwaar getroffen.
Uit een onderzoek van Kaspersky Labs uit 2016 bleek dat van de 2,3 miljoen gebruikers die tussen april 2015 en maart 2016 met ransomware te maken kregen, bijna 87 procent thuis was. Het losgeld? Vaak maar een paar honderd dollar.
De totale opbrengst voor de eerste drie maanden van 2016 alleen al werd geschat op 209 miljoen dollar. We weten niet precies hoeveel mensen hebben betaald. Maar als de herstelkosten nul zijn als je betaalt, en hoog als je niet betaalt, werkt de rekensom voor de aanvaller.
Op grotere schaal is de impact fysiek. In februari 2016 hield het Hollywood Presbyterian Medical Center in Los Angeles het bijna twee weken vol voordat het 40 bitcoins (ongeveer $17.000) betaalde om zijn systemen te ontgrendelen.
Ze zijn geen patiëntendossiers kwijtgeraakt. De hackers hebben er nooit toegang toe gehad. Maar het personeel werd gedwongen om dertien dagen lang formulieren in te vullen en gegevens bij te werken met potlood en papier. De zorg vertraagde. De verwarring groeide. Het ziekenhuis betaalde om weer normaal te worden.
Waarom verdedigingen falen
Nolen Scaife, een promovendus aan de Universiteit van Florida, beschrijft ransomware als een ‘harde tegenstander’.
Je ertegen verdedigen is moeilijk. Elke aanval varieert enigszins. Het lijkt op normale systeembeheeractiviteiten totdat het te laat is. Encryptie gebeurt snel.
Het team van Scaife ontwikkelde CryptoDrop, een detectieprogramma dat is ontworpen om het versleutelingsproces te detecteren en te stoppen. Het doel is simpel: hoe minder gegevens de malware versleutelt, hoe sneller u kunt herstellen vanaf een back-up.
Maar de encryptie ongedaan maken? Dat is bijna onmogelijk met moderne crypto.
“De betrouwbaarheid van goede cryptografie die op de juiste manier wordt uitgevoerd en de opkomst van cryptocurrency hebben een perfecte storm voor ransomware veroorzaakt”, schrijft Scaife. Als de ransomware goed is ontworpen en je geen back-ups hebt, is betalen vaak de enige manier om je bestanden terug te krijgen.
Dit is geen nieuw concept. De AIDS-trojan uit 1989 gebruikte geïnfecteerde diskettes die per post werden verzonden. Het versleutelde de hoofdmap van een pc. Het werd snel verslagen. Maar tientallen jaren van verfijning hebben de leveringsmechanismen onzichtbaar en de encryptie onbreekbaar gemaakt.
Het perfecte slachtoffer
Ziekenhuizen zijn ideale doelwitten. Jérôme Segura, een beveiligingsexpert, vertelde CBC News dat hun systemen vaak verouderd zijn, dat ze vertrouwelijke gegevens bewaren en dat ze zich geen downtime kunnen veroorloven. Als patiëntendossiers vastlopen, kunnen ze dit niet zomaar negeren.
Wetshandhaving is niet veiliger. In 2015 werden vijf politiediensten in Maine het slachtoffer van ransomware. Tenminste één draaide op DOS, een verouderd besturingssysteem.
Politiekorpsen zijn populaire doelwitten. En ze betalen.
Een politiechef uit New Hampshire had een briljant moment. Hij betaalde het losgeld, kreeg de sleutel en annuleerde de betaling. Toen zijn afdeling twee dagen later opnieuw werd getroffen, probeerde hij de truc niet. Hij heeft zojuist de $ 500,- overgemaakt.
De ironie ontgaat niemand. De instellingen die belast zijn met de handhaving van wetten besteden hun beveiliging uit aan criminelen.
Er blijft een systeem over waarin encryptie wordt ingezet tegen degenen die dit het meest nodig hebben. De SFMTA-hack was geen uitbijter. Het was een voorproefje. En we wachten nog steeds op de inhaalslag van de rest van het land.
Het menselijke element is de zwakste schakel
Begin 2016 liep de financiële tol van ransomware al op. Een schooldistrict in South Carolina schreef in februari een cheque van $ 8.500 uit. De Universiteit van Calgary heeft in juni 16.000 dollar verlaagd, daarbij verwijzend naar de noodzaak om onderzoek van wereldklasse dat op hun netwerken is opgeslagen te beschermen. In november, slechts enkele weken vóór de hack van de San Francisco Municipal Transportation Agency (SFMTA), betaalde een provincie in Indiana $ 21.000 om systemen voor politie en brandweer te ontgrendelen.
Het SFMTA-incident zag er anders uit. Rapporten suggereren dat de ransomware van binnenuit is gelanceerd. Volgens onderzoeker Opacki maakte de aanvaller misbruik van een bekende kwetsbaarheid in de WebLogic-software van Oracle. Ze waren waarschijnlijk het internet aan het scannen op deze specifieke fout en kwamen toevallig het systeem van SFMTA tegen.
Maar de meeste aanvallen zijn niet afhankelijk van softwarefouten. De kwetsbaarheid zit meestal bij mensen.
Opacki merkt op dat we ons vermogen om phishing op te sporen voortdurend overschatten. Uit een onderzoek uit 2016 bleek dat 30% van de mensen phishing-e-mails opent, terwijl 13% op de kwaadaardige link of bijlage klikt. Velen gaan er nog steeds van uit dat phishing-e-mails slecht ontworpen spam zijn met gebrekkig Engels. Ze vallen voor spreadsheets voor werknemers die door zogenaamd HR-personeel worden verzonden. Phishing is voorbij de Nigeriaanse prinsen geëvolueerd. E-mails zijn nu gepersonaliseerd, met behulp van echte details die van sociale media zijn gehaald.
Andrew Howard van de Kudelski Group zegt dat zelfs in zeer veiligheidsbewuste organisaties 3% tot 5% van de werknemers in slecht geconstrueerde oplichting trapt. In minder bewaakte omgevingen is het uitvalpercentage veel hoger.
“Het is nogal ontmoedigend”, geeft hij toe.
Hacken voor idioten
De toename van ransomware gaat niet alleen over goedgelovigheid of geavanceerde malware. Het gaat om gemak. Het uitvoeren van een ransomware-zwendel is net zo complex als het beroven van iemand op straat, maar met veel minder risico.
Nolen Scaife stelt dat hackers niet veel vaardigheden nodig hebben. De software is niet geavanceerd. Het is snel te maken en te implementeren. Wat nog belangrijker is, is dat hackers het niet zelf hoeven te bouwen. Ze kopen het op het dark web.
Malwaremarktplaatsen verkopen talloze varianten. Deze komen vaak als alles-in-één-apps. Verkopers bieden klantenservice en technische ondersteuning om onervaren operators te helpen oplichting soepel te laten verlopen. Dan Turkel van Business Insider benadrukt dit ondersteuningssysteem. Sommige producten bieden zelfs geld-terug-garanties. Velen omvatten inbel- of e-maildiensten om slachtoffers door betalingen te loodsen. Ten minste één ransomwarefamilie biedt livechat-klantenservice.
Ontwikkelaars gebruiken zelfs distributeurs om hun producten te verkopen. De markt is robuust.
Dit belooft niet veel goeds voor iedereen die deze zwendel uitvoert. Cybersecurity-experts zijn het eens over één oplossing: maak een back-up van uw gegevens. Zonder back-ups kan het betalen van het losgeld de enige manier zijn om uw bestanden te herstellen.
Zelfs dan krijgt u uw gegevens mogelijk niet terug. Uit een onderzoek van Trend Micro bleek dat 20% van de Britse bedrijven die in 2016 losgeld betaalden, nooit een decoderingssleutel hebben ontvangen.
SFMTA heeft niet betaald. Een woordvoerder vertelde Fortune dat het bureau er nooit over heeft nagedacht. Systemen zijn hersteld vanaf back-ups. De meesten waren binnen twee dagen weer online. San Franciscanen reden in die tijd gratis met de lightrail.
Twee dagen later hackten hackers het e-mailaccount van de lightrail-hacker. Hieruit bleek dat er sinds augustus naar schatting 100.000 dollar aan ransomware-betalingen is gedaan.
Dat is handig
Sommige ransomware-hackers accepteren Amazon-cadeaubonnen.
