Kommer all løsepengevare fra russiske nettkriminelle grupper?

På Datarecovery.com jobber vi ofte med bedrifter, helseorganisasjoner og andre virksomheter som har blitt ofre for løsepengevare. Mange av disse tilfellene kan gjenopprettes – mens mange av de mest kjente løsepengevarevariantene er godt utformet, har noen designsårbarheter som kan utnyttes til å gjenopprette data til sin opprinnelige tilstand uten å betale løsepenger.

Den siste bølgen av løsepengevarevarianter som fanger overskrifter er usedvanlig robuste. I mange tilfeller har ofre ikke noe annet alternativ enn å betale løsepenger. Å knekke krypteringen kan ta måneder – eller hundrevis av år, i noen tilfeller – og per definisjon kan ikke oppdragskritiske systemer forbli offline i lengre tid.

Aviser siterer ofte den russiske opprinnelsen til store løsepengevare-angrep, noe som har ført til en misforståelse om at all løsepengevare kommer fra Russland-baserte nettkriminelle grupper. Dette er ikke tilfelle; løsepengevare kan (og kommer) fra overalt, men de mest vellykkede angriperne kommer ofte fra russisktalende land.

Bevis for russisktalende opprinnelse i nylige cyberangrep

I februar 2017 estimerte sikkerhetsfirmaet Kaspersky at 75 prosent av løsepengevarene kommer fra russisktalende kilder. Det betyr imidlertid ikke nødvendigvis at alle angriperne er russisktalende: De dårlige aktørene som lager løsepengevaren er ofte atskilt fra menneskene som utfører angrepet. Denne andre gruppen fungerer som "tilknyttede selskaper", distribuerer løsepenger og samler inn løsepenger. Det er ikke nok harde data til å konkludere med at de faktiske programmererne er mer sannsynlig å være russisktalende enn for eksempel kinesisktalende.

Når det er sagt, har mange av de mest betydningsfulle løsepenge-angrepene blitt sporet til russisktalende (vi skal merke oss her at vi bruker uttrykket "russisktalende" i stedet for "Russland" fordi det er mye enklere å bestemme språk enn å bekrefte nasjonalitet – og det er ingen aktuelle bevis som tyder på at noen nasjons regjering er aktivt involvert i distribusjon av løsepengevare, med det bemerkelsesverdige unntaket av Nord-Koreas militære hackergrupper ).

Noen nyhetsverdige eksempler på løsepengevare-angrep med russisktalende opprinnelse:

• Den 7. juli 2021 identifiserte en rapport fra Trustwave SpiderLabs et løsepenge-angrep fra russisktalende hackere REvil som ble skrevet for å aktivt unngå systemer som har standardspråkinnstillinger fra den tidligere USSR-regionen.
• DarkSide, den russisktalende gruppen som angrep Colonial Pipeline i mai, brukte løsepengevare skrevet for å unngå datamaskiner i Russland og tidligere sovjetiske satellittland.
• 14 mai 2021 ble det irske helsevesenet utsatt for et betydelig løsepengevareangrep tilskrevet Wizard Spider, en nettkriminell gruppe som antas å være basert i St. Petersburg, Russland.

De fleste nettangrep kommer ikke til nyhetene – hvert av løsepengevare-angrepene som er oppført ovenfor, faller inn i kategorien "storviltjeger". Disse angrepene kan være bemerkelsesverdig sofistikerte. I noen tilfeller sitter skadelig programvare på en server i flere måneder for å forhindre at målet gjenoppretter seg etter brukbare sikkerhetskopier. Mindre løsepengevareangrep bruker mer av en brute force-metode, rettet mot hundrevis av potensielle ofre. Det er mer sannsynlig at denne typen angrep kan gjenopprettes.

Forhindre ransomware-infeksjon (og gjenopprette fra ransomware)

Vi kan ikke spekulere i hvorfor mange store angrep kommer fra russisktalende land, men noen nyhetskanaler mener at Russlands slappe håndheving av lover om nettkriminalitet har gjort praksisen kvasi-lovlig. Det er også mulig at noen skadevaregrupper etterligner kjente russiske grupper for å skjule identiteten deres mer effektivt.

Uavhengig av opprinnelse, kan et løsepenge-angrep være ødeleggende for en bedrift. Selv om enhver bedrift bør vedta et robust program for å forhindre infeksjon, er her noen raske tips for å begrense sårbarheter:

• Begrens perifer tilgang til alle sikkerhetskopieringssystemer. Dette inkluderer optiske medier (CDer/DVDer), eksterne harddisker og flash-stasjoner. Vurder å installere USB-låser for å forhindre uautorisert perifer tilgang.
• Hold en luftgapet sikkerhetskopi av viktige data. Alle virksomhetskritiske data bør dupliseres og lagres utenfor nettverket. Hold virksomhetskritiske sikkerhetskopier utenfor stedet der det er mulig.
• Utdanne ansatte. Mange løsepenge-angrep skjer via e-post. Etabler sterke protokoller for å forhindre at personell åpner kompromitterte e-poster (og vedlegg).
• Isoler systemer der det er mulig. Å begrense tilgangen til viktig IT-infrastruktur er en av de mest effektive måtene å forhindre et vellykket angrep på.
• Sjekk sikkerhetskopier regelmessig. Ha en katastrofegjenopprettingsplan – kjør simuleringsscenarier og finn ut om din nåværende praksis er robust nok for en reell infeksjon.

Til slutt, hvis et nettangrep oppstår, ikke få panikk. Slå av alle berørte systemer umiddelbart. Ikke forsøk å gjenopprette fra sikkerhetskopier hvis det er noen mulighet for at sikkerhetskopiene kan bli infisert i prosessen.

Den sikreste handlingen er å kontakte et erfarent firma for gjenoppretting av løsepenger. For en gratis konsultasjon, ring Datarecovery.com på 1-800-237-4200 og be om å få snakke med en malware-ekspert.