Z badania wynika, że 1 na 5 naruszeń było spowodowanych właśnie przez ransomware. Jednym z najbardziej drastycznych udanych ataków jest ten wymierzony w maju 2021 r. w Colonial Pipeline, amerykańską firmę paliwową, która dostarcza prawie połowę paliwa zużywanego na wschodnim wybrzeżu USA. Jego autorem była grupa cyberprzestępcza DarkSide. Temat sparaliżowania tej krytycznej infrastruktury CRN Polska poruszył w czerwcu, w artykule pt. Colonial Pipeline: niepożądana sława. Szczególnie mocno wybrzmiewa w nim wątek presji na płacenie okupu cyberprzestępcom, którą odczuwano w sparaliżowanym atakiem przedsiębiorstwie. W tym kontekście warto zwrócić uwagę na to, że prawie 40 proc. specjalistów ds. bezpieczeństwa przepytanych na potrzeby raportu uważa, iż organizacja, która wykazuje gotowość do zapłaty, naraża się na kolejny atak hakerski – głównie wtedy, gdy obecność ckrackera w sieci organizacji nie zostanie całkowicie usunięta. Tak zwany atak z podwójnym wymuszeniem okupu jest najczęściej obserwowaną nową techniką oszustw ransomware w 2020 roku.

Lepszą ochronę firmowych systemów przed przed ransomware ma zapewnić podejście, w którym:

• bezpieczeństwo traktuje się jako usługę rozproszoną, co oznacza, że podąża ona za chronionymi zasobami w całym środowisku organizacji.
• istnieje priorytet widoczności – lepsza widoczność punktów końcowych i obciążeń roboczych zapewnia kontekstowy wgląd i pozwala wykorzystać inteligencję sytuacyjną, co pomaga w określaniu priorytetów i usuwaniu zagrożeń.
  regularnie śledzi się zagrożenia – regularne poszukiwania zagrożeń pozwolą wykryć ciche wtargnięcia i obecność cyberprzestępców w środowisku poprzez dostrzeżenie anomalii w zachowaniu.
• prowadzone jest ciche monitorowanie w celu uniknięcia reakcji cyberprzestepców – należy założyć, że przeciwnik ma wiele sposobów na uzyskanie dostępu do środowiska. Przed podjęciem działań należy obserwować i czekać — nie należy od razu rozpoczynać blokowania złośliwego oprogramowania lub wyłączania systemów C2 (command & control), dopóki nie będzie pewności, że zna się wszystkie możliwe drogi ponownego wtargnięcia.
• uwzględnia się współpracę z partnerem odpowiedzialnym za reagowanie na incydenty – warto zaangażować partnera IR (Incident Response) w celu opracowania strategii przeciwdziałania incydentom i powierzenie mu jej realizacji w razie potrzeby.

Raport Global Security Insights Report oparty został na ankiecie online przeprowadzonej w grudniu 2020 roku wśród 3542 CIO, CTO i CISO.

Artykuł Ransomware: czas żniw dla agresorów pochodzi z serwisu CRN.

– Colonial Pipeline dostarcza około 45 procent paliwa na Wschodnie Wybrzeże Stanów Zjednoczonych. Wiem, że podjąłem kontrowersyjną decyzję. Nie zrobiłem tego lekką ręką. Nie czułem się komfortowo, wiedząc w czyje ręce trafiają pieniądze – tłumaczy Joseph Blount.

Colonial Pipeline zapłacił haracz dopiero po konsultacji z ekspertami, którzy mają już doświadczenie w relacjach z organizacjami cyberprzestępczymi. Jednakże firma nie chce podawać szczegółów dotyczących negocjacji. Warto dodać, że Colonial Pipeline posiada ubezpieczenie cybernetyczne, jednak nie ujawnia żadnych informacji dotyczących tej umowy.

David Kennedy, dyrektor generalny TrustedSec, próbuje usprawiedliwić działania Josepha Blounta podkreślając, że gangi ransomware coraz częściej szyfrują kopie zapasowe, co stawia ofiary ataków w sytuacji bez wyjścia. Należy podkreślić, że TrustedSec analizował w ciągu ostatnich dziewięciu miesięcy kilkanaście ataków przeprowadzonych za pomocą oprogramowania ransomware DarkSide.

– Jestem przeciwnikiem płacenia okupów, ponieważ za każdym razem, gdy płacisz gangom ransomware, rozszerzasz ich możliwości działania. Ale bywają sytuacje, że ofiary ataków znajdują się na kolanach i nie mają innego wyjścia niż ulec szantażystom – dodaje David Kennedy.

Zdaniem wielu specjalistów ds. bezpieczeństwa, co wydaje się oczywiste, płacenie napastnikom nakręca spiralę ataków ransomware. Poza tym nie ma stuprocentowej pewności, że opłaceni przestępcy odszyfrują dane. Niedawno firma Emisoft odkryła działania gangów ransomware, które stosują dwa rodzaje złośliwego oprogramowania. W rezultacie dochodzi do paradoksalnych sytuacji – firma po opłaceniu okupu teoretycznie odszyfrowuje dane, ale w rzeczywistości nadal nie ma do nich dostępu.

– Do pogłębiania się kryzysu wywołanego przez oprogramowanie ransomware przyczyniają się trzy czynniki. Jednym z nich jest Rosja, która chroni przestępczość zorganizowaną. Drugi to pozostawiający wiele do życzenia system zabezpieczeń. Trzecim, tym najbardziej palącym problemem jest model biznesowy działający na korzyść przestępców – twierdzi Ciaran Martin, były szef National Cyber Security Center.

Colonial Pipeline w ciągu ostatnich pięciu lat zainwestował około 1,5 mld dol. w utrzymanie integralności swojego systemu rurociągów o długości 5500 mil i dodatkowo wydał 200 mln dol. na IT. Jednak wysokie nakłady nie uchroniły firmy przed katastrofą. Pikanterii całej sprawie dodaje fakt, że Colonial Pipeline nie przeszedł w ubiegłym roku wymaganej kontroli bezpieczeństwa przeprowadzanej cyklicznie przez Transportation Security Administration (TSA). Rzecznik spółki przyznaje, że ze względu na pandemię koronawirusa proponowali TSA przeprowadzanie wirtualnego przeglądu swoich obiektów. Jednakże taka opcja nie wchodzi w grę, ponieważ procedury wymagają fizycznego przeglądu krytycznych elementów rurociągu. Kolejny przegląd miał mieć miejsce w maju bieżącego roku, ale tym razem był on niemożliwy ze względu na atak przeprowadzony przez DarkSide.  

Wprawdzie przepływ paliwa w rurociągu powrócił do normy, ale kłopoty firmy nie zakończyły się wraz z zapłaceniem okupu. Agencja Bloomberg poinformowała, że narzędzie udostępnione przez DarkSide działało na tyle powoli, że firma musiała wesprzeć się własnymi rozwiązaniami. Colonial Pipeline odmówił komentarza na ten temat, aczkolwiek Joseph Blount nie ukrywa, że całkowite przywrócenie niektórych systemów biznesowych będzie kosztować dziesiątki milionów dolarów. Jednak jedną z najbardziej kosztownych strat poniesionych przez Colonial Pipeline była strata preferowanego przez firmę poziomu anonimowości.

– Byliśmy bardzo szczęśliwi, że nikt nie wiedział o Colonial Pipeline. Niestety, już tak nie jest. Dziś niemal każdy na świecie zdążył się o nas dowiedzieć… – podsumowuje Joseph Blount.

Artykuł powstał na podstawie materiałów z The Wall Street Journal.

Artykuł Colonial Pipeline: niepożądana sława pochodzi z serwisu CRN.