Minden szervezet egyik legnagyobb IT-biztonsági rémálma, hogy ellopják az adatait. Ennél talán csak egy rosszabb rémálom van: ha önmaga sem fér hozzá saját adataihoz. Ezt használják ki az egyre inkább terjedő zsarolóvírusok.
Az első zsarolóvírussal már 1996-ban próbálkozott megírója, de igazi elterjedésére várni kellett, amíg a Bitcoin nem kínált lenyomozhatatlan átutalási módszert a váltságdíj begyűjtésére. A hullámot a 2013. szeptemberében feltűnt CryptoLocker indította el, amely a Bitcoin mellett a nehezebben feltörhető aszimmetrikus titkosítást kihasználva keserítette meg az óvatlan felhasználók életét. Az ilyenfajta kártevők azóta is népszerűek, és mára az egyik legnagyobb veszélyforrássá váltak a magán- és vállalati szférában egyaránt – írják az Intel Security/McAfee kutatói weben megjelent tanulmányukban.
Ehhez hozzájárult, hogy a szürke zónában az üzleti modellek is sokat fejlődtek. Kialakult a szolgáltatási piac (ransomware-as-a-service), ahol arra specializált terjesztők alakítanak ki botneteket és terjesztik rajtuk a zsarolóvírust. Ők már kifinomult telemetriai konzolokon követhetik nyomon a támadás alakulását és finomhangolhatják a rendszert, hogy minél többet hozzanak ki a támadásból.
Komoly veszélyeket jelentenek a zsarolóvírusok, de nem lehetetlen a védekezés ellenük. Az a legjobb, ha be sem engedjük a fertőzést. A védelem legfontosabb oszlopai a felhasználók lehetnek – ha tudják, hogy nem szabad ismeretlen csatolmányokat vagy online hirdetéseket megnyitni. A technikai megelőzés körébe tartozik az operációs rendszer és az alkalmazások naprakészen tartása, valamint a webes szűrők alkalmazása.
|
Hogyan működik? |
|---|
|
1. Terjesztés 2. Fertőzés 3. Kommunikáció 4. Fájlkeresés 5. Titkosítás 6. Váltságdíj kérése |
Csökkenthető a fertőzés veszélye, ha nem engedélyezzük a mailben kapott dokumentumoknak a makrók futtatását (ez alaphelyzetben ki van kapcsolva a Microsoft Office esetében). Hasonlóképpen, a normál munkamenethez nem kellenek adminisztrátori jogosultságok, ezek hiányában az esetleg bejutott kártevő is kevesebb jogosultsághoz jut. Mód van arra is, hogy a gyanús folyamatokat karanténban tartsuk vagy megtiltsuk az ismeretlen állományoknak, hogy fájlokat módosítsanak.
A kommunikációs fázisban segíthet, ha a tűzfalunk blokkolja az ismert fertőző oldalakat, illetve nem engedi a hozzáférést a mély weben futó (és sok zsarolóvírus által is használt) Tor hálózathoz. A hálózati gatewayek is beállíthatóak úgy, hogy felismerjék és blokkolják a már felderített zsarolószerverekkel folytatott kommunikációt.
A már megtörtént támadás káros hatásait csökkenti, ha van naprakész mentésünk a fontos állományokból. Az sem árt, ha van offline archívum is, ami nincs közvetlen összeköttetésben a működő rendszerrel, így nem is fertőződhet meg egy támadás során. A kártevő eltávolítása után egyszerűen csak vissza kell állni az utolsó jó változatra – így legfeljebb néhány órai munka vész oda.
