Vad är ransomware? Så skyddar du dig
Vi går igenom hur ransomware sprids, vad du ska göra under de första timmarna när filerna krypteras och skyddsåtgärder med backup i spetsen.
Aurora YazılımRedaktionen
6 min läsning
Ransomware (utpressningsprogram) är skadlig programvara som krypterar filer på datorer och servrar så att de inte går att använda och kräver betalning för att lämna tillbaka datan. Den sprids oftast via nätfiskemejl, ouppdaterade system och fjärrskrivbordsanslutningar som är öppna mot internet. Det starkaste skyddet är en offline och oföränderlig backup samt regelbundna uppdateringar.
Hur går en ransomware-attack till?
En morgon kommer du till kontoret. Filernas ändelser har ändrats, ingen går att öppna och på skrivbordet ligger ett meddelande: för att få tillbaka din data ska du betala med kryptovaluta inom en viss tid. Det här är sista steget i en ransomware-attack, och angriparen har oftast kommit in i systemet dagar eller till och med veckor tidigare.
Moderna ransomware-grupper nöjer sig inte med att kryptera. Innan krypteringen kopierar de känsliga data och hotar att publicera dem om ingen betalning sker. Det kallas dubbel utpressning och syftar till att sätta press även på företag som kan återställa från backup.
Det är inte bara stora företag som är måltavlor. Små och medelstora företag blir lätta offer i automatiska skanningar eftersom deras skydd är svagare. Oavsett om det är en redovisningsbyrå, en klinik, ett hotell eller en verkstad är alla som har data potentiella mål.
Hur sprids ransomware?
Ransomware kommer in genom några välkända dörrar. Om du känner till dem ser du var skyddsåtgärderna ska sättas in.
| Smittväg | Hur går det till? | Grundläggande åtgärd |
|---|---|---|
| Nätfiskemejl | Bilaga eller länk som ser ut som en faktura eller ett fraktmeddelande | Utbildning av medarbetare, e-postfilter |
| Fjärrskrivbord (RDP) | Fjärranslutning som är öppen mot internet och har svagt lösenord | Stäng direkt åtkomst, använd VPN och tvåstegsverifiering |
| Ouppdaterad programvara | VPN, server eller applikation med en känd sårbarhet | Regelbundna uppdateringar |
| Stulet lösenord | Kontouppgifter som kommit från ett dataläckage | Unika lösenord, tvåstegsverifiering |
| Piratkopierad programvara och falska nedladdningar | Olicensierat program eller falsk uppdatering | Programvara endast från officiella källor |
Varningssignaler före en attack
Innan angriparna går över till kryptering rör de sig i nätverket, höjer sina behörigheter och försöker hitta backuperna. Den här förberedelsetiden lämnar ofta spår som går att upptäcka. Att fånga dem tidigt ger en chans att stoppa attacken innan krypteringen börjar.
När du ser något av tecknen nedan ska du inte avfärda det som ett vanligt fel, utan utreda det tillsammans med din IT-ansvarige. Särskilt ovanlig aktivitet utanför arbetstid bör tas på allvar.
- Ett nytt administratörskonto du inte känner igen eller användare vars behörigheter har ändrats
- Inloggningar via fjärrskrivbord på natten
- Säkerhetsprogramvara som stängs av av sig själv
- Backupjobb som raderas eller misslyckas gång på gång
- Ovanligt stor datautgång från nätverket och servrar som blir långsammare
Filerna är krypterade: första stegen
När du ser meddelandet ”filerna är krypterade” avgör stegen under de första timmarna hur stor skadan blir. Att i panik formatera datorn eller genast betala är oftast det sämsta valet.
- Koppla bort de drabbade enheterna från nätverket: dra ur nätverkskabeln, stäng av Wi-Fi, och rådgör med en expert innan du stänger av enheten
- Koppla genast bort anslutna externa diskar och nätverksresurser
- Ta ett foto av lösenmeddelandet och skärmen och radera inga filer
- Meddela din IT-ansvarige eller det företag som ger dig stöd
- Byt lösenord för administratörskonton och kritiska system från en ren enhet
- Kontrollera status på dina backuper och koppla bort backupsystemet från angriparens åtkomst
- Om personuppgifter har påverkats, bedöm dina lagstadgade anmälningsskyldigheter tillsammans med din juridiska rådgivare
Ska man betala lösensumman?
Säkerhetsmyndigheternas allmänna råd är att inte betala lösensumman. En betalning garanterar inte att datan lämnas tillbaka. Dekrypteringsverktyget kanske inte fungerar, datan kan ändå publiceras och företaget kan markeras som ”betalare” inför nästa attack.
Beslutet att betala är ett tungt beslut som måste fattas genom en samlad bedömning av verksamhetens kontinuitet, juridiska skyldigheter och backuperna. Fatta inte beslutet ensam. Rådgör med din juridiska rådgivare och med experter som har erfarenhet av incidenthantering.
För vissa ransomware-familjer har det publicerats gratis dekrypteringsverktyg. Sajten No More Ransom, ett gemensamt initiativ av europeiska brottsbekämpande myndigheter och säkerhetsföretag, hjälper dig att identifiera vilken typ som har drabbat dig och att hitta ett gratis verktyg, om ett sådant finns.
Den starkaste sköldan: backup
Den mest effektiva åtgärden mot ransomware är en fungerande backup som angriparen inte kommer åt. För ett företag som kan återställa från en ren backup är attacken ingen katastrof utan ett hanterbart avbrott.
Men alla backuper gör inte det jobbet. En extern disk eller nätverksresurs som alltid är ansluten krypteras av ransomware tillsammans med originalfilerna. Molnmappar som synkroniserar kan också flytta de krypterade filerna till molnet, och i en tjänst utan versionshistorik kan det vara omöjligt att gå tillbaka. Molnlagringens styrkor och svagheter i detta har vi tagit upp i inlägget vad är molntjänster.
- 3-2-1-regeln: tre kopior, två medier, en på annan plats
- Minst en av kopiorna ska vara offline eller oföränderlig
- Administratörslösenordet till backupsystemet ska hållas åtskilt från kontona i det vanliga nätverket
- Återställningen ska testas regelbundet och tiden den tar ska mätas
Förebyggande säkerhetsåtgärder
Backupen räddar dig efter attacken, medan åtgärderna nedan minskar sannolikheten att attacken lyckas. Ingen av dem är tillräcklig ensam, men tillsammans bildar de ett skiktat försvar.
Tekniska åtgärder
- Automatiska uppdateringar av operativsystem, webbläsare, VPN och all programvara
- Öppna inte fjärrskrivbordsåtkomst direkt mot internet
- Tvåstegsverifiering för e-post, VPN och administratörskonton
- Aktuell säkerhetsprogramvara och filter för e-postbilagor
- Makron i kontorsdokument ska vara avstängda som standard
Organisatoriska åtgärder
- Ge inte användare administratörsbehörighet i det dagliga arbetet
- Varje medarbetare ska bara komma åt de mappar som behövs för arbetet
- Stäng åtkomsten för personer som slutar samma dag
- Korta och regelbundna utbildningar för säkerhetsmedvetenhet
- En skriftlig plan för incidenthantering och en lista över personer att ringa vid nödläge
Servrar och webbplatser
Ransomware riktas inte bara mot kontorsdatorer utan också mot servrar och webbplatser. När ett system där bokningar, beställningar eller kundregister finns står still är förlusten mycket större än själva de krypterade filerna. Till exempel innebär även några timmars avbrott i ett hotellsystem eller i en e-handelsplattform med många beställningar direkt förlorade intäkter.
I programvarulösningar som utvecklas specifikt för ett företag kan rollbaserade behörigheter, transaktionsloggar och regelbunden backup av databasen till en separat miljö planeras från början. För webbplatser som redan är i drift sköts uppdatering av serverprogramvaran, övervakning av backuper och upptäckt av ovanligt beteende genom det regelbundna underhållet inom hastighet och prestanda.
Om du har upptäckt skadlig kod eller oväntade ändringar på din webbplats beskriver vi stegen steg för steg i vår guide webbplatsen har blivit hackad.
Vanliga frågor
01Stoppar antivirus ransomware helt?
Aktuell säkerhetsprogramvara fångar en stor del av den kända ransomware, men stoppar inte alltid nya varianter eller attacker som görs med ett stulet administratörskonto. Därför bör säkerhetsprogramvara användas tillsammans med uppdateringar, tvåstegsverifiering och en offline-backup.
02Drabbas Mac- och Linux-datorer också?
Ja. Även om det mesta av ransomware riktar sig mot Windows finns också varianter som riktar sig mot macOS och särskilt Linux-servrar. Oavsett operativsystem är reglerna för uppdatering, behörighetsbegränsning och backup desamma.
03När kan jag använda systemet igen efter attacken?
Om du återställer från backup innan angriparens ingång har hittats och stängts och alla lösenord har bytts kan samma attack upprepas. Först bör rensning och rotorsaksanalys göras, och sedan bör du återgå kontrollerat från en ren backup.
Ransomware är ett hårt slag för företag som tas på sängen, men med en offline-backup, regelbundna uppdateringar och medvetna medarbetare blir det en händelse man kan ta sig igenom. Aurora Yazılım bygger upp backup och behörighetsstruktur från början i programvarulösningar anpassade för ditt företag och tar hand om hastighet och prestanda samt underhåll av din webbplats i drift. Kontakta oss så utvärderar vi hur ni har det i dag.
