Ransomware og afpresning

Modul 1: Hvorfor du er et mål · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du forklare hvordan ransomware kommer ind, hvad dobbelt afpresning er, og hvilke foranstaltninger begrænser skaden.
Nøglebegreber: ransomware, kryptering, dobbelt afpresning, indledende adgang, lateral bevægelse, løsesum, decryptor (No More Ransom)

Hvad ransomware er

Ransomware er skadelig software der gør dine filer eller systemer ubrugelige og derefter kræver løsesum. Ordet kommer af det engelske ransom: løsesum. Det sker som regel ved kryptering: softwaren omdanner dine filer til ulæselige data, med en nøgle som kun angriberen har. Du kan stadig se filerne, ofte med en mærkelig filendelse, men du kan ikke længere åbne dem. På skærmen eller i hver mappe står der en besked: betal inden for et par dage, ellers er alt væk.

Kryptering i sig selv er ikke noget ondt. Det er den samme teknik der beskytter din bærbare ved tyveri (lektion 5.2), og som sikrer din forbindelse til en hjemmeside. Forskellen er hvem der har nøglen. God kryptering kan ikke brydes. Derfor er "vi får det nok dekrypteret" næsten aldrig en mulighed, medmindre skaberne af ransomwaren har lavet en fejl.

Ifølge det nederlandske NCSC rammer ransomware ikke kun filer, men også systemer og backup. Det sidste er det vigtigste punkt i denne lektion.

Hvordan det kommer ind

Et ransomware-angreb er ikke ét øjeblik, men en række trin. Det begynder med indledende adgang: den første fod mellem døren. De mest almindelige veje:

Efter den første adgang venter en angriber ofte. Han kigger sig omkring, leder efter administratorkonti og springer fra computer til computer. Det kaldes lateral bevægelse. Han leder især efter to ting: hvor de vigtige data ligger, og hvor backuppen er. Først når han har fundet begge dele, slår han til, ofte om natten eller i weekenden, når ingen bemærker det.

Hvorfor en tilsluttet backup ikke hjælper

Mange små virksomheder har en backup: en ekstern disk der altid hænger ved pc'en, eller en netværksdisk (NAS) hvortil der hver nat går en kopi. Det er bedre end intet ved en defekt harddisk. Mod ransomware hjælper det ofte ikke.

Grunden er enkel. Ransomware krypterer alt som den inficerede computer eller den overtagne konto kan nå. Hænger backupdisken ved pc'en, kan ransomwaren nå den. Ligger backuppen på en netværksdisk som du logger ind på med samme konto, kan ransomwaren nå den. En angriber der roligt har kigget sig omkring, sletter nogle gange endda backuppen bevidst før han krypterer.

Det samme gælder synkronisering. En mappe der automatisk synkroniseres med skyen, synkroniserer også den krypterede version. Nogle gange kan du stadig gå tilbage til en ældre version af en fil, men det afhænger af tjenesten og hvor længe den gemmer versioner.

En backup der overlever ransomware, har mindst én kopi som angriberen ikke kan nå eller ikke kan ændre: en disk der ligger løst i skuffen, eller en backup hos en separat part med sit eget login som du ikke bruger på din arbejdscomputer, eller en opbevaring hvor ændring og sletning i en periode teknisk er umulig. I modul 6 sætter du det op trin for trin. En backup som din hostingudbyder laver på separate servere, adskilt fra din pakke, er for din hjemmeside og mail allerede en kopi på afstand. Undersøg dog hvor længe den gemmes, og hvem der kan slette den.

Dobbelt afpresning

Tidligere var en god backup det komplette svar på ransomware: gendan og færdig. Angribere har tilpasset sig. Ved dobbelt afpresning stjæler de først en kopi af dine data og krypterer derefter først. Så er der to trusler:

1. Betal, ellers får du ikke dine filer tilbage.
2. Betal, ellers offentliggør vi dine data: kundelister, tilbud, lønoplysninger, mailbokse.

En backup hjælper mod det første, ikke mod det andet. Også det nederlandske NCSC advarer om at angribere nogle gange truer med at offentliggøre stjålne data. Derudover er tyveri af personoplysninger i sig selv et databrud, med anmeldelsespligt til Datatilsynet (lektion 8.2), uanset om du betaler eller ej.

Nogle gange går en angriber endnu videre og kontakter dine kunder eller samarbejdspartnere direkte med beskeden om at deres data er blevet stjålet hos dig. Presset ligger så ikke kun hos dig, men også på dit omdømme.

Betale eller ej?

Rådet fra myndigheder og politi er entydigt: betal hellere ikke. No More Ransom, et initiativ fra blandt andre Europol og politiet, siger det sådan: at betale løsesum giver ingen garantier. Der er gode grunde:

• Du har ingen garanti for at du får en virkende nøgle, eller at dekrypteringen lykkes.
• Du har ingen garanti for at stjålne data virkelig bliver slettet bagefter.
• Du bekræfter at din virksomhed betaler, og det gør dig attraktiv for et nyt angreb.
• Du finansierer de næste angreb på andre.
• Vejen ind er endnu ikke lukket. Uden undersøgelse kan det ske igen.

Det nederlandske NCSC betegner gendannelse fra en backup som den mest pålidelige løsning. Lykkes det ikke, så undersøg om der findes en decryptor: et gratis program der kan dekryptere filer fra en bestemt ransomware-familie, fordi forskere har fundet en fejl i den familie eller har beslaglagt nøgler. No More Ransom (https://www.nomoreransom.org) samler disse decryptorer og hjælper dig med at finde ud af hvilken ransomware du har. Der findes langt fra en løsning til hver familie, men det koster intet at kigge.

Anmeld det under alle omstændigheder til politiet (https://politi.dk/), og undersøg om du har en anmeldelsespligt: til Datatilsynet hvis personoplysninger er ramt, under den danske gennemførelse af NIS2-loven hvis du er omfattet (lektion 9.1), og nogle gange til en opdragsgiver ifølge din kontrakt.

Hvad der begrænser skaden

Du kan mindske risikoen for et angreb og begrænse skaden hvis det alligevel sker. Et overblik, med lektionen hvor du lærer det:

1. Opdatering, især alt der er forbundet til internettet: VPN, router, NAS, hjemmeside (lektion 5.1).
2. Totrinsbekræftelse på mail, fjernstyring og alle administratorkonti (lektion 2.3 og 2.4).
3. Minimale rettigheder: arbejd ikke dagligt med en administratorkonto, og giv ikke alle adgang overalt (lektion 7.1).
4. En backup uden for rækkevidde af dine normale konti, og test regelmæssigt om gendannelse virker (modul 6).
5. Et incidentkort så alle ved hvad de skal gøre: tag netværket ud, sluk ikke bare, ring op (lektion 8.1 og 8.3).
6. Bevidsthed: en kollega der straks melder at han har åbnet en mærkelig vedhæftning, giver dig timers forspring (lektion 9.2).

I praksis: sådan ser det ud

Et eksempel, sammensat af situationer der ofte forekommer. En installationsvirksomhed med tolv medarbejdere havde en VPN-server til at kunne tilgå filerne hjemmefra. Firmwaren var ikke blevet opdateret i halvandet år. Via en kendt sårbarhed kom en angriber ind, kiggede sig omkring i en uge og fandt administratorkontoen til netværksdisken. En lørdag nat blev pc'erne, netværksdisken og USB-disken med backuppen der hang ved den, krypteret. Det der var tilbage: mailen og hjemmesiden, som lå hos en hostingudbyder med deres egen backup, og en gammel kopi af bogholderiet på en disk som bogholderen havde liggende derhjemme. Dermed kunne virksomheden begynde at fakturere igen efter et par dage. Tilbuddene og tegningerne fra de seneste måneder var væk.

En opdatering og én løs disk i en skuffe havde gjort forskellen mellem et par dage og et par måneder.

Opsummering

• Ransomware krypterer filer, systemer og backup og kræver løsesum; god kryptering kan ikke brydes.
• Ransomware kommer ind via phishing, stjålne passwords, ikke-opdaterede systemer forbundet til internettet, fjernstyring eller en leverandør; derefter kigger angriberen ofte sig omkring først.
• En backup der hænger ved computeren eller kan nås med samme konto, bliver ofte også krypteret.
• Ved dobbelt afpresning bliver data først stjålet; en backup hjælper så ikke mod truslen om offentliggørelse, og det er et databrud.
• Betal hellere ikke; gendan fra en backup, undersøg hos No More Ransom om der findes en decryptor, og anmeld det til politiet.

Quiz

Opgave

Opgave D1.3: Hvad nu hvis det sker i nat? Gennemgå for din egen virksomhed hvad ransomware kunne kryptere i nat. Skriv ned hvor dine backups ligger, om de kan nås fra en almindelig arbejdscomputer eller med en almindelig konto, og hvilke systemer der er forbundet til internettet. Besvar derefter refleksionsspørgsmålene.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• WebOké Backups: Se, gendan eller download en backup
• DirectAdmin vejledning 16.1: Hvilke backup er der hos WebOké
• Det nederlandske NCSC, Hvad er ransomware: https://www.ncsc.nl/ransomware/wat-is-ransomware
• No More Ransom: https://www.nomoreransom.org/da/index.html