Modul 1 · 1.3
Zsarolóvírus és zsarolás
Modul 1: Miért Ön is célpont · Olvasási idő: 10 perc
Tanulási cél: Ennek a leckének a végén el tudja magyarázni, hogyan jut be a zsarolóvírus, mi a kettős zsarolás, és milyen intézkedések korlátozzák a kárt.
Kulcsfogalmak: zsarolóvírus, titkosítás, kettős zsarolás, kezdeti hozzáférés, oldalirányú mozgás, váltságdíj, visszafejtő program (No More Ransom)
Mi a zsarolóvírus
A zsarolóvírus (ransomware) olyan kártevő szoftver, amely használhatatlanná teszi a fájljait vagy rendszereit, majd váltságdíjat követel. A szó az angol ransom kifejezésből származik, ami váltságdíjat jelent. Ez többnyire titkosítással történik: a szoftver olvashatatlan adattá alakítja a fájljait, egy kulccsal, amely csak a támadónál van meg. A fájlok még ott vannak, gyakran egy furcsa kiterjesztéssel a nevük végén, de már nem lehet megnyitni őket. A képernyőn vagy minden mappában megjelenik egy üzenet: fizessen néhány napon belül, különben minden elveszik.
Maga a titkosítás nem rosszindulatú. Ugyanaz a technika, amely a laptopját védi lopás esetén (5.2. lecke), és amely a weboldalakkal való kapcsolatát is biztosítja. A különbség abban van, hogy ki birtokolja a kulcsot. A jó titkosítás feltörhetetlen. Ezért a "majd csak megoldjuk a visszafejtést" szinte soha nem opció, hacsak a zsarolóvírus készítői nem követtek el hibát.
A holland NKI (NCSC) szerint a zsarolóvírus nemcsak a fájlokat érinti, hanem a rendszereket és a biztonsági mentéseket is. Ez utóbbi a lecke legfontosabb pontja.
Hogyan jut be
Egy zsarolóvírus-támadás nem egyetlen pillanat, hanem lépések sorozata. A kezdeti hozzáféréssel indul: az első lábbal az ajtóban. A leggyakoribb utak:
| Hozzáférési út | Hogyan történik | Mi akadályozza meg |
|---|---|---|
| Adathalászat csatolmánnyal vagy linkkel | Egy munkatárs megnyit egy "számlát" vagy "szállítólevelet", amely elindítja a kártevő szoftvert | Tudatosság (9.2. lecke), frissítések, korlátozott jogosultságok |
| Ellopott bejelentkezési adatok | Egy kiszivárgott jelszó működik a webmailen, a VPN-en vagy a távoli elérésű felügyeleten | Egyedi jelszavak, kétlépcsős azonosítás (2. modul) |
| Egy ismert sebezhetőség egy internetre csatlakozó rendszerben | Egy elavult VPN-szerver, tűzfal, NAS vagy weboldal egy nyilvánosan ismert biztonsági réssel | Gyors frissítés (5.1. lecke), ne legyen feleslegesen nyitva |
| Nyitva hagyott távoli elérésű felügyelet | Egy számítógép távoli eléréséhez használt program, amely az egész internetről elérhető | Csak biztonságos kapcsolaton keresztül, 2FA-val |
| Egy beszállító | Az IT-cég vagy egy beszállító szoftvere kerül visszaélésre | Megállapodások és minimális jogosultságok (7. modul) |
A kezdeti hozzáférés után a támadó gyakran vár. Körülnéz, rendszergazdai fiókokat keres, és számítógépről számítógépre ugrál. Ezt nevezik oldalirányú mozgásnak. Elsősorban két dolgot keres: hol vannak a fontos adatok, és hol vannak a biztonsági mentések. Csak miután mindkettőt megtalálta, csap le, gyakran éjszaka vagy hétvégén, amikor senki sem veszi észre.
Miért nem segít a csatlakoztatott biztonsági mentés
Sok kisvállalkozásnak van biztonsági mentése: egy külső merevlemez, amely mindig a számítógéphez van csatlakoztatva, vagy egy hálózati meghajtó (NAS), amelyre minden éjjel másolat készül. Ez jobb, mint a semmi egy meghibásodott merevlemez esetén. Zsarolóvírus ellen azonban gyakran nem segít.
Az ok egyszerű. A zsarolóvírus mindent titkosít, amihez a fertőzött számítógép vagy az átvett fiók hozzáfér. Ha a biztonsági mentés meghajtója a számítógéphez van csatlakoztatva, akkor a zsarolóvírus hozzáfér. Ha a biztonsági mentés egy hálózati meghajtón van, amelyre ugyanazzal a fiókkal jelentkezik be, akkor a zsarolóvírus szintén hozzáfér. Egy támadó, aki nyugodtan körülnézett, néha szándékosan törli a biztonsági mentéseket, mielőtt titkosítana.
Ugyanez igaz a szinkronizálásra is. Egy mappa, amely automatikusan szinkronizálódik a felhővel, a titkosított verziót is szinkronizálja. Néha még visszatérhet egy fájl régebbi verziójához, de ez a szolgáltatástól és attól függ, hogy meddig őrzi meg a verziókat.
Egy zsarolóvírus-támadást túlélő biztonsági mentésnek legalább egy olyan másolattal kell rendelkeznie, amelyhez a támadó nem fér hozzá, vagy amelyet nem tud megváltoztatni: egy lemez, amely külön a fiókban hever, vagy egy biztonsági mentés egy különálló szolgáltatónál, saját bejelentkezéssel, amelyet nem a munkaszámítógépén használ, vagy egy tárhely, amely egy ideig technikailag lehetetlenné teszi a módosítást és a törlést. A 6. modulban lépésről lépésre beállítja ezt. Egy biztonsági mentés, amelyet a tárhelyszolgáltatója készít külön szervereken, a csomagjától elkülönítve, a weboldala és levelezése számára már egy távoli másolatot jelent. Érdemes azonban utánajárnia, meddig őrzik meg, és ki tudja törölni.
Kettős zsarolás
Régen egy jó biztonsági mentés volt a teljes válasz a zsarolóvírusra: visszaállítás és kész. A támadók alkalmazkodtak. A kettős zsarolásnál előbb ellopják az adatai másolatát, és csak utána titkosítanak. Ekkor két fenyegetés létezik:
- Fizessen, különben nem kapja vissza a fájljait.
- Fizessen, különben nyilvánosságra hozzuk az adatait: ügyféladatokat, árajánlatokat, bérezési adatokat, postafiókokat.
A biztonsági mentés az első ellen segít, a második ellen nem. A holland NKI (NCSC) is figyelmeztet arra, hogy a támadók néha az ellopott adatok nyilvánosságra hozatalával fenyegetőznek. Emellett a személyes adatok ellopása önmagában is adatvédelmi incidensnek minősül, bejelentési kötelezettséggel a NAIH felé (8.2. lecke), függetlenül attól, hogy fizet-e.
Néha a támadó még tovább megy, és közvetlenül megkeresi az Ön ügyfeleit vagy üzleti partnereit azzal az üzenettel, hogy az adataikat Öntől szerezték meg. A nyomás ekkor nemcsak Önre nehezedik, hanem a hírnevére is.
Fizetni vagy sem?
A hatóságok és a rendőrség tanácsa egyértelmű: inkább ne fizessen. A No More Ransom, amelyet többek között az Europol és a holland rendőrség indított, így fogalmaz: a váltságdíj kifizetése semmit nem garantál. Jó okok vannak erre:
- Nincs garancia arra, hogy működő kulcsot kap, vagy hogy a visszafejtés sikerül.
- Nincs garancia arra, hogy az ellopott adatokat ezután valóban törlik.
- Megerősíti, hogy a vállalkozása fizet, ami vonzóvá teszi a következő támadás számára.
- Finanszírozza a következő támadásokat mások ellen.
- A bejutási út még nincs lezárva. Vizsgálat nélkül újra megtörténhet.
A holland NKI (NCSC) a biztonsági mentésből történő helyreállítást nevezi a legmegbízhatóbb megoldásnak. Ha ez nem sikerül, nézze meg, van-e visszafejtő program: egy ingyenes program, amely egy adott zsarolóvírus-család fájljait képes visszafejteni, mert kutatók hibát találtak abban a családban, vagy lefoglalták a kulcsokat. A No More Ransom (https://www.nomoreransom.org) összegyűjti ezeket a visszafejtő programokat, és segít megállapítani, milyen zsarolóvírusról van szó. Nem minden családhoz létezik megoldás, de a keresés semmibe nem kerül.
Mindenképpen tegyen feljelentést a rendőrségen, és nézze meg, van-e bejelentési kötelezettsége: a NAIH felé, ha személyes adatok érintettek, az SZTFH felé, ha az Ön vállalkozására vonatkozik a 2024. évi LXIX. törvény (9.1. lecke), és néha egy megbízó felé is, a szerződése szerint.
Mi korlátozza a kárt
Csökkentheti a támadás esélyét, és korlátozhatja a kárt, ha mégis megtörténik. Egy áttekintés, azzal a leckével, ahol megtanulhatja:
- Frissítés, elsősorban mindennek, ami az internethez kapcsolódik: VPN, router, NAS, weboldal (5.1. lecke).
- Kétlépcsős azonosítás a levelezésen, a távoli elérésű felügyeleten és minden rendszergazdai fiókon (2.3. és 2.4. lecke).
- Minimális jogosultságok: ne dolgozzon naponta rendszergazdai fiókkal, és ne engedje, hogy mindenki mindenhez hozzáférjen (7.1. lecke).
- Egy biztonsági mentés, amely elérhetetlen a szokásos fiókjai számára, és rendszeres tesztelés, hogy a visszaállítás működik-e (6. modul).
- Egy incidenskártya, hogy mindenki tudja, mit kell tenni: hálózat lekapcsolása, ne csak úgy kikapcsolni, telefonálás (8.1. és 8.3. lecke).
- Tudatosság: egy kolléga, aki azonnal jelzi, hogy furcsa csatolmányt nyitott meg, órákkal növeli az előnyét (9.2. lecke).
A gyakorlatban: így néz ki
Egy példa, gyakran előforduló helyzetekből összeállítva. Egy tizenkét fős szerelőcégnek volt egy VPN-szervere, hogy otthonról is hozzáférhessenek a fájlokhoz. A firmware másfél éve nem volt frissítve. Egy ismert sebezhetőségen keresztül egy támadó bejutott, egy hétig körülnézett, és megtalálta a hálózati meghajtó rendszergazdai fiókját. Egy szombat éjszakán titkosították a számítógépeket, a hálózati meghajtót és a hozzá csatlakoztatott USB-meghajtón lévő biztonsági mentést. Ami megmaradt: a levelezés és a weboldal, amelyek egy tárhelyszolgáltatónál voltak, saját biztonsági mentéssel, valamint a könyvelés egy régi másolata egy meghajtón, amelyet a könyvelő otthon tartott. Ennek köszönhetően a cég néhány nap múlva újra tudott számlázni. Az elmúlt hónapok árajánlatai és tervrajzai elvesztek.
Egy frissítés és egy különálló, fiókban lévő meghajtó jelentette a különbséget néhány nap és néhány hónap között.
Összefoglalás
- A zsarolóvírus titkosítja a fájlokat, a rendszereket és a biztonsági mentéseket, és váltságdíjat követel; a jó titkosítás feltörhetetlen.
- A zsarolóvírus adathalászaton, ellopott jelszavakon, nem frissített, internetre kapcsolt rendszereken, távoli elérésű felügyeleten vagy egy beszállítón keresztül jut be; ezután a támadó gyakran először körülnéz.
- Egy biztonsági mentés, amely a számítógéphez van csatlakoztatva, vagy ugyanazzal a fiókkal elérhető, gyakran szintén titkosításra kerül.
- Kettős zsarolás esetén az adatokat előbb ellopják; egy biztonsági mentés ekkor nem segít a nyilvánosságra hozatal fenyegetése ellen, és ez önmagában is adatvédelmi incidens.
- Inkább ne fizessen; állítsa helyre a biztonsági mentésből, nézze meg a No More Ransom oldalán, van-e visszafejtő program, és tegyen feljelentést.
Kvíz
Feladat
D1.3: Mi van, ha ez ma éjjel történik? Nézze végig a saját vállalkozása esetén, mit titkosíthatna ma éjjel egy zsarolóvírus. Írja le, hol vannak a biztonsági mentései, elérhetők-e egy szokásos munkaszámítógépről vagy egy szokásos fiókkal, és mely rendszerek kapcsolódnak az internethez. Ezután válaszoljon a reflexiós kérdésekre.
D1.3. feladat: Mi van, ha ez ma éjjel történik?
Így kezdjen hozzá: (1) Készítsen listát minden helyről, ahol fontos fájlok vannak: számítógépek, laptopok, hálózati meghajtó, felhőtárhely, e-mail, könyvelés, weboldal. (2) Írja le minden helyhez, hol van a biztonsági mentés, és hogy az elérhető-e egy sima munkaszámítógépről vagy egy naponta használt fiókból. (3) Nézze át, mely rendszerek kapcsolódnak az internethez és érhetők el kívülről (VPN, távoli kezelés, NAS, router, weboldal), és mikor frissítették őket utoljára. (4) Ellenőrizze, van-e legalább egy olyan másolat, amelyet a zsarolóvírus nem tud elérni (egy fiókban tárolva, vagy egy külön félnél, saját bejelentkezéssel). (5) Nézze meg egyszer a https://www.nomoreransom.org oldalt, hogy tudja, hogyan működik, ha szükség lenne rá.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- WebOké Biztonsági mentések: biztonsági mentés megtekintése, visszaállítása vagy letöltése
- DirectAdmin útmutató 16.1: Milyen biztonsági mentések érhetők el a WebOkénál
- A holland NKI (NCSC): Mi a zsarolóvírus: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/hu/index.html