Hva gjør du når firmaet ditt blir truffet av Ransomware

Ransomware er en så lønnsom form for nettkriminalitet at den har blitt en hel selvopprettholdende næring med egne skift og trender. For noen år siden var for eksempel utviklere og operatører av ransomware først og fremst interessert i hjemmebrukere. Å angripe personlige datamaskiner var billig, og noen smarte sosialtekniske teknikker sørget for at suksessraten ikke var dårlig. I mellomtiden var ikke sikkerhetskopieringskulturen for mennesker riktig, noe som betydde at det for mange var det eneste alternativet å gjenopprette dataene sine ved å betale løsepenger. Da begynte imidlertid ting å endre seg.

Ransomware-operatører har flyttet fra hjemmebrukere til bedrifter og store organisasjoner

I 2017 så et par massive ransomware-utbrudd, WannaCry og NotPetya, som fikk mye omtale. De var ikke spesielt rettet mot hjemmebrukere, men hjemmebrukere så dem på nyhetene, og de ble gradvis mer kjent med trusselen. De innså hvor viktige sikkerhetskopier er, og ble bedre forberedt på å håndtere ransomware-angrep.

I rettferdighet er ikke nettkriminelle spesielt opptatt av å dele inntektsoppgavene, men det faktum at ransomware-infeksjoner på hjemme-PC-er har vært i tilbakegang de siste par årene antyder at færre sluttbrukere er tilbøyelige til å grotte seg inn i hackernes ' krever. Dette betyr imidlertid ikke at ransomware-virksomheten krymper.

På et tidspunkt innså ransomware-operatører at den ekstra innsatsen for å angripe organisasjoner i stedet for enkeltbrukere kan være verdt det, og siden den gang har store ransomware-hendelser stort sett involvert bedrifter, helseorganisasjoner og offentlige institusjoner. Et ransomware-utbrudd hos et privat selskap kan være spesielt skadelig, og det er grunnen til at folk må lære å reagere på trusselen ikke bare når de er hjemme, men også på kontoret.

Hvordan kan en ransomware-infeksjon påvirke din bedrift?

Fra et rent teknisk perspektiv presenterer et ransomware-angrep et selskap med to hovedproblemer: tap av data og nedetid.

Å ha dataene dine innelåst er det mer åpenbare problemet. En vellykket ransomware-infeksjon kan kryptere forretningshemmeligheter, produktspesifikk informasjon og kundedetaljer. Å miste denne typen data kan føre til at selskapets bortgang, noe som betyr at du kan bli fristet til å vurdere å etterkomme hackernes krav og betale løsepenger. Selv om du gjør det, kan du imidlertid ikke garantere at all informasjon vil bli returnert til sin pre-infeksjonstilstand. Dette er imidlertid ikke det eneste problemet.

Av natur er ransomware-infeksjoner ganske støyende. Hvis du noen gang finner deg i feil ende av et angrep, vil du bli gjort oppmerksom på hva som skjer, og kundene dine vil lære at noe er galt ganske raskt også. En ransomware-infeksjon kan fullstendig forstyrre selskapets drift og stoppe den fra å betjene sine brukere. Uunngåelig vil årsaken til problemet bli offentliggjort, og det vil plante usikkerheten i brukerne dine som vil anta at selskapet ditt ikke tar særlig godt vare på datasikkerheten. Hva alt dette betyr er at det er ekstremt viktig å håndtere situasjonen så raskt og effektivt som mulig.

Hvordan skal selskapet ditt reagere på et vellykket ransomware-angrep?

Som du ser er de to viktigste tingene du må tenke på å forhindre tap av data og minimere driftsstans. Hvis du jobber for et selskap som er rammet av ransomware, må du sørge for at det å gjenopprette etter angrepet tar så lite tid som mulig, men du bør også være forsiktig med å dobbeltsjekke at hver fil er der den må være før du legger selskapet tilbake i operativ modus. Det er en stressende prosess som krever mye konsentrasjon og en koordinert innsats fra alle ansvarlige.

Hvis skadelig programvare har klart å infiltrere systemene dine, bør innholdet i spredningen være din høyeste prioritet. Undervurder aldri rapporter om merkelig oppførsel fra ansatte, og hvis du finner ut at bare en datamaskin har blitt rammet av ransomware, må du være sikker på at deler av bedriftens IT-infrastruktur som kan være koblet til den har fått nettverkskablene frakoblet. Moderne ransomware-familier har ormlignende komponenter som lar angrepet spre seg raskt, og hackerne ønsker å låse så mange sluttpunkter som mulig med ideen om å kreve et høyere løsepenger. Jo større antall krypterte PC-er, desto mer tid trenger du å bringe alt tilbake online også.

Vi har allerede nevnt at minimering av nedetid bør være høyt på prioriteringslisten. Når det er sagt, bør du ikke skynde deg prosessen. Før du slår på alt, må du sørge for at alle spor etter ransomware er fjernet, og du bør sjekke om alt fungerer. Ytterligere forsinkelser kommer ikke til å gjøre kundene dine veldig glade, men å fortelle dem at du er tilbake i bransjen og får dem til å møte flere problemer kan gjøre dem enda mer opprørt enn de allerede er.

Hvis du snakker om hvilket, hvis du virkelig vil gjøre brukerne dine dårlige til å føle deg dårlige over hva som har skjedd, kan du prøve å være så gjennomsiktig som mulig om angrepet. Fortell dem hvordan hackerne kom seg inn, hva du har gjort for å stoppe dem, og hva du planlegger å gjøre for å forhindre fremtidige angrep. Fortell brukerne dine om hvordan angrepet vil påvirke dem og tjenestene de har betalt for, og hold ingenting tilbake. Selv om noen selskaper ser ut til å tro at dette er en god strategi, bagatellisering av problemet vanligvis baker ut og gjør enda mer omdømme skade enn selve angrepet.

Det er mye å tenke på, og selv om du gjør alt etter boken, kan konsekvensene fortsatt være ganske forferdelige. I juli 2018 ble for eksempel LabCorp, et av verdens største nettverk av laboratorier, rammet av SamSam-ransomware. Selv om IT-teamet raskt beveget seg for å inneholde skadelig programvare, klarte SamSam fremdeles å infisere rundt 7000 endepunkter og nær 2000 servere.

Nylig ble valutavekslingen Travelex angrepet av ransomvaren Sodinokibi (aka REvil), og i mer enn to uker ble de ansatte tvunget til å bruke penner og papirstykker for å gjøre jobben sin.

Et ransomware-angrep vil sannsynligvis forårsake alle slags problemer, spesielt hvis det er rettet mot en større organisasjon. Med risikoen for å falle i klisjefellen, bør vi si at det å ta aktive forebyggingstiltak er den beste strategien i kampen mot denne typen trusler.

Hva kan du gjøre for å forhindre et vellykket ransomware-angrep?

Det er ikke nok å installere et antivirusprogram på de ansattes datamaskiner og sikkerhetskopiere harddiskene deres. Nok en gang snakker vi om en kompleks prosess som har mange fallgruver, og den sunne tilstanden til ransomware-virksomheten viser tydelig at selskaper gjør feil hele tiden.

Et enkelt sikkerhetsprodukt kan ikke redde dagen hvis hele IT-systemet ditt er basert på gammel programvare som ikke har mottatt sikkerhetsoppdateringene. Ingen andre enn FN lærte på den harde måten hvor viktige sikkerhetsoppdateringer er, og hvis du er ansvarlig for å opprettholde nettverket til et helt selskap, har du ingen unnskyldninger for å kjøre programvare som har kjente sikkerhetsproblemer.

Det er ingen unnskyldning for dårlig konfigurerte nettverk. Mange av ransomware-familiene som for tiden er rettet mot organisasjoner, forplanter seg gjennom usikrede nettverksprotokoller som har blitt stående åpne av uforsiktige sysadminer. Standard passord er også et hyppig høydepunkt for en rekke rapporter om hendelser i ransomware, som viser at sosialteknikken i spam-e-postene langt fra er det eneste våpenet i hackernes arsenal. Når det er sagt, er det alltid en god idé å trene dine ansatte til ikke å klikke tilfeldige lenker og vedlegg i uventede meldinger.

Som du ser er det allerede mange oppgaver å ta vare på, og vi har ikke engang berørt spørsmålet om sikkerhetskopiering av data.

Hvert selskap skal ha en solid backup-strategi, og det er ikke så enkelt å lage en slik det høres ut. Avhengig av hvordan du bruker dataene dine, må du tenke på hvor ofte de må sikkerhetskopieres, men kanskje enda viktigere, må du tenke på selve mekanismen for å lage sikkerhetskopier.

Ideelt sett vil du følge 3-2-1-regelen, som sier at du skal ha 3 kopier av dataene dine lagret på to forskjellige steder, hvorav 1 er utenfor stedet. Hvis du ikke kan holde deg til denne strategien, må du teste sikkerhetskopiene regelmessig for å være sikker på at de er funksjonelle, og du må også holde dem koblet fra resten av IT-systemene. På den måten vil et potensielt ransomware-angrep ikke kunne påvirke kopiene av dataene dine.

Dette er bare noen av tingene du må tenke på, og avhengig av virksomheten til selskapet du jobber for, kan det være mange andre faktorer du kanskje må huske på. Alt i alt er det uten tvil enda mer vondt å prøve å beskytte et selskap mot et ransomware-angrep enn å rydde opp i rotet etter at det allerede er blitt rammet. Gitt hvor ødeleggende skadene kan være, er imidlertid innsatsen vel verdt det.