Autor: Rafał Gałka

Badacze firmy Sophos zidentyfikowali nowy rodzaj ataku na użytkowników urządzeń z systemem Android. Cyberprzestępcy stworzyli fałszywe wersje m.in. oficjalnej aplikacji rządowej Pakistanu, aplikacji firmy ubezpieczeniowej oraz porównywarki cen operatorów telefonicznych. Złośliwe wersje programów przechwytują z urządzeń kontakty, treść wiadomości SMS, dane z dokumentów tożsamości, informacje o lokalizacji czy zdjęcia, a następnie przesyłają je na serwery przestępców. Dotychczas celem były aplikacje dla użytkowników w Pakistanie, jednak atak może zostać łatwo powtórzony w każdym miejscu na świecie.

Telefony na podsłuchu

Fałszywe aplikacje są identyczne jak ich legalne odpowiedniki dostępne w Google Play Store, umożliwiają też korzystanie z tych samych funkcji. Przestępcy wybrali pięć programów działających w Pakistanie: oficjalną aplikację rządową Pakistan Citizen Portal, muzułmański zegar modlitewny, aplikację do porównywania ofert operatorów telefonicznych, narzędzie do sprawdzania ważności karty SIM oraz program firmy ubezpieczeniowej.

Złośliwe narzędzia po uruchomieniu przechwytują unikalny identyfikator IMEI urządzenia, informacje o lokalizacji, pełną listę kontaktów, treść wiadomości tekstowych, zestawienie połączeń czy katalogi karty SD. Aplikacja Pakistan Citizen Portal skłania też użytkowników do podania swojego numeru dowodu osobistego, danych paszportowych, haseł do Facebooka i innych serwisów. Niektóre ze sfałszowanych aplikacji zawierają mechanizm umożliwiający nagrywanie rozmów telefonicznych i dźwięków rejestrowanych przez urządzenie. Funkcje te nie zostały jednak jeszcze aktywowane przez przestępców.

„Czerwona lampka” dla wszystkich użytkowników

Fałszywe wersje aplikacji nie są dostępne w oficjalnym sklepie Google Play Store, ale na stronach imitujących m.in. pakistański serwis rządowy. Użytkownicy mogli otrzymać linki z instrukcją pobrania programów m.in. SMS-em lub mailem. Cyberprzestępcy szyfrują przy tym stworzony przez siebie kod, instalowana aplikacja nie jest więc identyfikowana jako złośliwa podczas wstępnego skanowania przez urządzenie.

Odkryte programy szpiegujące to sygnał ostrzegawczy dla użytkowników nie tylko w Pakistanie, ale i na całym świecie. Przestępcy coraz częściej przeprowadzają bowiem ataki na telefony komórkowe, aby przechwycić wrażliwe dane i uzyskać dostęp w czasie rzeczywistym do lokalizacji zainfekowanego urządzenia, a nawet rozmów odbywających się w jego zasięgu.

– Każdy, kto korzysta z telefonu komórkowego, powinien pamiętać o podstawowych zasadach ochrony: nieklikaniu w linki otrzymywane mailem czy SMS-em i pobieraniu aplikacji tylko z oficjalnych źródeł. Ważne jest także zwracanie uwagi na uprawnienia, o które prosi instalowany program. Jeśli zegar czy porównywarka ofert żąda dostępu do wiadomości, listy kontaktów czy zdjęć, powinno to wzbudzić czujność. Warto też rozważyć instalację na urządzeniu mobilnym programu antywirusowego, który będzie chronił dane przed podobnymi zagrożeniami – wskazuje Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

Polacy przenoszą się z zakupami do sieci: według przewidywań w okresie świątecznym ruch w sektorze e-commerce wzrośnie o około 60% w porównaniu z rokiem 2019. W samym listopadzie liczba transakcji w sklepach internetowych przebiła ubiegłoroczny wynik o 88%. W świątecznej gorączce zakupów łatwo jednak stracić czujność i paść ofiarą cyberprzestępców. Nieuwaga może kosztować nie tylko utratę wrażliwych danych osobowych, ale też pieniędzy z konta bankowego.

– Prawie każdy z nas spodziewa się teraz przesyłki, przez co tracimy czujność i stajemy się łatwym celem. Cyberprzestępcy podszywają się pod firmy kurierskie i straszą opóźnieniami lub nawet zawieszeniem dostawy, aby zachęcić do kliknięcia w link i śledzenia „paczki”. Rozsyłają też „faktury” za zakupy zawierające złośliwy kod i wyłudzają dane poprzez fałszywe aplikacje bankowe czy serwisy z płatnościami. Podczas takiej oszukańczej transakcji, rzekomo związanej np. z dodatkową opłatą za przesyłkę, tak naprawdę ofiara zatwierdza dodanie odbiorcy przelewu do listy zaufanych. Jeżeli jednocześnie przestępca przechwyci dane logowania, to może wykonać serię przelewów i wyprowadzić pieniądze z konta bez konieczności dodatkowej autoryzacji. W Internecie obecne są też fałszywe strony rejestrowane pod domeną niemal identyczną jak prawdziwe sklepy – ostrzega Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

https://bluemedia.pl/pressroom/informacje-prasowe/black-week-najlepszym-tygodniem-2020-roku

https://www.shoper.pl/blog/rekordowy-juz-nie-tylko-black-friday-zobacz-jak-rosla-sprzedaz-w-listopadzie-2020-roku/

Podczas robienia świątecznych zakupów w sieci warto pamiętać o pięciu podstawowych zasadach:

1. Uwaga na podejrzane wiadomości i linki

Nie należy klikać niczego „na wszelki wypadek”, szczególnie w wiadomościach, o które nie prosiliśmy – dotyczy to również linków przesyłanych przez SMS-y i komunikatory. Podejrzenia powinny wzbudzić wszelkie prośby o podanie danych logowania czy o zmianę hasła. Także błędy językowe w treści, zastępowanie liter cyframi w adresach stron internetowych czy podwójne rozszerzenia załączników (np. pdf.exe) zazwyczaj wskazują na oszustwo. Bezpieczniej jest sprawdzić status przesyłki czy transakcji samodzielnie – wejść na właściwą stronę sklepu lub firmy kurierskiej i wpisać tam numer identyfikacyjny.

2. Aplikacje tylko ze sprawdzonych źródeł

Wszystkie pobierane aplikacje, nie tylko te bankowe, powinny pochodzić ze sprawdzonych i zaufanych źródeł. Nigdy nie należy też instalować programów, do których link dostaliśmy SMS-em czy przez reklamę w sieci. Przed pobraniem aplikacji warto sprawdzić czy rzeczywiście pochodzi ona ze strony internetowej banku. Czujność powinny wzbudzić też prośby o wpisanie pełnych danych logowania zamiast numeru PIN.

3. Aktualizacje i ochrona nie tylko na komputerze

Użytkownicy często zakładają, że antywirus jest potrzebny wyłącznie na komputerze, jednak warto korzystać z pakietów przeznaczonych także dla urządzeń mobilnych. Bezpieczeństwo bankowości zapewnią m.in. programy ochrony Internetu z funkcją bezpiecznej przeglądarki. Uniemożliwia ona nawiązanie połączenia z innymi witrynami na czas prowadzenia transakcji bankowych. Równie ważne jest aktualizowanie wszystkich systemów oraz aplikacji, także na telefonach. Pomaga to łatać luki w zabezpieczeniach, które mogą wykorzystywać przestępcy.

4. Sprawdzanie adresu URL

Zielona kłódka i skrót „HTTPS” na początku adresu informują, że komunikacja do strony jest szyfrowana, a niekoniecznie, że jest bezpieczna. Obecnie z szyfrowania, dzięki któremu można zobaczyć te oznaczenia, korzysta również wielu przestępców. Dlatego trzeba dokładnie sprawdzać cały adres strony, najlepiej na ekranie komputera. Pasek adresu jest tam znacznie szerszy i lepiej widoczny niż w telefonie, na którym łatwo przeoczyć literówki. To ważne, ponieważ oszuści rejestrują domeny niemal identyczne jak prawdziwe sklepy (np. zmieniają jedną literę), licząc na „złapanie” nieuważnych.

5. Różne hasła i karta pre-paid

Gdy cyberprzestępcy zdobędą dane logowania do jednego konta, natychmiast wypróbowują je na innych, należących do tego samego użytkownika. Dlatego nie należy używać tego samego hasła w kilku serwisach – dotyczy to szczególnie bankowości internetowej. Pamiętajmy też, aby nigdy nie wysyłać e-mailem danych karty kredytowej, nawet jeśli prosi o to sprawdzony sprzedawca. Taka wiadomość łatwo może zostać przechwycona przez cyberprzestępców. Warto zastanowić się nad skorzystaniem z kart prepaid przeznaczonych tylko do zakupów w sieci. W najgorszym wypadku utracona zostanie wtedy kwota, którą zasilimy taką kartę, a nie wszystkie oszczędności z konta bankowego.

Jeśli już padniemy ofiarą przestępcy nie panikujmy, ale jak najszybciej zgłośmy sprawę w swoim banku oraz zmieńmy hasło do konta. Warto też pamiętać o regularnym wykonywaniu kopii zapasowych danych ze wszystkich urządzeń. Dzięki temu nawet jeśli pliki zostaną zaszyfrowane podczas ataku ransomware, nadal będzie można korzystać z ich kopii.

W 2021 roku cyberprzestępcy będą wykorzystywać na coraz szerszą skalę powszechnie znane, wiarygodne narzędzia, co ułatwi im poruszanie się po sieci bez wykrycia. Zmieni się też argumentacja związana z żądaniem okupu przez atakujących – nie tylko będą szyfrowali dane, ale też wykradali wrażliwe informacje i grozili ich upublicznieniem. W cyberbezpieczeństwie znajdzie też zastosowanie podejście znane z epidemiologii – eksperci będą tworzyli modele statystyczne, aby szacować realną liczbę zainfekowanych urządzeń.

Dodatkowe wyłudzenia i początkujący hakerzy

Coraz częściej cyberprzestępcy dzielą się między sobą narzędziami. Ich łatwa dostępność na czarnym rynku sprawia, że także w nadchodzącym roku stale będzie rosła aktywność początkujących hakerów. Będą oni wykorzystywali przede wszystkim oprogramowanie umożliwiające atakowanie dużej liczby niewielkich celów. Stale udoskonalane będą techniki i narzędzia, a gdy jedno zagrożenie zniknie, w jego miejsce szybko pojawiać się będzie kolejne. Zmieni się również argumentacja związana z żądaniem okupu – coraz częściej, pdanych, atakujący wykradają bowiem wrażliwe informacje i grożą ich publikacją, jeśli ich żądania nie zostaną spełnione.

Nowe wykorzystanie botnetów

W 2021 roku konieczne będzie przykładanie większej wagi do powszechnych zagrożeń, takich jak botnety (grupa urządzeń zainfekowanych złośliwym oprogramowaniem, których działanie może być zdalnie kontrolowane przez hakera). Celem takich ataków coraz częściej staje się nie tylko wykorzystywanie mocy obliczeniowej komputerów do kopania kryptowalut czy rozsyłanie spamu, ale też m.in. zbieranie wrażliwych danych, na przykład dotyczących geolokalizacji, które później są sprzedawane na czarnym rynku. Takie incydenty mogą wydawać się nieszkodliwe, jednak grożą otwarciem całego systemu na bardziej zaawansowane zagrożenia, takie jak ransomware.

Legalne narzędzia „kryjówką” przestępców

Duże wyzwanie dla cyberbezpieczeństwa w nadchodzącym roku stanowić będzie coraz częstsze stosowanie przez przestępców powszechnie znanych, wiarygodnych narzędzi i usług sieciowych o wysokiej reputacji. Umożliwia to im poruszanie się po sieci bez wykrycia aż do momentu uruchomienia złośliwego oprogramowania. Jednocześnie utrudnia analizę incydentów, gdyż takie działania nie są automatycznie oznaczane przez rozwiązania ochronne jako zagrożenie. W procesie reagowania na incydenty wzrośnie więc rola specjalistów ds. cyberbezpieczeństwa. Ich wiedza i doświadczenie będą ułatwiały wyłapywanie anomalii sugerujących podejrzaną aktywność.

Rozwój „cyfrowej epidemiologii”

Jaki procent wszystkich urządzeń jest zainfekowanych niewykrytym złośliwym oprogramowaniem? To kwestia równie trudna do oszacowania, jak procent populacji zarażonej koronawirusem. Podejście znane z epidemiologii może jednak w 2021 roku znaleźć zastosowanie także w cyberbezpieczeństwie. Eksperci będą tworzyli modele statystyczne, aby szacować ogólną liczbę infekcji urządzeń. Pozwoli to skuteczniej oceniać ryzyko powodzenia ataków, ustalać priorytety oraz rozwijać rozwiązania ochronne.

Aby zrozumieć potrzebę używania rozwiązania EDR, zacznijmy od omówienia środowiska cyber bezpieczeństwa.

Organizacje muszą codziennie radzić sobie z wieloma zagrożeniami, które próbują dostać się do ich środowisk. Oczywiście wiele z tych zagrożeń jest natychmiast powstrzymywanych dzięki silnym zabezpieczeniom. Ale te które są niepewne lub niejasne, mogą się prześlizgnąć przez sito zabezpieczeń i właśnie wtedy pojawia się rozwiązanie nazwane Endpoint Detection and Response, czyli w skrócie EDR. Zostało ono stworzone z potrzeby uzupełnienia istniejących narzędzi ochrony punktów końcowych. Także nie jest to rozwiązanie które zastępuje tradycyjne podejście do bezpieczeństwa sieciowego, ale uzupełnia je o dodatkowe możliwości

Aby lepiej zobrazować tą kwestie, można posłużyć się podziałem aplikacji na:

1. Łagodne
   Są to niezłośliwe programy, które są częścią codziennego życia większości organizacji, takie jak Microsoft Word, Outlook czy Google Chrome. Nie chcemy im przeszkadzać, ponieważ spowodowałoby to problemy w pracy.
2. Złośliwe
   Szkodliwe pliki powinny zostać natychmiast zatrzymane przez zabezpieczenia punktów końcowych i serwerów. Są one uznawane za złośliwe i nie potrzebna jest ingerencja człowieka aby takie zagrożenie unieszkodliwić. Dlatego tez bardzo ważne jest to aby rozwiązanie EDR było zbudowane na już istniejącej platformie zabezpieczającej organizacje.
3. Nieznane oprogramowanie
   Ten obszar dotyczy elementów, które w sposób oczywisty nie są dobre lub złe dla naszej organizacji. Więc nie wiemy, czy można je zostawić, czy też należy je zablokować.

EDR został opracowany właśnie w celu zbadania tej luki. Czy te elementy są rzeczywiście złośliwe i wymagają podjęcia działań, takich jak izolowanie urządzeń, których dotyczy problem lub czyszczenie? Czy są to potencjalnie niechciane aplikacje (PUA)? Albo są to aplikacje nie wymagające naszej uwagi i możemy je śmiało zignorować? Na te pytania możemy pomóc sobie odpowiedzieć używając narzędzi dostarczonych przez EDR.

Wraz z ewolucją zagrożeń wiele z nich staje się coraz bardziej tajemniczych, wykorzystując określone metody do oszukiwania rozwiązań antywirusowych. EDR zapewnia organizacjom narzędzia do poszukiwania podejrzanych wskaźników naruszenia bezpieczeństwa (IOC) i wychwytywania tych ukrytych zagrożeń.

Przykładem takiego kompletnego rozwiązania, jest Sophos Intercept X with EDR, którego podstawą jest zabezpieczenie punktów końcowych Intercept X. Nie jest to tylko ochrona przed antywirusami, ale także zabezpieczenie przed ransomware, malware i exploit. Wszystko to jest oparte o sztuczną inteligencją dzięki której wiele aspektów wykrywania i reagowania jest automatyzowanych. Kwestią kluczową jest to aby realizować politykę bezpieczeństwa kompleksowo i wykrywać złośliwe oprogramowanie i analizować te oprogramowanie które nie do końca wiadomo czym jest.

Poniżej przykład analizy oprogramowania i klasyfikacja programów które zostały uznane za podejrzane.

Dzięki Sophos Intercept X Advanced with EDR możesz przeprowadzać analizę aplikacji przy użyciu sztucznej inteligencji. W przypadku wykrycia potencjalnie złośliwego pliku administrator może wykorzystać analizę złośliwego oprogramowania aby zweryfikować złośliwe oprogramowanie w najdrobniejszych szczegółach, rozkładając atrybuty plików, kod oraz porównując te elementy z milionami innych plików które wykorzystując podobne schematy działania.
Poniżej przykład “rozbicia” aplikacji na czynniki pierwsze i analiza pod kątem atrybutów.

Dodatkowo jesteśmy w stanie proaktywnie zadać dowolne pytanie o to, co wydarzyło się w przeszłości i co dzieje się teraz na punktach końcowych. Dzięki czemu możemy wykrywać zagrożenia, lub wykorzystywać czynności operacyjne, aby utrzymać “higienę” bezpieczeństwa IT. Osiąga się to dzięki wykorzystaniu dwóch kluczowych funkcji: Live Discover i Live Response.

Live Discovery: daje analitykom bezpieczeństwa i administratorom IT możliwość zadawania i odpowiadania na prawie każde pytanie, które przyjdzie im do głowy w stosunku do punktów końcowych i serwerów. Funkcja ta wykorzystuje potężne, gotowe do użycia, w pełni konfigurowalne zapytania SQL, które mogą szybko przeszukiwać do 90 dni bieżących i historycznych danych na dysku. Przykładami takich pytań mogą być np.:

• Które urządzenia mają znane luki w zabezpieczeniach, nieznane usługi lub nieautoryzowane rozszerzenia przeglądarki?
• Czy urządzenie ma kopię określonego pliku?
• Pokaż procesy, które niedawno zmodyfikowały pliki lub klucze rejestru
• Dlaczego maszyna działa wolno? Czy czeka na ponowne uruchomienie?
• Zidentyfikuj procesy udające services.exe
• Jakie procesy próbują nawiązać połączenie sieciowe na niestandardowych portach?

Poniżej funkcja Live Discovery i przegląd zapytań:

W przypadku wykrycia problemów Live Response zapewnia administratorom dostęp z poziomu wiersza poleceń do punktów końcowych i serwerów w całej organizacji. Dzięki czemu jesteśmy w stanie Uzyskać zdalny dostęp do urządzeń, aby przeprowadzić dalsze badanie lub naprawić wszelkie problemy. Administratorzy mogą ponownie uruchamiać urządzenia, przerywać aktywne procesy, uruchamiać skrypty, edytować plik konfiguracyjny, instalować / odinstalowywać oprogramowanie i nie tylko.

Poniżej przykład użycia Live Response:

Sophos udostępnił nową usługę Rapid Response. W ramach oferty zespół specjalistów producenta może szybko odpowiedzieć na cyberatak. Po zaangażowaniu całodobowo pomaga on w szybkim identyfikowaniu incydentów bezpieczeństwa, ich neutralizacji, eliminacji skutków i zapewnieniu przyszłej ochrony. To pierwsze tego typu rozwiązanie dostępne w ramach stałej, jednorazowej opłaty, uzależnionej od liczby użytkowników i serwerów w danej firmie. Z usługi mogą korzystać zarówno klienci firmy Sophos, jak i przedsiębiorstwa, które dopiero rozważają rozpoczęcie współpracy.

Analiza i reakcja 24/7

Usługa Rapid Response wdrażana jest na prośbę firmy, która zaobserwuje podejrzaną sytuację w swojej sieci, na okres 45 dni. Po otrzymaniu zlecenia w ciągu kilku godzin inżynierowie Sophos uzyskują dostęp do krytycznej infrastruktury zaatakowanego przedsiębiorstwa aby ocenić skalę oraz wpływ incydentu na bezpieczeństwo danych. Pełna analiza źródeł ataku oraz narażonych obszarów odbywa się w ciągu 48 godzin, następnie blokowany jest dostęp przestępców do infrastruktury i oceniane straty. Firma otrzymuje także szczegółowy raport z informacjami o źródłach ataku, naruszonych danych oraz rekomendowanych środkach bezpieczeństwa. Przez kolejne tygodnie prowadzony jest monitoring infrastruktury klienta w celu weryfikacji, czy atak został prawidłowo zneutralizowany.

– Atak może sparaliżować wszelką działalność, dlatego szczególnie istotna jest jego szybka neutralizacja. Zespół świadczący usługę Sophos Rapid Response blokuje prowadzone ataki, dzięki czemu firmy mogą szybciej wrócić do regularnej pracy. Usługa dopasowana jest do potrzeb przedsiębiorstw każdej wielkości: mniejszym zapewnia kompleksową ochronę, w większych może uzupełniać działania wewnętrznych działów IT i wspierać je w szybkim reagowaniu na incydenty – mówi Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

W 3,5 godziny do sieci

Eksperci firmy Sophos, odpowiedzialni za usługę Rapid Response, monitorują zagrożenia w cyberprzestrzeni przez całą dobę, siedem dni w tygodniu. Niedawno zidentyfikowali nowe ataki wykorzystujące złośliwe oprogramowanie Ryuk. Przestępcy zmienili dostawcę malware’u (z Emotet na Buer Loader) oraz wdrożyli nowe narzędzia do poruszania się w sieci. Do infekowania komputerów z systemem Windows wykorzystali phishing – wystarczyło im 3,5 godziny od momentu otwarcia złośliwego załącznika przez jednego z pracowników, aby dostać się do firmowej sieci. W ciągu jednego dnia atakujący podejmowali już pierwsze próby uruchomienia ransomware’u.

– W tym roku złośliwy kod ransomware był dla cyberprzestępców prawdziwą żyłą złota. Stanowił prawie 85% wszystkich ataków zidentyfikowanych przez analityków Sophos. Dzięki łatwemu dostępowi do narzędzi i oprogramowania na czarnym rynku przestępcy mogą w tydzień zarobić na okupach więcej, niż większość z nas przez całe życie. Ataki są często przeprowadzane nocą, gdy nie pracują zespoły IT w firmach – wskazuje Łukasz Formas.

Dla ponad połowy (61%) polskich firm minimalizowanie ryzyka cyberataku to priorytet zespołów IT – wynika z badania firmy Sophos. Pod względem zastosowania dobrych praktyk związanych z aktualizacjami i kontrolą dostępu rodzime przedsiębiorstwa notują wyniki powyżej światowej średniej. Co ciekawe, jedynie 9% jako najważniejszy problem w zapewnianiu ochrony infrastruktury IT wskazuje znalezienie wykwalifikowanych specjalistów ds. cyberbezpieczeństwa. Na świecie odsetek ten wynosi aż 27%.

Polskie firmy z dobrymi nawykami

Średnio co trzecie polskie przedsiębiorstwo wgrywa aktualizacje w ciągu jednego dnia od ich udostępnienia do systemów operacyjnych, aplikacji, serwerów i innych urządzeń. Prawie połowa robi to w ciągu tygodnia (53% dla urządzeń końcowych, 43% dla serwerów, 49% w przypadku systemów operacyjnych i 45% – aplikacji). Jednocześnie tylko co dziesiąty podmiot pozwala pięciu lub więcej zewnętrznym dostawcom na łączenie się z firmową siecią – na świecie średnia ta jest aż o 10 punktów procentowych wyższa (21% w porównaniu z 11% w Polsce). Aż 20% firm nie pozwala na bezpośredni dostęp w ogóle.

– Świadomość zagrożeń i podstawowe nawyki związane z aktualizacjami czy kontrolą dostępu wpływają na zwiększenie poziomu bezpieczeństwa polskich firm. Spośród przedsiębiorstw, które w ostatnim roku padły ofiarą ataku ransomware, aż 29% pozwalało co najmniej pięciu zewnętrznym dostawcom na dostęp do swojej sieci. Wśród firm, które nie doświadczyły ataku, odsetek ten wyniósł tylko 13% – podkreśla Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

Specjaliści już nie na wagę złota?

Jedynie 9% polskich firm jako główne wyzwanie dla bezpieczeństwa IT wskazuje problem ze znalezieniem wykwalifikowanych specjalistów. To aż o 18 punktów procentowych mniej niż światowa średnia. Nie oznacza to jednak, że problem braków kadrowych w naszym kraju zniknął – wciąż ponad połowa (59%) polskich przedsiębiorstw uznaje ten element za istotne wyzwanie wpływające na cyberbezpieczeństwo.

Co się zmienia po ataku?

Badanie potwierdziło, że udany cyberatak znacząco zmienia podejście firm do kwestii cyberbezpieczeństwa. W przedsiębiorstwach, które w ostatnim roku padły ofiarą ransomware’u, osoby odpowiedzialne za IT prawie trzy razy częściej czują, że zostają w tyle za rozwojem zagrożeń. 35% ofiar złośliwego oprogramowania uważa rekrutację i zatrzymanie wykwalifikowanych specjalistów ds. cyberbezpieczeństwa za największe wyzwanie, w porównaniu z 19% tych, którzy nie zostali dotknięci atakiem.

– Firmy zaatakowane przez ransomware tracą pewność co do swojego poziomu wiedzy i zabezpieczeń. Jednocześnie te doświadczenia pozwalają im jednak docenić rolę wykwalifikowanych specjalistów oraz szybkiego wykrywania i reagowania na zagrożenia. W najbliższych latach korzystanie z usług zewnętrznych ekspertów będzie więc nadal rosło. Według badania do 2022 r. prawie trzy czwarte firm zleci zadania związane z bezpieczeństwem IT na zewnątrz – wskazuje Łukasz Formas.

Prawie połowa polskich nauczycieli korzysta z pomocy internetu na zajęciach, głównie z języków i matematyki. Znacznie zwiększa to ryzyko cyberataku na wrażliwe dane i systemy. Już w ubiegłym roku w Wielkiej Brytanii ponad 75% uczelni i szkół średnich doświadczyło zagrożeń takich jak phishing czy złośliwe oprogramowanie. Pospiesznie wprowadzane w ostatnich miesiącach zdalne nauczanie dodatkowo zwiększyło podatność placówek oświaty na ataki. Konieczne jest zabezpieczenie wrażliwych informacji oraz cyberedukacja.

Edukacja słabym ogniwem

Sektor edukacji jest narażony przede wszystkim na incydenty naruszenia poufności danych (60% ataków), złośliwe oprogramowanie szyfrujące pliki (18%) oraz phishing, czyli wyłudzanie danych logowania (8%). Źródłem zagrożenia mogą być niesprawdzone programy pobierane przez uczniów i pracowników, fałszywe strony internetowe, linki do złośliwego kodu i zawierające go załączniki w wiadomościach oferujących rabaty dla nauczycieli czy rzekomo pochodzące z działu IT. Wystarczy jedno nierozważne kliknięcie lub korzystanie z niezabezpieczonego urządzenia, aby przestępca dostał się do całej szkolnej sieci lub systemu.

– Najsłabszym ogniwem każdego systemu jest najczęściej użytkownik, jednak wciąż brakuje cyberedukacji uczniów oraz nauczycieli. Tylko niecałe 60% polskich dzieci deklaruje, że zna zasady bezpiecznego korzystania z internetu. Potrzebne jest więc wskazywanie kadrze oraz uczniom na co zwracać uwagę, jakie wiadomości czy aplikacje powinny wzbudzić podejrzenia, komu należy zgłaszać incydenty. Nie wystarczy jednak 15 minut „pogadanki” przy okazji rozpoczęcia roku szkolnego, ale stałe dbanie o cyberhigienę – wskazuje Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

Informacje warte miliony

O tym jak kosztowne mogą być cyberataki przekonał się w czerwcu Uniwersytet w Kalifornii, który musiał zapłacić przestępcom 1,14 mln dolarów okupu za odblokowanie części własnej infrastruktury IT. Wrażliwe dane uczniów, kadry i absolwentów stanowią dla hakerów ogromną wartość: mogą żądać zapłaty za ich odszyfrowanie lub sprzedawać je na czarnym rynku. Na celowniku często znajdują się też wyniki badań naukowych i własność intelektualna placówek. W 2019 roku chińscy hakerzy zaatakowali kilka amerykańskich uniwersytetów w poszukiwaniu tajnych badań wojskowych.

Bezpieczeństwo (nie)prawdziwe

Placówki oświaty miały mało czasu, aby w bezpieczny sposób wdrożyć system zdalnej nauki, zwłaszcza, że często brakuje im wykwalifikowanego personelu, który mógłby zadbać o cyberbezpieczeństwo; dysponują też skromnymi budżetami. W efekcie wiele szkół i uczelni korzysta z podstawowych, darmowych narzędzi, np. antywirusów. Daje to złudne poczucie bezpieczeństwa, jednak nie chroni przed nieuprawnionym dostępem czy fałszywymi wiadomościami.

– Aby zmniejszyć ryzyko cyberataków ważne jest odpowiednia ochrona wszystkich urządzeń, których uczniowie i nauczyciele używają do zdalnych lekcji, wprowadzenie dwuskładnikowego uwierzytelniania oraz zabezpieczeń poczty elektronicznej, które zablokują fałszywe wiadomości. Problem braku specjalistów mogą też rozwiązać świadczone przez firmy trzecie usługi monitorowania i kontrolowania sieci w trybie 24/7 – dodaje Łukasz Formas.

W 2020 roku popularne jest złośliwe oprogramowanie Dharma, które atakuje głównie małe i średnie firmy – wynika z raportu firmy Sophos. Aż 85% infekcji nastąpiło przez narzędzia dostępowe takie jak zdalny pulpit. Przestępcy szyfrują dane korzystając z gotowych szablonów i skryptów. Żądany okup za odzyskanie informacji wynosi średnio ponad 20 razy mniej niż  przypadku innych rodzajów ransomware’u. Skala ataków sprawia jednak, że Dharma jest obecnie najbardziej dochodowym z nich.

Pulpit furtką do sieci

Przestępcy wykorzystują przede wszystkim narzędzia zdalnego dostępu do urządzenia, takie jak protokół zdalnego pulpitu (ang. Remote Desktop Protocol). Umożliwia on m.in. podłączenie się do komputera, dostęp do widoku ekranu, logowanie czy przeglądanie przechowywanych na nim plików tak, jakbyśmy pracowali bezpośrednio na urządzeniu. Po zainfekowaniu systemu Dharma szyfruje pliki i wyświetla komunikat „Have fun, bro!” z żądaniem okupu za ich odblokowanie. Zdarza się, że mimo otrzymania zapłaty przestępcy nadal przetrzymują część informacji, aby wyłudzić dodatkowe środki.

Wirtualny fast food

Żądany okup wynosi średnio 8 620 dolarów, więc nie jest wysoki w porównaniu z 191 tys. dolarów w przypadku innych rodzajów ransomware. Przestępcy „rekompensują” sobie jednak niższe stawki dużą liczbą przeprowadzanych ataków. Są one opłacalne, gdyż oprogramowanie Dharma jest powszechnie dostępne – na czarnym rynku znaleźć można gotowe zestawy skryptów i szablonów. Za 2 tys. dolarów przestępcy kupują usługę Ransomware-as-a-Service (RaaS), w której otrzymują m.in. dostęp do narzędzi automatyzacji ataku i serwerów czy pomoc techniczną. Taki bazujący na franczyzie model pozwala przeprowadzać ataki szybko i na dużą skalę, bez konieczności posiadania zaawansowanej wiedzy czy umiejętności.

– Łatwo zapomnieć, że ransomware stanowi zagrożenie dla mniejszych podmiotów, ponieważ nagłaśniane są głównie przypadki ataków na światowych gigantów i żądania wielomilionowych okupów. Ryzyko dla MŚP dodatkowo rośnie w sytuacji związanej z epidemią, gdy firmy starają się dopasować do modelu pracy zdalnej, a monitoring systemów i zarządzanie dostępem do danych czy sieci są utrudnione. W skutecznej ochronie przed ransomware pomoże szyfrowane połączenie VPN oraz wieloskładnikowe uwierzytelnianie. Równie ważna jest podstawowa cyberhigiena: instalowanie najnowszych aktualizacji systemów i aplikacji, czujność na wszelkie próby wyłudzenia danych dostępu (phishing), regularne tworzenie kopii zapasowych na dyskach, które nie są podłączone do sieci. Warto pamiętać, że zaawansowaną ochronę zapewnią wielowarstwowe rozwiązania wykorzystujące sztuczną inteligencję – wskazuje Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.