Agencja transportu miejskiego w San Francisco (SFMTA) nie tylko została zhakowana. Stał się zakładnikiem szantażystów.
W listopadzie napastnicy przejęli kontrolę nad częścią sieci agencji. Do Święta Dziękczynienia przestały działać kasy biletowe kolei miejskiej. Na ekranach agencji nie wyświetlały się kody błędów ani powiadomienia o konserwacji. Zamiast tego pojawiła się przerażająca wiadomość: „Włamałeś się, WSZYSTKIE dane zaszyfrowano. Skontaktuj się w sprawie klucza ([email protected])ID:681, Enter.”
Zapotrzebowanie było znaczące. 100 bitcoinów. Około 73 000 dolarów w tym czasie. Termin? Wtorek.
Brzmi jak tytuł powieści dystopijnej. Jednak najbardziej uderzającą rzeczą w incydencie z włamaniem do SFMTA nie jest chaos. To uczucie nieuchronności. Takie zdarzenia postrzegamy jako anomalie. Ale to nieprawda. Stały się nową normą w bezpieczeństwie cyfrowym.
Зміст
Ekonomika oprogramowania ransomware
Oprogramowanie ransomware przestało być uciążliwe i stało się głównym źródłem dochodów cyberprzestępców. Andrew Howard, dyrektor ds. technologii w Kudelski Security, ujmuje to bez ogródek: osoby atakujące podniosły status tej metody, zmieniając ją z jednej z wielu opcji w jedno z najskuteczniejszych narzędzi w swoim arsenale.
Dlaczego nastąpiła ta zmiana?
Nadal istnieją inne rodzaje złośliwego oprogramowania. Trojany. Oprogramowanie szpiegowskie. Nie zapewniają one jednak bezpośrednich zysków finansowych. Ransomware zmienia grę, eliminując pośrednika.
Jope Opaki, wiceprezes ds. badań nad zagrożeniami w PhishLabs, zwraca uwagę na prostotę schematu. „Zamiast kraść dane i sprzedawać je lub wynajmować botnety… oprogramowanie ransomware oferuje bezpośrednią płatność”.
Zainfekuj urządzenie. Zablokuj pliki. Poproś o pieniądze. Żadnego mycia danych. Żadnych handlarzy na czarnym rynku. Po prostu bezpośrednia transakcja, zwykle w Bitcoinie lub MoneyPak, które są trudniejsze do śledzenia niż gotówka.
Wolumen jest oszałamiający. Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych oszacował, że w 2016 r. średnia liczba ataków oprogramowania ransomware wynosiła 4000 dziennie. Oznacza to wzrost o 300% w porównaniu z rokiem poprzednim.
Kto płaci?
Można by pomyśleć, że głównym celem są korporacje. To prawda. Ale użytkownicy domowi są nieproporcjonalnie dotknięci.
Badanie przeprowadzone przez Kaspersky Labs w 2016 roku wykazało, że spośród 2,3 miliona użytkowników, którzy zetknęli się z oprogramowaniem ransomware w okresie od kwietnia 2015 r. do marca 2016 r., prawie 87 procent było w domu. Kwoty okupu? Często było to zaledwie kilkaset dolarów.
Całkowite przychody za same pierwsze trzy miesiące 2016 roku oszacowano na 209 milionów dolarów. Nie wiemy dokładnie, ile osób zapłaciło okup. Ale gdy koszt odzyskania wynosi zero, jeśli zapłacisz, i wysoki, jeśli nie, matematyka działa na korzyść atakującego.
Na większą skalę konsekwencje są fizyczne. W lutym 2016 r. Hollywood Presbyterian Medical Center w Los Angeles stawiało opór przez prawie dwa tygodnie, po czym zapłaciło 40 bitcoinów (około 17 000 dolarów) za odblokowanie swoich systemów.
Nie stracili żadnych danych pacjentów. Hakerzy nigdy nie uzyskali do nich dostępu. Jednak pracownicy musieli wypełniać formularze i aktualizować dokumentację za pomocą ołówka i papieru przez 13 dni. Szybkość udzielania pomocy spadła. Rosnące zamieszanie. Szpital zapłacił za powrót do normalnego funkcjonowania.
Dlaczego zabezpieczenia nie działają
Nolen Scaife, absolwentka Uniwersytetu Florydy, opisuje oprogramowanie ransomware jako „wyrafinowanego przeciwnika”.
Obrona przed nimi jest trudna. Każdy atak jest nieco inny. Wygląda to na normalną czynność administracyjną systemu, dopóki nie jest za późno. Szyfrowanie jest szybkie.
Zespół Scaife opracował CryptoDrop, program wykrywający przeznaczony do wykrywania procesu szyfrowania i zatrzymywania go. Cel jest prosty: im mniej danych szyfruje złośliwe oprogramowanie, tym szybciej możesz przywrócić dane z kopii zapasowej.
Ale odwrócenie procesu szyfrowania? W przypadku współczesnej kryptografii jest to prawie niemożliwe.
„Siła właściwej kryptografii i wzrost popularności kryptowalut stworzyły idealną burzę dla oprogramowania ransomware” – pisze Skaife. Jeśli oprogramowanie ransomware jest dobrze zaprojektowane i nie masz kopii zapasowych, zapłacenie jest często jedynym sposobem na odzyskanie plików.
To nie jest nowa koncepcja. Trojan AIDS z 1989 r. wykorzystywał zainfekowane dyskietki wysyłane pocztą tradycyjną. Zaszyfrował katalog główny komputera. Szybko został pokonany. Jednak dziesięciolecia udoskonaleń sprawiły, że mechanizmy dostarczania stały się niewidoczne, a szyfrowanie nieczytelne.
Idealna ofiara
Szpitale są idealnymi celami. Jérôme Segura, ekspert ds. bezpieczeństwa, powiedział CBC News, że ich systemy są często przestarzałe, przechowują wrażliwe dane i nie mogą sobie pozwolić na przestoje. Jeśli akta pacjentów są zamknięte, nie mogą tego po prostu zignorować.
Policja nie jest bezpieczniejsza. W 2015 r. ofiarą oprogramowania ransomware padło pięć wydziałów policji stanu Maine. Co najmniej jeden z nich korzystał z DOS-u, przestarzałego systemu operacyjnego.
Wydziały policji są popularnym celem. I płacą.
Jeden z szefów policji w New Hampshire zmądrzał. Zapłacił okup, otrzymał klucz i anulował płatność. Kiedy dwa dni później jego biuro zostało ponownie zaatakowane, nie próbował już więcej tej sztuczki. Po prostu wypłacił 500 dolarów.
Ironia jest oczywista dla każdego. Agencje, których zadaniem jest egzekwowanie prawa, zlecają swoje bezpieczeństwo przestępcom.
Pozostaje nam system, który wykorzystuje szyfrowanie jako broń przeciwko tym, którzy tego najbardziej potrzebują. Hack SFMTA nie był wyjątkiem. To był zwiastun. Wciąż czekamy, aż reszta kraju nas dogoni.
Czynnik ludzki jest najsłabszym ogniwem
Już na początku 2016 roku straty finansowe spowodowane oprogramowaniem ransomware już rosły. W lutym okręg szkolny w Południowej Karolinie wypisał czek na 8500 dolarów. W czerwcu Uniwersytet Calgary wydał 16 000 dolarów, powołując się na potrzebę ochrony światowej klasy badań przechowywanych w ich sieciach. W listopadzie, zaledwie kilka tygodni przed włamaniem do Agencji Transportu Miejskiego w San Francisco (SFMTA), hrabstwo w stanie Indiana zapłaciło 21 000 dolarów za odblokowanie systemów dla policji i straży pożarnej.
Incydent z SFMTA wyglądał inaczej. Według doniesień mediów ransomware zostało uruchomione od wewnątrz. Według badacza Opackiego atakujący wykorzystał znaną lukę w oprogramowaniu Oracle WebLogic. Prawdopodobnie skanował Internet w poszukiwaniu tej konkretnej luki i przypadkowo natknął się na system SFMTA.
Jednak większość ataków nie opiera się na błędach oprogramowania. Słabość zwykle tkwi w ludziach.
Opatsky zauważa, że stale przeceniamy naszą zdolność rozpoznawania ataków phishingowych. Badanie z 2016 roku wykazało, że 30% osób otwiera e-maile phishingowe, a 13% klika złośliwy link lub załącznik. Wiele osób nadal wierzy, że e-maile phishingowe to źle sformatowany spam z łamanym angielskim. Dają się nabrać na podstępne arkusze kalkulacyjne „lista płac pracowników”, które rzekomo mają być wysyłane w imieniu pracowników działów kadr. Phishing od dawna stał się opowieścią o nigeryjskich książętach. E-maile są teraz personalizowane i korzystają z prawdziwych danych zebranych z sieci społecznościowych.
Andrew Howard z Kudelski Group twierdzi, że nawet w organizacjach o wysokim poziomie cyberbezpieczeństwa 3-5% pracowników daje się nabrać na źle zaprojektowane oszustwa. W mniej bezpiecznych środowiskach wskaźniki awaryjności są znacznie wyższe.
„To dość zniechęcające” – przyznaje.
Hack dla manekinów
Wzrost liczby oprogramowania ransomware nie wynika wyłącznie z łatwowierności lub wyrafinowanego złośliwego oprogramowania. Wszystko opiera się na prostocie. Przeprowadzenie oszustwa polegającego na okupie jest tak samo trudne, jak okradzenie kogoś na ulicy, ale wiąże się ze znacznie mniejszym ryzykiem.
Nolan Scaife twierdzi, że hakerzy nie wymagają dużych umiejętności. Oprogramowanie nie jest skomplikowane. Jest szybko tworzony i wdrażany. Co ważniejsze, hakerzy nie muszą go tworzyć sami. Kupują to w darknecie.
Na rynkach złośliwego oprogramowania sprzedawanych jest niezliczona ilość wariantów. Często mają zastosowanie uniwersalne. Sprzedawcy zapewniają obsługę klienta i pomoc techniczną, aby pomóc niedoświadczonym operatorom sprawnie przeprowadzić oszustwa. Dan Turkel z Business Insider podkreśla ten system wsparcia. Niektóre produkty oferują nawet gwarancję zwrotu pieniędzy. Wiele z nich obejmuje usługi telefoniczne lub e-mailowe, które prowadzą ofiary przez proces płatności. Co najmniej jedna rodzina ransomware oferuje obsługę klienta za pośrednictwem czatu na żywo.
Deweloperzy korzystają nawet z dystrybutorów, aby sprzedawać swoje produkty. Rynek kwitnie.
Nie wróży to dobrze osobom zaangażowanym w oszustwa. Eksperci ds. cyberbezpieczeństwa są zgodni co do jednego rozwiązania: wykonaj kopię zapasową swoich danych. Bez kopii zapasowych zapłacenie okupu może być jedynym sposobem na odzyskanie plików.
Nawet wtedy możesz nie odzyskać swoich danych. Badanie przeprowadzone przez firmę Trend Micro wykazało, że 20% brytyjskich firm, które zapłaciły okup w 2016 r., nigdy nie otrzymało klucza deszyfrującego.
SFMTA nie zapłaciło. Rzecznik agencji powiedział Fortune, że agencja nawet nie rozważała takiej opcji. Systemy zostały przywrócone z kopii zapasowych. Większość z nich wróciła do trybu online w ciągu dwóch dni. W tym czasie mieszkańcy San Francisco mogli bezpłatnie korzystać z kolei miejskiej.
Dwa dni później hakerzy włamali się na konto e-mail hakera kolei miejskiej. To ujawniło kwotę okupu otrzymaną od sierpnia w wysokości około 100 000 dolarów.
Teraz jest to wygodne
Niektórzy hakerzy ransomware akceptują karty upominkowe Amazon.
