Ransomvér

Ransomvér (z anglického ransomware, ransom = výkupné) je druh malvéru, ktorý zašifruje súbory v počítači alebo na celom firemnom serveri a nechá na obrazovke odkaz s požiadavkou na zaplatenie. Dokumenty, fotky aj databázy ostanú na disku, ale bez dešifrovacieho kľúča, ktorý má iba útočník, sa nedajú otvoriť.

Výkupné sa takmer vždy žiada v kryptomenách, najčastejšie v Bitcoine alebo Monere, s krátkym termínom a hrozbou, že cena porastie alebo dáta zmiznú. Obeťami sú domácnosti aj nemocnice, samosprávy či výrobné podniky – pre útočníkov je to jeden z najvýnosnejších druhov počítačovej kriminality.

Ako ransomvér funguje

Po spustení sa ransomvér obvykle najprv nenápadne rozhliadne: vyhľadá dôležité súbory, sieťové disky a zálohy, ktoré má k dispozícii. Potom súbory zašifruje silnou kryptografiou, často im zmení príponu a do každého priečinka uloží inštrukcie na platbu. Pokusy o „uhádnutie“ kľúča sú pri správne napísanom ransomvéri bezvýsledné.

Moderné skupiny používajú dvojité vydieranie. Pred zašifrovaním dáta z firmy skopírujú a hrozia, že ich zverejnia, ak obeť nezaplatí. Zálohy tak riešia iba polovicu problému – druhou je únik citlivých údajov zákazníkov či zamestnancov. Mnohé skupiny fungujú ako služba (ransomware-as-a-service): jedni vyvíjajú malvér, iní ho šíria a delia sa o zisk.

Ako sa ransomvér dostane do zariadenia

Častým začiatkom je phishingový e-mail s prílohou, ktorá vyzerá ako faktúra, objednávka alebo zásielka. Ďalšími cestami sú ukradnuté heslá k vzdialenému prístupu, neopravené zraniteľnosti vo VPN zariadeniach, serveroch či firewalloch a „cracknutý“ softvér. Ransomvér sa často nespúšťa hneď – najprv do siete prenikne trójsky kôň, ktorý útočníkom otvorí dvere.

Známe prípady ukázali, aké rýchle to môže byť. CryptoLocker z roku 2013 rozšíril model vydierania za kryptomeny medzi bežných používateľov. WannaCry v roku 2017 zneužil chybu vo Windows a za pár dní zasiahol počítače v mnohých krajinách, vrátane nemocníc. Spoločné mali jedno: najviac trpeli systémy bez aktuálnych záplat a bez zálohy.

Prečo výkupné radšej neplatiť

Polícia aj bezpečnostné tímy odporúčajú výkupné neplatiť. Neexistuje záruka, že útočník pošle funkčný kľúč, že dešifrovanie prebehne bez chýb ani že ukradnuté dáta naozaj zmaže. Kto raz zaplatí, môže sa stať opakovaným cieľom a peniaze financujú ďalšie útoky.

Skôr než začnete čokoľvek riešiť, overte, či pre konkrétny druh ransomvéru neexistuje bezplatný dešifrovací nástroj – bezpečnostné firmy a polícia ich v spolupráci zverejňujú napríklad v projekte No More Ransom. Rozhodnutie o platbe je napokon na obeti, no malo by byť poslednou možnosťou, po konzultácii s odborníkmi a políciou.

Ochrana a čo robiť po útoku

Najúčinnejšou ochranou sú zálohy podľa pravidla 3-2-1: tri kópie dát, na dvoch rôznych médiách, z toho jedna mimo siete alebo offline. Záloha, ktorá je stále pripojená, sa zašifruje spolu s ostatnými súbormi. Obnovu zo zálohy si raz za čas vyskúšajte. K tomu patria aktualizácie, dvojfaktorové overenie pre všetky vzdialené prístupy a obmedzené práva bežných účtov.

Ak k útoku dôjde, napadnuté zariadenia ihneď odpojte od siete, ale nevypínajte ich – v pamäti môžu ostať stopy užitočné pre vyšetrovanie. Odfoťte odkaz útočníka, nemažte zašifrované súbory a útok nahláste polícii. Firmy a inštitúcie sa môžu obrátiť na národný tím SK-CERT pri Národnom bezpečnostnom úrade; prevádzkovatelia základných služieb majú povinnosť incident hlásiť. Ďalšie rady nájdete v sekcii Kyberbezpečnosť.

Časté otázky

Čo je CryptoLocker?

CryptoLocker bol ransomvér, ktorý sa šíril od roku 2013 cez e-mailové prílohy a botnet. Šifroval súbory na disku aj sieťových úložiskách a výkupné žiadal v bitcoinoch. Jeho názov sa dodnes používa ako všeobecné označenie pre šifrujúci ransomvér.

Dajú sa súbory po útoku ransomvéru obnoviť bez platby?

Niekedy áno. Najistejšia cesta je obnova zo zálohy, ktorá nebola pripojená počas útoku. Pre staršie alebo chybne napísané druhy ransomvéru existujú bezplatné dešifrovacie nástroje. Pri moderných skupinách bez zálohy však šanca na obnovu klesá.

Ochráni ma pred ransomvérom antivírus?

Kvalitný bezpečnostný program dokáže mnohé známe druhy zachytiť a niektoré aj zastaviť počas šifrovania. Úplnú istotu však nedáva, preto je offline záloha nenahraditeľná. Prehľad programov nájdete v kategórii Antivírusy.

Prečo útočníci chcú platbu v kryptomenách?

Kryptomeny sa dajú poslať cez hranice bez banky a za pár minút. Anonymita však nie je úplná: transakcie na verejnom blockchaine sú dohľadateľné a polícia už viackrát zaistila časť zaplateného výkupného.

Môže ransomvér napadnúť aj mobil?

Na mobiloch je zriedkavejší. Častejšie ide o aplikácie, ktoré zablokujú obrazovku a tvária sa ako výzva polície. Ochranou je inštalovať aplikácie iba z oficiálnych obchodov a mať fotky a dokumenty zálohované.