Ransomware to złośliwe oprogramowanie, które blokuje dostęp do systemu albo szyfruje pliki, a następnie żąda okupu za ich odblokowanie. Zapłata nie daje pewności odzyskania danych, dlatego najważniejszą ochroną są kopie zapasowe, aktualne oprogramowanie i ostrożność wobec wiadomości oraz linków.
Czym jest oprogramowanie ransomware?
Ransomware należy do kategorii malware, czyli złośliwego oprogramowania. Po uruchomieniu może zablokować interfejs urządzenia, zaszyfrować dokumenty, zdjęcia i bazy danych albo ograniczyć dostęp do całej sieci. Ofiara otrzymuje komunikat z żądaniem zapłaty, najczęściej w kryptowalucie, w zamian za klucz deszyfrujący lub usunięcie blokady.
Skutki ataku dotyczą nie tylko utraty dostępu do plików. Osoba prywatna może stracić zdjęcia i dokumenty, a firma – przerwać obsługę klientów, produkcję lub pracę administracji. Współczesne grupy przestępcze stosują też model Ransomware-as-a-Service, w którym gotowe narzędzia są udostępniane innym napastnikom.
Jak działa ransomware i jakie ma rodzaje?
Wariant szyfrujący przeszukuje lokalne dyski, podłączone nośniki i czasem udziały sieciowe. Następnie szyfruje wybrane pliki. W nowoczesnych odmianach stosuje się zwykle połączenie szyfrowania symetrycznego i asymetrycznego. Do odszyfrowania potrzebny jest klucz, którego ofiara zazwyczaj nie posiada.
| Typ | Działanie | Wpływ na pliki |
|---|---|---|
| Scareware | Wyświetla fałszywe ostrzeżenia i nakłania do zapłaty za rzekome usunięcie zagrożenia. | Pliki często pozostają nienaruszone, choć użytkownik może być zasypywany komunikatami. |
| Locker | Blokuje ekran lub dostęp do systemu. | Pliki mogą pozostać niezaszyfrowane, więc usunięcie infekcji może przywrócić dostęp. |
| Crypto-ransomware | Szyfruje dokumenty, zdjęcia, bazy danych i inne dane. | Bez kopii zapasowej lub właściwego deszyfratora odzyskanie plików może być niemożliwe. |
Coraz częściej pojawia się podwójne wymuszenie. Przestępcy najpierw kopiują dane, a potem je szyfrują. Żądają pieniędzy zarówno za odszyfrowanie plików, jak i za niepublikowanie wykradzionych informacji. Niektóre programy tylko udają ransomware. Tak zwane wipery niszczą dane bez zamiaru umożliwienia ich odzyskania, nawet po zapłacie.
Jak ransomware trafia na urządzenie?
Najczęstsze drogi infekcji to:
- Złośliwe załączniki w wiadomościach e-mail, na przykład dokumenty, archiwa lub pliki PDF.
- Linki phishingowe i spear phishing, w którym wiadomość jest dopasowana do konkretnej osoby lub firmy.
- Luki w usługach zdalnego pulpitu RDP, szczególnie przy słabych hasłach i braku dodatkowego uwierzytelniania.
- Drive-by download, czyli pobranie złośliwego kodu po wejściu na spreparowaną stronę lub reklamę.
- Fałszywe aktualizacje, aplikacje z niepewnych źródeł i inne techniki socjotechniczne.
Co zrobić po wykryciu infekcji?
Reakcja powinna ograniczyć rozprzestrzenianie się zagrożenia i zabezpieczyć ślady ataku. Jeśli urządzenie należy do firmy, trzeba od razu powiadomić administratora lub zespół odpowiedzialny za bezpieczeństwo.
- Odłącz urządzenie od internetu i sieci lokalnej. Usuń kabel sieciowy, wyłącz Wi-Fi i Bluetooth, ale nie odłączaj innych urządzeń bez konsultacji.
- Jeśli to możliwe, nie wyłączaj komputera pochopnie. Specjalista może potrzebować informacji znajdujących się w pamięci operacyjnej. Gdy szyfrowanie nadal trwa, odłączenie zasilania może ograniczyć szkody, ale decyzja zależy od sytuacji.
- Zachowaj komunikat okupu, zmienione rozszerzenia plików i inne oznaki infekcji. Nie kasuj zaszyfrowanych danych.
- Sprawdź serwis No More Ransom. Projekt udostępnia informacje i darmowe deszyfratory dla wybranych rodzin ransomware. Nie każdy wariant ma dostępne narzędzie.
- Po zidentyfikowaniu zagrożenia wykonaj skanowanie aktualnym oprogramowaniem zabezpieczającym. Samo usunięcie malware nie odszyfruje plików.
- Przywróć dane dopiero z czystej kopii zapasowej, po upewnieniu się, że infekcja została usunięta. W poważnym incydencie skorzystaj z pomocy specjalisty i zgłoś zdarzenie właściwym organom.
Nie płać okupu bez konsultacji. Płatność finansuje działalność przestępczą, może zachęcić do kolejnych ataków i nie gwarantuje otrzymania klucza. Przestępcy mogą przekazać niesprawne narzędzie, zażądać kolejnej wpłaty albo wcześniej skopiować dane i mimo zapłaty je opublikować.
Jak chronić się przed ransomware?
Największą różnicę robi przygotowanie, zanim dojdzie do infekcji. Stosuj następujące zasady:
- Twórz kopie według reguły 3-2-1 – trzy kopie danych, na dwóch różnych nośnikach, w tym jedna przechowywana offline lub w sposób niedostępny dla zainfekowanego urządzenia.
- Aktualizuj system, przeglądarkę, aplikacje, urządzenia sieciowe i oprogramowanie zabezpieczające, ponieważ poprawki zamykają wykorzystywane luki.
- Sprawdzaj nadawcę wiadomości, adres strony i kontekst załącznika. Nie włączaj makr ani nie instaluj programów na prośbę podejrzanej witryny.
- Stosuj silne, unikalne hasła, uwierzytelnianie wieloskładnikowe i ogranicz dostęp do RDP.
- Korzystaj z ochrony w czasie rzeczywistym oraz ucz użytkowników rozpoznawania phishingu i fałszywych komunikatów.
Najbezpieczniejszy plan zakłada, że urządzenie może kiedyś zostać zainfekowane. Aktualna, odłączona od systemu kopia zapasowa pozwala wtedy odtworzyć dane bez podejmowania ryzykownej decyzji o finansowaniu napastników.
