Hva er løsepengevirus? Slik beskytter du deg
Vi forklarer hvordan løsepengevirus sprer seg, hva du må gjøre de første timene etter at filene er kryptert, og tiltakene for å beskytte deg, først og fremst sikkerhetskopiering.
Aurora YazılımRedaksjonen
6 min lesetid
Løsepengevirus (ransomware) er skadelig programvare som krypterer filer på datamaskiner og servere slik at de ikke kan brukes, og krever betaling for å gi dataene tilbake. Det spres oftest gjennom phishing-e-poster, ikke-oppdaterte systemer og eksterne skrivebordstilkoblinger som er åpne mot internett. Den sterkeste beskyttelsen er en offline og uforanderlig sikkerhetskopi sammen med jevnlige oppdateringer.
Hvordan skjer et løsepengeangrep?
En morgen kommer du på kontoret: filendelsene er endret, ingenting lar seg åpne, og det ligger et notat på skrivebordet. Du blir bedt om å betale med kryptovaluta innen en frist for å få dataene tilbake. Dette er siste fase av et løsepengeangrep. Angriperen har som regel vært inne i systemet i dagevis, ja uker.
Moderne løsepengegrupper nøyer seg ikke med å kryptere. Før krypteringen kopierer de sensitive data og truer med å offentliggjøre dem hvis det ikke betales. Dette kalles dobbel utpressing, og det skal sette press på selv virksomheter som gjenoppretter fra sikkerhetskopi.
Angrepene rammer ikke bare store selskaper. Små og mellomstore bedrifter blir lette mål i automatiske skanninger fordi sikkerhetstiltakene er svakere. Det spiller ingen rolle om det er et regnskapskontor, en klinikk, et hotell eller et produksjonsverksted: alle som har data, er potensielle mål.
Hvordan sprer løsepengevirus seg?
Løsepengevirus kommer inn gjennom noen få kjente dører. Når du kjenner dem, ser du hvor tiltakene bør settes inn.
| Smittevei | Hvordan skjer det? | Viktigste tiltak |
|---|---|---|
| Phishing-e-post | Vedlegg eller lenke som ser ut som en faktura eller en forsendelse | Opplæring av ansatte, e-postfilter |
| Eksternt skrivebord (RDP) | Fjerntilkobling som er åpen mot internett og har svakt passord | Steng direkte tilgang, bruk VPN og tofaktorautentisering |
| Ikke-oppdatert programvare | VPN, server eller applikasjon med kjent sårbarhet | Jevnlige oppdateringer |
| Stjålet passord | Kontoopplysninger fra en datalekkasje | Unike passord, tofaktorautentisering |
| Piratkopiert programvare og falske nedlastinger | Program uten lisens eller en falsk oppdatering | Bruk bare programvare fra offisielle kilder |
Varselsignaler før angrepet
Før angriperne går i gang med krypteringen, beveger de seg rundt i nettverket, øker rettighetene sine og prøver å finne sikkerhetskopiene. Denne forberedelsen etterlater ofte spor som kan oppdages. Hvis du fanger opp sporene tidlig, har du sjanse til å stoppe angrepet før krypteringen starter.
Når du ser ett av tegnene under, bør du ikke avfeie det som en vanlig feil. Undersøk det sammen med IT-ansvarlig. Uvanlig aktivitet utenfor arbeidstid må tas på alvor.
- En ny administratorkonto du ikke kjenner igjen, eller brukere som har fått endret rettigheter
- Pålogginger via eksternt skrivebord på nattestid
- Sikkerhetsprogramvare som plutselig er deaktivert
- Sikkerhetskopieringsjobber som er slettet eller feiler gjentatte ganger
- Uvanlig store datamengder ut av nettverket og trege servere
Filene er kryptert: første skritt
Skrittene du tar de første timene etter at du ser meldingen “filene er kryptert”, avgjør hvor stor skaden blir. Å formatere maskinen i panikk eller betale med en gang er som regel det dårligste valget.
- Koble de berørte enhetene fra nettverket: trekk ut nettverkskabelen, slå av Wi-Fi, og rådfør deg med en ekspert før du slår av enheten
- Koble fra tilkoblede eksterne disker og nettverksressurser med en gang
- Ta bilde av løsepengenotatet og skjermen, og ikke slett noen filer
- Si fra til IT-ansvarlig eller firmaet som gir deg støtte
- Bytt passord for administratorkontoer og kritiske systemer fra en ren enhet
- Sjekk status på sikkerhetskopiene, og isoler backupsystemet fra angriperens tilgang
- Hvis personopplysninger er rammet, bør du vurdere lovpålagte meldeplikter sammen med juridisk rådgiver
Bør du betale løsepenger?
Sikkerhetsmyndigheters generelle råd er at løsepenger ikke bør betales. Betaling garanterer ikke at dataene gis tilbake. Dekrypteringsverktøyet fungerer kanskje ikke, dataene kan likevel bli offentliggjort, og virksomheten kan bli merket som “betaler” for neste angrep.
Beslutningen om å betale er tung og må tas ved å vurdere virksomhetens drift, juridiske plikter og sikkerhetskopienes tilstand samlet. Ta den ikke alene. Snakk med juridisk rådgiver og eksperter med erfaring i hendelseshåndtering.
For noen familier av løsepengevirus er det utgitt gratis dekrypteringsverktøy. Nettstedet No More Ransom, et felles initiativ fra europeiske politimyndigheter og sikkerhetsfirmaer, hjelper deg å identifisere hvilken type som har rammet deg og finne et gratis verktøy hvis det finnes.
Det sterkeste skjoldet: sikkerhetskopiering
Det mest effektive tiltaket mot løsepengevirus er en fungerende sikkerhetskopi som angriperen ikke kommer til. For en virksomhet som kan gjenopprette fra en ren sikkerhetskopi, er angrepet ikke lenger en katastrofe, men et håndterbart avbrudd.
Men ikke alle sikkerhetskopier duger. En ekstern disk eller nettverksressurs som alltid er tilkoblet, blir kryptert av løsepengeviruset sammen med originalfilene. Synkroniserte skymapper kan også flytte krypterte filer opp i skyen, og i en tjeneste uten versjonshistorikk kan det være umulig å gå tilbake. Styrkene og svakhetene ved skylagring har vi tatt for oss i artikkelen hva er skytjenester.
- 3-2-1-regelen: tre kopier, to medier, én utenfor lokasjonen
- Minst én av kopiene bør være offline eller uforanderlig
- Administratorpassordet til backupsystemet bør holdes adskilt fra kontoene i hovednettverket
- Gjenoppretting bør testes jevnlig, og tiden det tar bør måles
Forebyggende sikkerhetstiltak
Sikkerhetskopien redder deg etter angrepet, mens tiltakene under reduserer sannsynligheten for at angrepet skjer. Ingen av dem er nok alene, men sammen danner de et lagdelt forsvar.
Tekniske tiltak
- Automatiske oppdateringer i operativsystem, nettleser, VPN og all programvare
- Ikke åpne eksternt skrivebord direkte mot internett
- Tofaktorautentisering på e-post, VPN og administratorkontoer
- Oppdatert sikkerhetsprogramvare og filter for e-postvedlegg
- Makroer i kontordokumenter bør være avslått som standard
Administrative tiltak
- Brukere gis ikke administratorrettigheter i det daglige arbeidet
- Hver ansatt har bare tilgang til mappene vedkommende trenger for jobben
- Tilgangen til ansatte som slutter, stenges samme dag
- Korte og jevnlige opplæringer i sikkerhetsbevissthet
- En skriftlig plan for hendelseshåndtering og en liste over personer som skal kontaktes i en nødsituasjon
Servere og nettsteder
Løsepengevirus kan ramme ikke bare kontormaskiner, men også servere og nettsteder. Når et system med reservasjoner, bestillinger eller kundeopplysninger stopper, er tapet mye større enn de krypterte filene. I for eksempel hotellprogramvare eller en nettbutikkplattform med mange bestillinger betyr selv noen timers avbrudd direkte inntektstap.
I programvareløsninger som utvikles spesielt for en bedrift, kan rollebasert tilgang, transaksjonslogger og jevnlig sikkerhetskopiering av databasen til et eget miljø planlegges fra begynnelsen. På nettsteder som er live, håndteres oppdatering av serverprogramvaren, overvåking av sikkerhetskopier og oppdagelse av uvanlig atferd gjennom jevnlig vedlikehold som en del av hastighet og ytelse.
Har du oppdaget skadelig kode eller uventede endringer på nettstedet ditt, har vi gått gjennom trinnene du bør følge i guiden vår nettstedet er hacket.
Vanlige spørsmål
01Stopper antivirus løsepengevirus helt?
Oppdatert sikkerhetsprogramvare fanger opp en betydelig del av kjente løsepengevirus, men stopper ikke alltid nye varianter eller angrep som bruker en stjålet administratorkonto. Derfor bør sikkerhetsprogramvare brukes sammen med oppdateringer, tofaktorautentisering og offline sikkerhetskopi.
02Rammes Mac- og Linux-maskiner også?
Ja. Selv om det meste av løsepengeviruset retter seg mot Windows, finnes det også varianter som angriper macOS og særlig Linux-servere. Uansett operativsystem er reglene for oppdatering, begrensning av rettigheter og sikkerhetskopiering de samme.
03Når kan jeg ta systemet i bruk igjen etter et angrep?
Hvis du gjenoppretter fra sikkerhetskopi før angriperens inngangsvei er funnet og stengt og alle passord er byttet, kan det samme angrepet gjentas. Først må du rydde opp og gjøre en rotårsaksanalyse, og deretter gjenopprette kontrollert fra en ren sikkerhetskopi.
Løsepengevirus er et hardt slag for virksomheter som tas på sengen, men med offline sikkerhetskopi, jevnlige oppdateringer og bevisste ansatte blir det en hendelse som kan overvinnes. Aurora Yazılım legger opp sikkerhetskopiering og rettighetsstruktur fra begynnelsen i programvareløsninger laget for din bedrift, og tar seg av hastighet og ytelse og vedlikehold for nettstedet ditt som er live. Ta kontakt for å vurdere dagens oppsett.
