Ransomware är en typ av skadlig programvara som man på svenska ofta brukar kalla för utpressningsvirus. Ransomware fungerar som en form av digital utpressning, eller kapning där dina filer krypteras och du får ett krav på att betala en lösensumma för att få tillbaka åtkomsten. Ungefär som om en tjuv hade brutit sig in och lagt alla era värdesaker i ert kassaskåp och därefter krävt pengar för att lämna över nyckeln till ert kassaskåp, så agerar ransomware genom att ta dina filer som ”gisslan”.
Det största problemet med ransomware är att det inte finna några garantier. Även om du betalar lösensumman kan angriparen välja att inte låsa upp filerna. Det är också vanligt att filerna blir korrupta när de dekrypteras. Det bästa försvaret mot ransomware är en strukturerad backup och en övergripande mogen säkerhetsnivå.
Hur fungerar ransomware?
Din organisation smittas oftast genom att en anställd på ditt företag luras att antingen ladda ner eller klicka på något skadligt. Det kan vara en länk i ett mejl som verkar komma från medarbetarens kontakt eller en infekterad fil från en pålitlig källa. Men det finns också andra sätt på vilket ransomware kan ta sig in i din organisations nätverk.
När ett vanligt företag hackas är ofta ransomware-attacken det sista som sker i kedjan av åtgärder som angriparen tar. Angriparen väljer oftast först att försöka hitta känslig information på det hackade systemet. Det kan vara information som exempelvis personuppgifter, kontakter till andra företag, API:er, andra nätverk i systemet. Bara efter att angriparen har all information som den behöver för att sätta maximalt tryck på organisationen sker ransomwareattacken.
När attacken sker går det snabbt. Den skadliga koden sprider sig genom nätverket som en löpeld. Allt från servrar, lagringsytor och arbetsdatorer krypteras och görs oanvändbara. Därefter möts de anställda av ett meddelande där angriparna kräver pengar för att dekryptera filerna. Summan ska oftast betalas oftast i kryptovaluta.
Förhandlingen
När systemet är krypterat startar offret och angriparen en förhandling om hur mycket som ska betalas för att låsa upp bolagets system igen. Det är en psykologisk process där angriparen ofta försöker utnyttja situationen genom att agera som en ”problemidentifierare”. Nästan som en konsult som testar säkerheten och ber om betalning för sitt jobb.
De flesta förhandlingar som jag har tagit del av handlar om att offret försöker pressa ner lösensumman, medan angriparen försöker få ut så mycket som möjligt. Oftast utgår angriparen från bolagets finansiella kapacitet när priset sätts. Sådana dokument finns nästan alltid bland de filer som stulits av offret. Det går näst intill alltid att förhandla ner priset till minst 50%, men jag har sett förhandlingar som har slutat på 75-90% av det initiala kravet. Jag lyfter enbart detta på grund av det är intressant. Ett ransomwarekrav ska aldrig betalas. Hade ingen betalat så hade det heller inte funnits något monetärt syfte med attackerna.
Betalningen sker alltid genom kryptovaluta.
Varför är ransomware farligt?
Den mest uppenbara risken är att du och företaget kan förlora viktiga filer för alltid om du inte har säkerhetskopior. Verksamheten står också stilla när systemet krypterats och fram till systemet är återställt.
Dessutom är de ekonomiska konsekvenserna ofta omfattande. Förutom lösensumman, som kan vara allt från några tusenlappar till miljonbelopp, kostar det att återställa system och reparera skadan. Företag kan också drabbas av ett skadat rykte, särskilt om kunddata läcker ut.
Ransomware är dessutom svårt att stoppa eftersom det hela tiden utvecklas. Nya varianter skapas ständigt, vilket gör att säkerhetsprogram och strategier måste vara uppdaterade.
Olika typer av ransomware
Det finns flera olika typer av ransomware, som orsakar olika typer av skador. Men den vanligaste varianten och den som vi alltid brukar prata om är krypto-ransomware, som krypterar dina filer och gör dem oåtkomliga utan en dekrypteringsnyckel. Tyvärr är ransomware lite mer invecklat än så. Det finns nämligen ett antal utpressningsmetoder som i regel alltid används i samband med lyckade ransomwareattacker.
- Betala annars publicerar vi:
Finns känsliga data med i bilden, som exempelvis personuppgifter, finansiella uppgifter och andra känsliga uppgifter ökar trycket mot offret. För företaget blir detta en kraftfull hävstång eftersom läckt data kan skada ryktet och leda till juridiska problem. - Betala inom ett visst datum:
Utpressarna använder ofta en deadline innan data publiceras online. Det är för att påskynda betalningen men leder också till offret inte har tid att utforska andra vägar för att ta sig runt krypteringen. - Betala två dagar och få 30% rabatt:
Även här så används tidspressen för att få offret att betala.
Hur skyddar du dig mot ransomware?
Finns det två saker som du ska göra, så är det:
- Backa upp din data.
En av de viktigaste åtgärderna är att regelbundet säkerhetskopiera dina filer. Se till att ha kopior offline samt i en säker molntjänst, så att du kan återställa dina data även om du skulle drabbas av en attack. - Segmentera nätverket.
Dela upp ditt nätverk så att känsliga data som exempelvis kunddata, finansiell eller teknisk data samt personuppgifter inte kan nås av angripare.
Till det kommer även underliggande generella åtgärder som ökar säkerheten. Det här åtgärderna nedan kommer ifrån angriparna själva och är en smula tekniska, men delas av mig som en lämplig säkerhetsåtgärd.
- Ingen av era anställda bör öppna misstänkta e-postmeddelanden, länkar eller ladda ner några filer, än mindre köra dem på sina datorer.
- Använd starka lösenord och byt dem regelbundet. Lösenord bör inte vara identiska eller återanvändas på olika resurser.
- Installera tvåfaktorsautentisering (2FA) där det är möjligt.
- Använd de senaste versionerna av operativsystem, eftersom de är mindre sårbara för attacker.
- Uppdatera alla mjukvaruversioner.
- Använd antiviruslösningar och verktyg för trafikövervakning.
- Skapa en jump-host för er VPN. Använd unika inloggningsuppgifter för denna, som skiljer sig från domänens inloggningsuppgifter.
- Använd säkerhetskopieringsprogramvara med molnlagring som stöder token-nycklar.
- Informera era anställda så ofta som möjligt om försiktighetsåtgärder vid onlineanvändning. Den mest sårbara punkten är den mänskliga faktorn och bristande ansvar hos era anställda, systemadministratörer etc.
Om det värsta händer
Om du trots alla försiktighetsåtgärder drabbas av ransomware, är det viktigt att agera snabbt och metodiskt. Koppla genast bort den infekterade enheten från nätverket för att förhindra att skadan sprider sig. Försök sedan att identifiera vilken typ av ransomware som har drabbat dig och om det finns kända metoder för att dekryptera dina filer. Börja sedan att isolera, och återställa berörda system.
Det rekommenderas starkt att inte betala lösensumman, eftersom det inte finns några garantier att du får tillbaka dina filer. Dessutom uppmuntrar betalning (som jag tidigare skrivit) bara till att angriparna fortsätta sina ransomwareattacker. Kontakta istället experter som kan hjälpa dig att hantera situationen.
Rapportera alltid händelsen till myndigheter. Det hjälper inte bara dig utan också andra som kan drabbas av liknande attacker i framtiden. Efter att problemet är löst är det viktigt att analysera vad som gick fel och hur du kan förbättra ditt skydd framöver.
