Kelemahan dari 'debugging' ransomware

Ransomware – momok keamanan dunia digital modern – semakin berbahaya. Kami adalah mendidik pengguna tentang apa yang harus dilakukan, tetapi sulit untuk tetap berada di depan enkripsi pembunuh yang ditaburkan secara bebas di sekitar lapisan trek digital yang dikaburkan yang menyembunyikan perbuatan orang jahat dan file Anda. Sementara, tol mengubur bisnis dan mengikat tangan legislator memohon solusi. Tetapi jika kita membuka kunci ransomware, bukankah kita hanya membantu orang jahat membuatnya lebih baik lain kali?

Awal bulan ini di digital bengkel di jantung Republik Ceko, pengembang dekripsi ransomware berbagi dengan peserta bagaimana mereka memecahkan beberapa kode dan mendapatkan kembali data pengguna. Melalui analisis yang cermat, mereka terkadang menemukan kesalahan dalam implementasi atau operasi orang jahat, yang memungkinkan mereka membalikkan proses enkripsi dan memulihkan file yang diacak.

Tetapi ketika orang-orang baik mengumumkan alat ini kepada publik, para penipu dengan cepat mengonfigurasi ulang barang dagangan mereka dengan taktik yang 'lebih tidak dapat diretas', mencegah para peneliti membuka kumpulan file berikutnya. Pada dasarnya, para peneliti sedang men-debug barang scammers untuk mereka dalam siklus yang tidak baik.

Jadi kami tidak memperbaikinya, kami mengejarnya, bereaksi terhadapnya, mengecat kerusakannya. Tetapi kesuksesan apa pun mungkin bersifat sementara, karena pemulihan dari sebagian besar kehancuran tetap mustahil bagi usaha kecil yang merasa mereka harus membayar untuk tetap berbisnis.

Pemerintah – untuk semua niat baik mereka – juga reaktif. Mereka dapat merekomendasikan, membantu proses respons insiden, dan mungkin, mengirimkan dukungan mereka, tetapi itu juga reaktif dan menawarkan sedikit kenyamanan bagi bisnis yang baru saja hancur.

Jadi mereka beralih ke melacak keuangan. Tapi orang jahat biasanya pandai bersembunyi – mereka mampu membeli semua alat bagus dengan membayar banyak uang yang baru saja mereka curi. Dan, sejujurnya, mereka mungkin tahu lebih banyak daripada banyak aktor pemerintah. Ini seperti mengejar mobil balap F1 dengan kuda yang cukup cepat.

Either way, peneliti harus lebih dari penguji beta untuk orang-orang jahat.

Anda tidak bisa hanya mendeteksi alat penjahat dunia maya dan memblokirnya juga, karena mereka dapat memanfaatkan alat sistem standar yang digunakan untuk pengoperasian komputer Anda sehari-hari; mereka bahkan dapat dikirimkan sebagai bagian dari sistem operasi. Alat sumber terbuka adalah perekat yang menyatukan seluruh sistem, tetapi juga bisa menjadi perekat yang menyatukan proses enkripsi ransomware yang mengunci sistem.

Jadi, Anda tinggal menentukan bagaimana penjahat bertindak. Memiliki palu di tangan Anda di toko mekanik tidak buruk sampai Anda mengayunkannya ke jendela untuk memecahkannya. Demikian pula, mendeteksi tindakan yang mencurigakan dapat mendeteksi awal serangan. Tetapi melakukan ini dengan kecepatan varian serangan baru itu sulit.

Di sini, di Eropa, ada upaya signifikan untuk mengumpulkan pemerintah dari berbagai negara untuk berbagi informasi tentang tren ransomware, tetapi kelompok yang memimpin ini bukan penegak hukum secara langsung; mereka hanya bisa berharap yurisdiksi penegak hukum bertindak cepat. Tapi itu tidak terjadi pada kecepatan malware.

Cloud benar-benar membantu, karena solusi keamanan dapat memanfaatkannya untuk mendorong skenario pra-serangan terkini yang harus dipicu komputer Anda untuk menghentikan serangan.

Dan itu memotong umur alat dan teknik ransomware yang efektif sehingga mereka tidak menghasilkan banyak uang. Dibutuhkan uang bagi orang jahat untuk mengembangkan ransomware yang baik, dan mereka menginginkan pengembalian. Jika muatannya hanya berfungsi sekali atau dua kali, itu tidak akan membuahkan hasil. Jika tidak membayar, mereka akan melakukan hal lain yang berhasil, dan mungkin organisasi dapat kembali berbisnis.

Cadangkan drive

Satu tip pro dari konferensi: Cadangkan data terenkripsi Anda jika Anda terkena ransomware. Jika decryptor akhirnya dirilis, Anda mungkin masih memiliki kesempatan untuk memulihkan file yang hilang di masa mendatang. Bukan berarti itu membantu Anda sekarang.

Waktu terbaik untuk mencadangkan sesuatu adalah, tentu saja, ketika Anda tidak sedang diperas oleh ransomware, tetapi tidak ada kata terlambat untuk memulai. Meskipun sudah lebih dari satu dekade saat ini, panduan WeLiveSecurity untuk Dasar-dasar Pencadangan masih memberikan informasi praktis memberikan informasi praktis tentang cara mendekati masalah dan mengembangkan solusi yang cocok untuk rumah atau bisnis kecil Anda.

ESET versus ransomware

Jika Anda bertanya-tanya di mana posisi ESET dalam membuat dekripsi ransomware, kami mengambil pendekatan campuran: kami ingin melindungi orang dari ransomware (yang sering kami klasifikasikan sebagai malware Diskcoder atau Filecoder), serta menyediakan cara untuk memulihkan data. Pada saat yang sama, kami tidak ingin memperingatkan geng kriminal di balik momok ini bahwa kami telah melakukan teknologi yang setara dengan membuka pintu mereka yang terkunci dengan satu set penusuk kunci digital.

Dalam beberapa kasus, decryptor mungkin diterbitkan dan tersedia untuk umum melalui artikel Basis Pengetahuan ESET Alat penghapus malware yang berdiri sendiri. Pada saat penerbitan, kami memiliki sekitar setengah lusin alat dekripsi yang saat ini tersedia di sana. Alat serupa lainnya tersedia di situs web inisiatif Tidak Ada Lagi Tebusan, yang ESET telah menjadi mitra asosiasi sejak 2018. Namun, dalam kasus lain, kami menulis dekripsi tetapi tidak memposting informasi tentang mereka secara publik.

Kriteria untuk mengumumkan bahwa decryptor telah dirilis berbeda-beda untuk setiap ransomware. Keputusan ini didasarkan pada penilaian cermat terhadap banyak faktor, seperti seberapa produktif ransomware, tingkat keparahannya, seberapa cepat pembuat ransomware menambal bug dan kelemahan pengkodean pada perangkat lunak mereka sendiri, dan sebagainya.

Bahkan ketika pihak-pihak tersebut menghubungi ESET untuk menerima bantuan dalam mendekripsi data mereka, informasi spesifik tentang bagaimana dekripsi dilakukan tidak dibagikan secara publik agar dekripsi dapat berfungsi selama mungkin. Kami merasa bahwa hal ini memberikan trade-off terbaik antara melindungi pelanggan dari ransomware sambil tetap dapat membantu mendekripsi file yang dienkripsi untuk jangka waktu yang paling lama. Begitu penjahat menyadari ada lubang dalam enkripsi mereka, mereka mungkin akan memperbaikinya, dan mungkin memerlukan waktu lama sebelum kelemahan lain dapat ditemukan sehingga data dapat dipulihkan tanpa diperas oleh pemiliknya.

Berurusan dengan ransomware, baik operatornya maupun kode ransomware itu sendiri, adalah proses yang rumit, dan sering kali merupakan permainan catur yang bisa memakan waktu berminggu-minggu atau berbulan-bulan atau bahkan bertahun-tahun untuk dimainkan saat orang baik melawan orang jahat. Pandangan ESET dalam hal ini adalah mencoba melakukan kebaikan sebanyak mungkin, yang berarti membantu sebanyak mungkin orang untuk waktu yang paling lama. Ini juga berarti bahwa jika Anda menemukan sistem yang terpengaruh ransomware, jangan putus asa, masih ada kemungkinan di luar bahwa ESET dapat membantu Anda mendapatkan kembali data Anda.

Ransomware mungkin merupakan masalah yang tidak akan hilang dalam waktu dekat, tetapi ESET siap melindungi Anda darinya. Mencegahnya sejak awal masih jauh lebih baik daripada mengobatinya.