Ransomware er skadelig software, der krypterer en organisations data og kræver betaling for at frigive dem igen. De senere år er metoden blevet udvidet: data bliver også kopieret ud inden krypteringen, så angriberen kan true med at offentliggøre dem. Det kaldes dobbelt afpresning, og det er grunden til at backup alene ikke længere er et fuldt svar.
Et ransomware-angreb er sjældent en enkelt hændelse. Det er et forløb, ofte over dage eller uger, hvor krypteringen er det sidste skridt — ikke det første.
01
Angriberen kommer ind. Typisk via en phishet adgangskode, en fjernadgang uden multifaktor-godkendelse, eller en usikret sårbarhed i et system, der kan nås fra internettet.
02
Adgangen gøres varig, så den ikke forsvinder ved en genstart eller et adgangskodeskifte.
03
Netværket kortlægges. Hvor ligger filserverne, hvor ligger backuppen, hvem har administratorrettigheder.
04
Højere rettigheder erhverves — målet er domæneadministrator eller tilsvarende.
05
Data kopieres ud af virksomheden. Det er her afpresningsgrundlaget skabes.
06
Skyggekopier slettes, backupjobs stoppes, backupkataloget angribes. Dette sker bevidst før krypteringen.
07
Filerne krypteres, ofte natten til en lørdag eller op til en helligdag, hvor der er længst tid før nogen bemærker det.
Det vigtigste at forstå ved den liste er, at der er dage med signaler, før skaden sker. Det er derfor detektion har så stor betydning: der er tid at gribe ind i, hvis nogen ser efter.
Backup er den eneste foranstaltning, der giver mulighed for at komme tilbage uden at betale. Men den skal opfylde tre betingelser, som mange backup-opsætninger ikke gør:
Og selv med perfekt backup løser den ikke dobbelt afpresning. Er data kopieret ud, er de ude.
Danske og internationale myndigheder anbefaler at man ikke betaler. Der er tre praktiske grunde ud over det principielle: der er ingen garanti for at der udleveres en fungerende nøgle, betalingen bekræfter at målet er betalingsvilligt, og en betaling fjerner ikke de data der allerede er kopieret ud. Beslutningen bør desuden aldrig træffes første gang under en krise — den hører i beredskabsplanen.
Vi gennemgår om jeres backup faktisk kan bruges til at komme tilbage — og hvor lang tid det ville tage. Læs mere om backup og disaster recovery hos Azend, eller tag en uforpligtende snak med en af vores rådgivere.
Ransomware kaldes på dansk ofte løsepengevirus eller afpresningssoftware. Det er skadelig software, der krypterer data og kræver betaling for at frigive dem.
Backup er afgørende, men ikke tilstrækkeligt alene. Den skal være uforanderlig eller adskilt fra produktionsmiljøet, gendannelsen skal være testet, og gendannelsestiden skal være kendt. Og backup løser ikke, at data kan være kopieret ud og bruges til afpresning.
Det varierer, men det er sjældent minutter. Typisk går der dage eller uger med rekognoscering, rettighedseskalering og udtræk af data først. Netop derfor har detektion så stor værdi — der er tid at gribe ind i.
Myndighederne anbefaler at man ikke betaler. Der er ingen garanti for en fungerende nøgle, betalingen finansierer og bekræfter angrebsmodellen, og den fjerner ikke data der allerede er kopieret ud. Beslutningen bør være truffet på forhånd i beredskabsplanen.
De to tal, der definerer hvad jeres backup reelt skal kunne.
Paraplyen over virus, orm, trojansk hest, ransomware og spyware.
Adfærdsovervågning på computere og servere.
Vi lytter · 69 88 49 39