Ewolucja ataków ransomware na firmy: cryptoransomware, leakware i scareware

Ataki ransomware na firmy obserwujemy od dawna, jednak ostatnio liczba tego typu incydentów znacząco wzrosła. W dodatku stają się one coraz bardziej wyrafinowane. Złośliwe oprogramowanie wkrada się do systemów IT firmy i sieje spustoszenie, a to zazwyczaj prowadzi do przerwania ciągłości biznesowej i ogromnych strat finansowych oraz wizerunkowych. Poza tym przedsiębiorstwa muszą podjąć trudną decyzję, czy płacić wysoki okup, czy radzić sobie w inny sposób. Jak często polskie firmy są narażone na ataki z wykorzystaniem oprogramowania ransomware? W jaki sposób ten rodzaj zagrożenia wciąż ewoluuje? Czym dokładnie jest cryptoransomware, leakware oraz scareware? Sprawdź w naszym artykule.

Ransomware jako poważne zagrożenie dla firmy

Ransomware stanowi jedno z głównych zagrożeń IT dla firmy. Z danych Check Point Research wynika, że w październiku 2022 roku zanotowano o 35% więcej tego typu zagrożeń niż w styczniu 2022 roku. Polskie przedsiębiorstwa zmagają się z oprogramowaniem ransomware około 938 razy tygodniowo. Okup wymuszany przez hakerów wynosi średnio kilkaset tysięcy złotych.

Gdy firma traci w wyniku ataku wszystkie dane, dochodzi do przestoju działalności. Już kilka godzin wystarczy, żeby wygenerować wysokie straty. A co tu mówić o kilku dniach lub tygodniach… Pracownicy pozbawieni kluczowych informacji nie są w stanie wykonywać swoich obowiązków. Klienci i partnerzy tracą zaufanie do przedsiębiorstwa, które ma problemy z funkcjonowaniem. Firmie wymykają się kontrakty i możliwości biznesowe.

Samodzielne przywracanie danych średnio zajmuje aż miesiąc, dlatego wiele firm decyduje się zapłacić okup, żeby szybciej wrócić do gry. Hakerzy stale udoskonalają i rozwijają tę lukratywną metodę pozyskiwania środków finansowych, żeby z zarzuconej przez nich sieci wywinęło się jak najmniej organizacji. Ostatnio chętnie bazują na trzech schematach wymuszania okupu: cryptoransomware, leakware oraz scareware.

Cryptoransomware, czyli szyfrowanie plików

Cryptoransomware to bardzo popularna i funkcjonująca od dawna odmiana ransomware. Na czym polega? Złośliwe oprogramowanie przenika do firmowej infrastruktury IT, najczęściej w wyniku phishingu. Następnie szyfruje wszystkie pliki, jakie napotyka na swojej drodze, w wyniku czego firma traci dostęp do informacji niezbędnych do prowadzenia działalności. Hakerzy domagają się okupu za odszyfrowanie danych. Jeśli przedsiębiorstwo płaci, niekiedy odzyskuje dane, a niekiedy niestety nie. Jeżeli nie zapłaci, na własną rękę lub z pomocą zewnętrznego specjalisty próbuje złamać szyfr. Czasem kończy się to sukcesem.

To oczywiście nie spodobało się hakerom, gdyż tracili potencjalny zarobek. Dlatego cryptoransomware przekształciło się w nowy rodzaj ransomware wykorzystujący oprogramowanie o nazwie Exmatter. Jest ono bardzo podstępne w działaniu. Nie szyfruje napotkanych plików, lecz kopiuje je na serwery przestępców, a następnie usuwa z zasobów firmy. Taka zagrywka kompletnie uniemożliwia samodzielne próby odzyskania informacji firmowych. Przedsiębiorstwo musi zapłacić, jeśli nie chce na zawsze stracić danych. Jednak zapłata okupu nie daje żadnych gwarancji, że wykradzione treści faktycznie wrócą. A nawet jeśli wrócą, całkiem możliwe, że już krążą gdzieś po Darkwebie…

Leakware, czyli zagrożenie upublicznieniem danych

Jak wiadomo, zagrożenia w sieci często ewoluują. Hakerzy nie spoczywają na laurach i dodają do swego repertuaru coraz bardziej wyrafinowane i destrukcyjne sposoby wymuszania okupu. Jednocześnie nie rezygnują z “klasyki”, czyli szyfrowania danych lub usuwania ich z serwerów firmowych.

Jedną z metod charakteryzujących się wysoką skutecznością jest leakware (inaczej: doxware), które uderza w prywatność ofiary. Złośliwe oprogramowanie wdziera się na sprzęt i wyświetla komunikat, że zdobyło wartościowe informacje firmowe lub poufne pliki. Następnie przestępca grozi ich ujawnieniem w internecie, jeżeli zaatakowana organizacja nie zapłaci okupu. Żeby wywołać dodatkową presję, hakerzy niekiedy wyświetlają zegar pokazujący, ile czasu zostało do końca terminu. Już sama utrata danych to ogromny problem dla firmy. Natomiast świadomość, że te dane zobaczy i wykorzysta konkurencja, jest jeszcze gorsza. Dlatego sporo podmiotów postanawia zapłacić.

Swoją drogą, za pomocą leakware przestępcy lubią uderzać nie tylko w firmy i instytucje, ale też w osoby prywatne. Zwykłych użytkowników informują, że zdobyli jakieś kompromitujące treści i że ujawnią je w internecie, jeśli w określonym terminie nie otrzymają pieniędzy.

Scareware, czyli bazowanie na strachu

Leakware nie jest jedyną stosowaną ostatnio ewolucją ataku ransomware. Przestępcy coraz chętniej wykorzystują również złośliwe oprogramowanie noszące nazwę scareware. Ta metoda polega na zasianiu u ofiary strachu, po czym zebraniu plonu w postaci okupu.

Złośliwe oprogramowanie, któremu udało się dostać na sprzęt firmowy, wyświetla komunikat mający na celu przestraszenie użytkownika. Najczęściej jest to informacja, że w systemach IT pojawił się wirus albo że doszło do innego poważnego naruszenia bezpieczeństwa, co może grozić niebagatelnymi konsekwencjami. Jednocześnie podsuwane jest fałszywe rozwiązanie: link do strony, na której trzeba dokonać płatności, żeby problem zniknął. Oczywiście dokonanie wpłaty niczego nie gwarantuje.

Hakerzy wykorzystujący scareware czasami faktycznie dokonują jakichś zmian w zaatakowanych zasobach firmowych, na przykład wypuszczają wirusa, blokują dostęp do części lub całości plików czy szyfrują informacje. Natomiast czasami stosują perfidne oszustwo, a więc wysyłają alerty o groźnym wirusie, ale tak naprawdę nie infekują tym wirusem systemów. Liczą na to, że użytkownik znajdujący się pod presją czasu i bojący się o przyszłość firmy – a więc działający pod wpływem silnych emocji – nie będzie się długo zastanawiał i tak czy inaczej zapłaci.

Można z wysokim prawdopodobieństwem założyć, że ataki z wykorzystaniem ransomware będą ulegać dalszym przekształceniom i ewolucji. Wachlarz działań hakerów stale się poszerza i dostosowuje do obecnych możliwości technologicznych. Dlatego rozwiązania, które kiedyś chroniły firmę w wystarczającym stopniu, teraz często okazują się niewystarczające.

Jak sprawdzić, czy przedsiębiorstwo w pełni zadbało o bezpieczeństwo danych i ciągłość operacyjną? Przeprowadź bezpłatny audyt cyberbezpieczeństwa, który odkryje luki w zabezpieczeniach. Poza tym odwiedzaj regularnie naszego bloga, a także fanpage lub profil LinkedIn, gdzie dzielimy się przydatnymi informacjami na temat cyberochrony.

Do usłyszenia!

Zespół Sagenso