Hétfő reggel, a könyvelő bejelentkezne a gépébe – és egy idegen nyelvű üzenet köszönti a képernyőn, minden fájl neve furcsán megváltozott.

A zsarolóvírus (ransomware) ma minden méretű vállalkozást fenyeget, és a Nemzeti Kiberbiztonsági Intézet (NKI) idén is riasztást adott ki magyar ügyészségi levelezést utánzó zsarolótámadási hullámról – vagyis ez nem elvont veszély, hanem folyamatosan futó, magyar nyelvű kampány. A kérdés nem az, hogy egy cég valaha találkozik-e ilyen támadással, hanem az, hogy mennyi ideig áll le emiatt a működése: néhány óráig, vagy egy teljes hétig.

Miért pont a kis- és középvállalkozások a célpontok?

A támadók automatizált szkennelő eszközökkel térképezik fel az internetre kötött rendszereket, és nem méret, hanem sebezhetőség szerint válogatnak. Egy frissítés nélkül hagyott szerver, egy kintről is elérhető RDP-port, vagy egy gyenge jelszóval védett VPN-fiók pontosan ugyanannyira jó belépési pont egy 15 fős, mint egy 500 fős cégnél. A 20-100 fős vállalkozások emiatt kifejezetten kedvelt célpontok: van annyi adatuk és pénzük, hogy megérje megtámadni őket, viszont jellemzően nincs önálló biztonsági csapatuk, ami időben észrevenné a bajt.

Mi történik a fertőzés pillanatában?

A zsarolóvírus nem azonnal üt be zajosan. A kód a hálózatra kerülés után csendben fut: feltérképezi az elérhető meghajtókat, hálózati megosztásokat, majd egy előre meghatározott időpontban – gyakran éjszaka vagy hétvégén – elkezdi titkosítani az elért fájlokat. Ez olyan, mintha egy idegen éjszaka kicserélné a zárakat az irodában: reggelre minden ajtó ugyanott van, csak egyik kulcs sem nyitja már ki őket. A modern támadások egy része ma már nemcsak titkosít, hanem előtte ki is másolja az adatokat, hogy váltságdíj hiányában azok nyilvánosságra kerülésével is fenyegethessen – ezt hívják kettős zsarolásnak.

Mitől függ, hogy délelőtt vagy egy hét?

Itt jön a lényeg: a kár mértékét szinte sosem az dönti el, hogy a támadás megtörtént-e, hanem az, mi történik az első percekben és órákban utána. Több tényező számít, de közülük egy messze a legfontosabb.

A felismerés sebessége és a hálózati szegmentáció is sokat nyom a latban – ha a rendszer csak akkor jelez, amikor a felhasználók már nem tudnak dolgozni, azzal órákat vesztettünk, és ha minden gép és megosztás egyetlen lapos hálózaton van, egy fertőzött laptop percek alatt eljuthat a szerverig. Ezek fontos védelmi rétegek, de egyik sem garancia – egy elég célzott vagy elég friss támadás mindkettőt meg tudja kerülni.

Ami tényleg eldönti a végkimenetelt: van-e működő, tesztelt mentés.

Ha a tegnap esti mentés sértetlen és gyorsan visszaállítható, a helyreállítás órák kérdése – a fertőzött gépeket újratelepítjük, az adatokat visszatöltjük, és másnapra minden ott folytatódik, ahol abbamaradt. Mentés nélkül, vagy egy olyan mentéssel, amit sosem próbáltunk ki éles visszaállításon, ugyanez a támadás heteket vehet igénybe, és nem ritka a végleges adatvesztés sem. Ez a különbség – órák vagy hetek – szinte kizárólag ezen az egy ponton dől el, ezért ez az a terület, ahova a legtöbb figyelmet érdemes fordítani.

Mit jelent a gyakorlatban egy megbízható mentési rendszer?

Van rá egy jól bevált ökölszabály, a 3-2-1 elv: legalább három másolat legyen az adatokról, legalább kétféle adathordozón, és legalább egy példány a többitől fizikailag (vagy legalább hálózatilag) elkülönítve. Ez utóbbi a legfontosabb, és ez az, amit a legtöbben elrontanak: ha a mentés folyamatosan ugyanahhoz a hálózathoz kapcsolódik, mint amit védeni próbál, a zsarolóvírus a mentést is eléri és titkosítja – ilyenkor a mentés léte hamis biztonságérzetet ad, valódi védelmet nem.

Emellett a mentést időről időre tesztelni is kell. Nem elég, hogy lefut minden éjjel – azt is tudni kell, egy valós helyreállítás mennyi ideig tart, és tényleg visszaáll-e belőle minden, amire szükség van. Egy sosem tesztelt mentés majdnem ugyanolyan kockázat, mintha nem is lenne: sok cég csak a baj pillanatában szembesül vele, hogy a mentőfájl hónapok óta hibás, vagy hiányzik belőle egy kritikus adatbázis.

Fizessünk-e váltságdíjat?

A rövid válasz: nem célszerű. A fizetés nem garantálja, hogy visszakapjuk az adatokat – a támadók egy része egyszerűen eltűnik a pénzzel -, és a fizető cégeket később gyakran újra megtámadják, mert bekerülnek egy „fizet” listára. Emellett minden kifizetett váltságdíj a következő támadási hullámot finanszírozza. A valódi biztosíték nem a tárgyalás a támadóval, hanem az, hogy egyáltalán nincs rá szükség – mert van honnan visszaállítani a rendszert.

Tévhitek

„Kis cég vagyunk, minket nem néznek ki.” A támadók nem cégnévvel dolgoznak, hanem IP-tartományokkal és nyitott portokkal – a szkript, ami a támadást indítja, nem tudja és nem is érdekli, hány fő dolgozik a megtámadott hálózaton.

„Van vírusirtónk, az megvéd.” A hagyományos, aláírás-alapú vírusvédelem jó kiindulópont, de a friss zsarolóvírus-variánsok gyakran még pár órával a felbukkanásuk után sem szerepelnek egyetlen adatbázisban sem. Emiatt kell mellé viselkedésalapú védelem is, ami nem az ismert kártevők listáját nézi, hanem azt, hogy egy program szokatlanul sok fájlt kezd el egymás után átírni. Fontos leszögezni: egyik védelmi réteg sem helyettesíti a mentést, csak csökkenti annak esélyét, hogy egyáltalán szükség legyen rá.

„A mentés megvan, mert másolunk egy külső lemezre.” Ha ez a lemez folyamatosan csatlakoztatva van a géphez, a zsarolóvírus ugyanúgy eléri és titkosítja, mint bármelyik hálózati meghajtót – ez a leggyakoribb ok, amiért egy cég azt hiszi, védett, miközben valójában nem az.

Ha szeretné tudni, mi a saját kockázata, kérjen IT auditot: abakusz.hu/itaudit