Ransomware: atak krok po kroku
Zrozumienie kolejnych etapów ataku pomaga zaplanować obronę tam, gdzie ma to sens, nie tylko na końcu (backup), ale też na początku (dostęp) i w środku (rozprzestrzenianie).
Etap 1-2: wejście i utrwalenie dostępu
Atak zwykle zaczyna się od pojedynczego skompromitowanego konta, kliknięcia w phishingowy link, otwarcia złośliwego załącznika albo użycia skradzionego hasła do usługi zdalnego dostępu bez MFA.
Zaraz potem atakujący instaluje mechanizm utrwalenia dostępu (backdoor), żeby nie stracić dostępu w razie wykrycia i usunięcia pierwotnego złośliwego oprogramowania.
- pojedyncze skompromitowane konto jako punkt wejścia
- instalacja backdoora zapewniającego trwały dostęp
- często brak MFA na koncie, które padło ofiarą
Etap 3-4: rozpoznanie i rozprzestrzenianie
Atakujący mapuje sieć, szuka serwerów plików, kontrolerów domeny i lokalizacji backupów, jednocześnie próbując podnieść uprawnienia z konta zwykłego użytkownika do administratora.
Następnie rozprzestrzenia się na kolejne komputery i serwery, często wykorzystując te same, słabo zabezpieczone konta administracyjne używane w całej sieci.
- mapowanie sieci i lokalizacji backupów
- próby eskalacji uprawnień do poziomu administratora
- rozprzestrzenianie się przez współdzielone konta administracyjne
Etap 5-6: szyfrowanie i żądanie okupu
Na koniec uruchamiane jest masowe szyfrowanie plików, zwykle w nocy lub weekend, żeby zminimalizować szansę na szybką reakcję zespołu IT. Ofiara znajduje notatkę z żądaniem okupu i terminem zapłaty.
Na tym etapie możliwości są już mocno ograniczone, dlatego najskuteczniejsza obrona to zatrzymanie ataku na wcześniejszych etapach: dostęp, eskalacja, rozprzestrzenianie.
- szyfrowanie uruchamiane zwykle poza godzinami pracy
- notatka z żądaniem okupu i presją czasową
- obrona na tym etapie jest znacznie trudniejsza niż wcześniej
Powiązane artykuły
Najczęściej zadawane pytania
Ile trwa typowy atak ransomware od wejścia do szyfrowania?
Bardzo różnie: od kilku godzin przy prostszych atakach po kilka tygodni przy bardziej ukierunkowanych, gdzie atakujący celowo szuka backupów i najcenniejszych danych.
Na którym etapie najłatwiej zatrzymać atak?
Im wcześniej, tym lepiej: najskuteczniej i najtaniej zatrzymać atak na etapie próby uzyskania dostępu (MFA, filtrowanie phishingu), zanim dojdzie do rozprzestrzenienia.
Czy szyfrowanie zawsze następuje w nocy lub weekend?
Bardzo często, bo atakujący liczą na opóźnioną reakcję zespołu, to nie reguła bez wyjątków, ale częsty wzorzec.
Co zrobić w momencie wykrycia szyfrowania plików?
Natychmiast odłączyć zainfekowane urządzenia od sieci (kabel, Wi-Fi), nie wyłączać komputera do analizy, i uruchomić spisany wcześniej plan reakcji na incydent.
Chcesz sprawdzić, jak to wygląda w Twojej firmie?
Krótki audyt pokazuje, które elementy warto poprawić najpierw, żeby ograniczyć ryzyko i nie przepalać budżetu.