Slik fungerer moderne ransomware-angrep

Hva er ransomware?

Når folk hører ordet ransomware ser mange for seg en svart skjerm med et løsepengekrav. Men, i dag bruker angriperne ofte tid på å kartlegge virksomheten din før de slår til. De ønsker å forstå hvilke systemer som finnes, hvor de verdifulle dataene ligger, hvem som har tilgang til hva og hvordan de kan få størst mulig effekt av angrepet. Det betyr at en virksomhet kan være kompromittert lenge før noen oppdager det.

Et aktuelt eksempel er dataangrepet mot Lørenskog kommune. Dette angrepet startet med en handling de fleste av oss gjør hver eneste dag. Et søk etter informasjon på nett, etterfulgt av et klikk på en nettside som fremsto som legitim. Dette ga bandittene tilgang til den ansattes PC, hvor arbeidet deres begynte.

Hvordan ser et ransomware-angrep ut?

Selv om ingen hendelser er helt like, følger mange ransomware-angrep et lignende mønster.

Først finner angriperne en vei inn

Det kan være en e-post, en svakhet i et system eller en fil som lastes ned fra en nettside som ser helt legitim ut. Målet er å få tilgang til én konto eller én enhet.

Deretter kartlegger de miljøet

Når bandittene først er inne, begynner de å undersøke. Hvilke systemer brukes? Hvor ligger dataene? Hvem har administratorrettigheter? Finnes det sikkerhetskopier? Denne fasen kan vare i flere dager eller uker.

Så hentes data ut

I mange moderne ransomware-angrep er ikke kryptering det første som skjer. Først stjeles data: kundedata, dokumenter, personopplysninger eller annen informasjon som kan brukes til utpressing eller publiseres dersom virksomheter ikke betaler.

Til slutt kommer angrepet

Først da skjer den delen som ofte havner i overskriftene. Systemer krypteres. Tjenester stopper opp. Løsepengekrav sendes. Men, på dette tidspunktet har bandittene ofte allerede oppnådd mye av det de ønsket.

Hvorfor er ransomware-angrep så krevende?

Et DDoS-angrep kan være alvorlig, men ofte kommer tjenestene tilbake når angrepet stopper. Ransomware er annerledes. Konsekvensene kan vare lenge etter at de tekniske problemene er løst. Virksomheten må finne ut hva som har skjedd, hvilke data som er berørt, hvem som må varsles og hvordan man skal gjenopprette tilliten hos kunder, ansatte og samarbeidspartnere. Ofte er det nettopp denne deles som tar lengst tid.

Hvem rammes av ransomware?

En vanlig misforståelse er dette bare rammer store virksomheter. Det stemmer sjelden. Cyberkriminelle ser ofte muligheter, ikke nødvendigvis bestemte mål. For dem spiller det liten rolle om virksomheten har 20 eller 2000 ansatte dersom veien inn er enkel nok. Derfor er det heller ikke størrelsen på virksomheten som avgjør risikoen, men hvor godt man er forberedt.

Hva kan vi lære?

For oss er kanskje den viktigste lærdommen at moderne cyberangrep sjelden starter med avansert teknologi. De starter ofte med noe helt hverdagslig. Et søk på nettet. En nedlastning. En konto som bli kompromittert. Derfor handler sikkerhet om mer enn brannmurer og antivirus. Det handler om mennesker, rutiner og beredskap. Om å gjøre det vanskeligere å komme inn, lettere å oppdage avvik og raskere å håndtere situasjonen dersom noe faktisk skjer. For i dagens trusselbilde er spørsmål sjelden om noen kommer til å forsøke seg. Spørsmålet er hvor godt forberedt du er når de gjør det.

«Mange tenker fortsatt at ransomware starter når filer blir kryptert. I virkeligheten starter angrepet ofte lenge før det. Det handler om å oppdage mistenkelig aktivitet tidlig og begrense hvor langt angriperne kommer dersom de først får fotfeste», sier Håkon Haakensen, Sikkerhetskonsulent i Upheads.