Ulempen ved at 'fejle' ransomware

Ransomware – den moderne, digitale verdens sikkerhedsplage – bliver bare mere og mere farlig. Det er vi oplyse brugerne om, hvad de skal gøre, men det er svært at være på forkant med den dræbende kryptering, der er drysset rigeligt omkring lag af slørede digitale spor, der skjuler skurkenes gerninger og dine filer. I mellemtiden begraver vejafgiften virksomheder og binder hænderne på lovgivere, der tigger om en løsning. Men hvis vi åbner nøglerne til ransomware, hjælper vi så ikke bare de onde med at gøre det bedre næste gang?

Tidligere på måneden på en digital værksted i hjertet af Tjekkiet delte udviklere af ransomware-dekrypteringer med deltagerne, hvordan de knækkede noget af koden og fik brugernes data tilbage. Gennem omhyggelig analyse fandt de nogle gange fejl i de onde fyres implementeringer eller operationer, hvilket gjorde det muligt for dem at vende krypteringsprocessen og gendanne de krypterede filer.

Men når gode fyre annoncerer værktøjet til offentligheden, omkonfigurerer svindlerne hurtigt deres varer med taktikker, der er 'mere fuldstændig uhackbare', hvilket forhindrer forskere i at åbne den næste batch af filer. Dybest set fejlsøger forskerne svindlernes varer for dem i en ikke-dydig cyklus.

Så vi ordner det ikke, vi jagter det, reagerer på det, maler over skaden. Men enhver succes kan være forbigående, da genopretning fra størstedelen af ​​ødelæggelserne forbliver umulig for de små virksomheder, der følte, at de skulle betale for at blive i forretningen.

Regeringer – trods deres gode hensigt – er også reaktive. De kan anbefale, hjælpe med processen med at reagere på hændelser og måske sende deres støtte, men det er også reaktivt og giver kun lidt trøst til en nysluset virksomhed.

Så de skifter til sporing af økonomi. Men de onde er normalt gode til at gemme sig – de har råd til alle de gode værktøjer ved at betale de store penge, de lige har stjålet. Og helt ærligt, så ved de måske mere end mange offentlige aktører. Det er som at jagte en F1-racerbil med en rimelig hurtig hest.

Uanset hvad, så skal forskere være mere end betatestere for de onde.

Du kan heller ikke bare opdage cyberkriminelles værktøjer og blokere dem, da de kan udnytte standard systemværktøjer, der bruges til den daglige drift af din computer; de kan endda sendes som en del af operativsystemet. Open source-værktøjer er den lim, der holder hele systemet sammen, men kan også være den lim, der holder sammen på ransomware-krypteringsprocessen, der låser systemet.

Så står du tilbage med at bestemme, hvordan de kriminelle handler. At have en hammer i hånden i et mekanikerværksted er ikke dårligt, før du svinger mod et vindue for at knuse det. På samme måde kan opdagelse af en mistænkelig handling opdage begyndelsen af ​​et angreb. Men at gøre dette med hastigheden af ​​nye angrebsvarianter er svært.

Her i Europa er der en betydelig indsats for at indkalde regeringer fra forskellige lande til at dele information om ransomware-tendenser, men de grupper, der leder dette, er ikke direkte retshåndhævelse; de kan kun håbe, at retshåndhævende jurisdiktioner handler hurtigt. Men det sker ikke med malwares hastighed.

Skyen har bestemt hjulpet, da sikkerhedsløsninger kan udnytte den til at skubbe up-to-the-minute pre-angreb scenarier ud, som din computer skulle udløse for at stoppe et angreb.

Og det reducerer levetiden for effektive ransomware-værktøjer og -teknikker, så de ikke tjener mange penge. Det koster penge for de onde at udvikle god ransomware, og de vil have en tilbagebetaling. Hvis deres nyttelast kun virker en eller to gange, betaler det sig ikke. Hvis det ikke kan betale sig, vil de gå og gøre noget andet, der gør det, og måske kan organisationer gå tilbage til erhvervslivet.

Sikkerhedskopier drevet

Et professionelt tip fra konferencen: Sikkerhedskopier dine krypterede data, hvis du bliver ramt af ransomware. Hvis en dekryptering til sidst frigives, har du muligvis stadig en chance for at gendanne tabte filer i fremtiden. Ikke at det hjælper dig lige nu.

Det bedste tidspunkt at tage backup af ting på er selvfølgelig, når du ikke bliver afpresset af ransomware, men det er aldrig for sent at begynde. Selvom den er over et årti gammel på dette tidspunkt, er WeLiveSecuritys guide til Grundlæggende om sikkerhedskopiering giver stadig praktiske oplysninger giver praktiske oplysninger om, hvordan man griber problemet an og udvikler en løsning, der fungerer for dit hjem eller lille virksomhed.

ESET versus ransomware

Hvis du undrer dig over, hvor ESET står ved at skabe ransomware-dekryptering, har vi en blandet tilgang: vi ønsker at beskytte folk mod ransomware (som vi ofte klassificerer som Diskcoder eller Filecoder malware), samt tilbyde måder at gendanne data på. Samtidig ønsker vi ikke at advare de kriminelle bander bag denne plage om, at vi har gjort det teknologiske svar til at åbne deres låste døre med et sæt digitale låsehakkere.

I nogle tilfælde kan en dekryptering offentliggøres og gøres tilgængelig for offentligheden gennem ESET Knowledgebase-artikel Stand-alone værktøjer til fjernelse af malware. På tidspunktet for udgivelsen har vi omkring et halvt dusin dekrypteringsværktøjer tilgængelige der. Andre sådanne værktøjer er tilgængelige på hjemmesiden for No More Ransom-initiativet, som ESET har været associeret partner for siden 2018. I andre tilfælde skriver vi dog dekrypteringer, men offentliggør ikke oplysninger om dem.

Kriterierne for, om der skal annonceres, at en dekryptering er blevet frigivet, varierer med hvert stykke ransomware. Disse beslutninger er baseret på en omhyggelig vurdering af mange faktorer, såsom hvor produktiv ransomwaren er, dens sværhedsgrad, hvor hurtigt ransomware-forfatterne retter kodningsfejl og fejl i deres egen software, og så videre.

Selv når parter kontakter ESET for at modtage hjælp til at dekryptere deres data, deles specifikke oplysninger om, hvordan dekrypteringen blev udført, ikke offentligt offentligt for at tillade dekryptering at virke så længe som muligt. Vi føler, at dette giver den bedste afvejning mellem at beskytte kunder mod ransomware, mens de stadig er i stand til at hjælpe med at dekryptere ransomware-filer i længst mulig tid. Når først forbrydere er klar over, at der er huller i deres kryptering, kan de rette dem, og det kan vare lang tid, før der kan findes andre fejl, der gør det muligt at genskabe data, uden at dens ejer bliver afpresset.

At håndtere ransomware, både dets operatører og selve ransomware-koden, er en vanskelig proces, og det er ofte et skakspil, der kan tage uger eller måneder eller endda år at spille, når de gode fyre kæmper mod de onde. ESETs holdning til dette er at forsøge at gøre den maksimale mængde godt, hvilket betyder at hjælpe så mange mennesker som muligt i længst mulig tid. Det betyder også, at hvis du støder på et ransomware-ramt system, så giv ikke op håbet, der er stadig en udefrakommende chance for, at ESET muligvis kan hjælpe dig med at få dine data tilbage.

Ransomware kan være et problem, der ikke forsvinder snart, men ESET står klar til at beskytte dig mod det. At forhindre det i første omgang er dog stadig langt bedre end at helbrede det.