Shares

În acest material discutăm din nou despre ransomware, dar într-o notă pozitivă, de această dată. O echipă de securitate a reușit să decripteze un model specific de ransomware.

Firma israeliană de securitate Profero a reușit să decripteze datele criptate de ransomware-ul DarkBit fără plata unei răscumpărări.

Atacul a fost lansat de gruparea MuddyWaters, un actor de amenințare susținut de statul iranian, cunoscut mai ales pentru atacurile cu motivație geopolitică. Incidentul a afectat servere VMware ESXi, o țintă tot mai frecvent vizată în ultimii ani, și s-a bazat pe criptarea fișierelor vitale pentru funcționarea infrastructurii IT.

Decriptarea a fost posibilă datorită unei erori în implementarea mecanismului de criptare AES-128-CBC folosit de atacatori. Cheile și vectorii de inițializare erau stocați în fiecare fișier, protejați cu RSA-2048, însă procesul de generare folosea o entropie redusă, ceea ce a permis echipei Profero să reducă semnificativ complexitatea atacului prin brute force.

Analizând informații precum data modificării fișierelor și structura formatului VMDK (utilizat de mașinile virtuale), experții au identificat blocuri cu valori previzibile, permițând verificarea directă a decriptării fără a procesa întreg fișierul.

Rezultatul este unul cu adevărat încurajator pentru companii: chiar și în fața unor atacuri coordonate de grupări bine finanțate, există posibilitatea unei recuperări fără costuri, dacă se identifică puncte slabe în infrastructura atacatorului.

Ce este ransomware

Ransomware-ul este o categorie de malware proiectată să blocheze accesul la datele unei victime prin criptare, urmată de solicitarea unei sume de bani pentru a reda accesul. În majoritatea cazurilor, atacatorii cer plata în criptomonede, ceea ce îngreunează urmărirea tranzacțiilor.

Procesul începe, de obicei, prin compromiterea unui sistem – fie printr-un email de tip phishing, fie prin exploatarea unei vulnerabilități de securitate. Odată ce ransomware-ul este executat, acesta parcurge sistemul, identifică fișierele valoroase și le criptează, lăsând în urmă un mesaj cu instrucțiuni pentru plată.

În ultimii ani, tacticile s-au rafinat, iar multe grupări practică așa-numita „dublă extorcare”: pe lângă criptarea fișierelor, aceștia extrag date sensibile și amenință cu publicarea lor dacă răscumpărarea nu este plătită.

Cum ne protejăm de ransomware

Deși cazurile precum cel al Profero sunt motivante, nu trebuie să ne bazăm pe șansa de a întâlni o eroare în codul atacatorilor. Prevenția rămâne cea mai eficientă metodă de apărare împotriva ransomware-ului. Iată câteva măsuri esențiale:

  • Backup regulat și izolat – Copiile de siguranță trebuie realizate frecvent și stocate pe medii offline sau în soluții cloud securizate, inaccesibile din rețeaua principală.
  • Aplicarea patch-urilor – Menținerea sistemelor de operare, aplicațiilor și firmware-urilor la zi închide breșele de securitate exploatate de ransomware.
  • Antivirus actualizat (chiar și pe Linux) – Soluțiile moderne de securitate includ protecție dedicată anti-ransomware, detectând comportamente suspecte înainte de criptarea fișierelor.
  • Vigilență în fața emailurilor – Multe atacuri încep printr-un simplu click pe un link sau fișier malițios. Mesajele neașteptate sau care solicită acțiuni urgente trebuie tratate cu suspiciune.
  • Firewall și segmentarea traficului – Limitarea accesului între segmentele rețelei poate opri răspândirea ransomware-ului odată ce un sistem este compromis.
  • Aplicații licențiate – Utilizarea software-ului original reduce riscul de a instala programe cu malware integrat.
  • Evitarea surselor nesigure – Programele descărcate din locuri necunoscute sau neoficiale rămân o poartă de intrare pentru amenințări.

Concluzie

Succesul echipei Profero în decriptarea ransomware-ului DarkBit, fără plata vreunei răscumpărări, arată că există situații în care organizațiile pot învinge chiar și grupările avansate. Totuși, aceste cazuri sunt excepții, nu reguli.

Prevenția, monitorizarea continuă și procedurile clare de răspuns la incidente sunt pilonii unei apărări eficiente. Pentru companii, vestea rămâne una bună: securitatea cibernetică nu este doar o cursă contra-cronometru cu atacatorii, ci și un domeniu în care victoriile sunt posibile, chiar și împotriva unor adversari sofisticați.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.

Shares