Zsarolóvírus-támadás: ki segít, és ki használja ki a bajt?

Egy ügyfél állítólag mintegy 150 000 amerikai dollárt fizetett azért, hogy visszakapja a titkosított fájljait. Az amerikai ügyészek szerint a helyreállítással foglalkozó cég 2023 augusztusában körülbelül 8 200 dollárt fizetett a támadónak a visszafejtő kulcsért.

Ez az összegkülönbség áll a középpontjában annak a csalás gyanúja miatt indult ügynek, amelyről a TechBarrista október 10-én számolt be. A floridai székhelyű MonsterCloud tulajdonosát azzal a feltételezett csalási konstrukcióval kapcsolatban vádolják, amelyben a cég azt ígérte ügyfeleinek, hogy a bűnözőknek fizetett váltságdíj nélkül is képes visszafejteni a zsarolóvírussal titkosított fájlokat. Az ügyészség szerint a háttérben azonban a vállalat mégis a támadóknak fizetett a kulcsokért, majd az eredeti költségeknél lényegesen magasabb összeget számlázott ki az ügyfeleknek. A vádak egyelőre állítások, a vádlottat pedig ártatlannak kell tekinteni mindaddig, amíg bűnösségét jogerősen meg nem állapítják.

A kényszerhelyzetben választott szolgáltató olyan beszállító, amelyet még nem ellenőrzött

Az elsőre kézenfekvő tanulság az, hogy alaposan ellenőrizni kell a helyreállítási szolgáltatót. Csakhogy egy zsarolóvírus-támadás éppen azt a környezetet teremti meg, amelyben erre a legnehezebb sort keríteni. A rendszerek elérhetetlenné válnak, az ügyfelek és a munkatársak válaszokat várnak, a támadók fizetési határidőket szabhatnak, a döntést pedig gyakran egyetlen rendszergazdára bízzák, akinek korábban még nem kellett incidenskezelési szolgáltatást vásárolnia. Ilyenkor egy meggyőző weboldal, a saját fejlesztésű visszafejtési technológia ígérete és a helyreállítási garancia könnyen helyettesítheti az alapos átvilágítást.

A vádirat szerint a MonsterCloud azt állította ügyfeleinek, hogy fejlett visszafejtési módszerekkel képes helyreállítani a fájlokat. A tulajdonos azonban állítólag később, négyszemközt elismerte, hogy a vállalat nem rendelkezik saját fejlesztésű visszafejtési technológiával. Egy incidens kellős közepén aligha derül fény erre a különbségre.

A feltételezett pénzügyi konstrukció önmagáért beszél: egy körülbelül 8 200 dolláros váltságdíjfizetésből mintegy 150 000 dolláros ügyfélszámla lett. Egy másik esetben a hozzávetőleg 236 000 dolláros kifizetés után körülbelül 380 000 dollárt számláztak ki. Az ügyészek szerint a vizsgált időszakban a vállalat több mint 19 millió dollárt szedett be, amelyből több mint 8 millió dollár a támadókhoz került.

Ha a vádak beigazolódnak, az ügyfelek abban a hitben fizettek a szolgáltatónak, hogy az önállóan, a támadóknak fizetett váltságdíj nélkül képes helyreállítani a titkosított fájlokat. Az ügyészség szerint azonban a vállalat valójában közvetítőként lépett fel: ugyanazokkal a bűnözőkkel tárgyalt, akik titkosították az ügyfelek rendszereit, és tőlük szerezte be a visszafejtéshez szükséges kulcsokat. Az incidens utáni piacon így egy kétségbeesett ügyfél olyan szolgáltatókkal kerül szembe, amelyek többet tudnak az ügyfél kiszolgáltatott helyzetéről, mint ő magukról a szolgáltatókról. Ez az információs egyenlőtlenség önmagában is támadási felületet jelent.

A vádirat azt is állítja, hogy a helyreállítást a probléma megoldásaként mutatták be anélkül, hogy megszüntették volna a támadók eredeti hozzáférését. Ez nemcsak a csalás szempontjából lényeges. A fájlok visszafejtése önmagában nyitva hagyhatja a támadás eredeti útvonalát, így ugyanazok a támadók ismét bejuthatnak a rendszerekbe. A hiteles incidenskezelésnek ezért a helyreállítás mellett a vizsgálatra és a fenyegetés elhárítására is ki kell terjednie.

A döntést még békeidőben kell meghozni

Azoknál a szervezeteknél, amelyeknek nincs állandó biztonsági ügyeleti szolgálatuk, az incidenskezelési terv gyakran egyetlen mondattal elintézi a kérdést: „Hívjunk szakértőt.” Egy igazgatósági előterjesztésben ez megfontolt intézkedésnek tűnhet. Egy valódi incidens során azonban azt jelenti, hogy a helyreállítással kapcsolatos legnagyobb kiadásról éppen annak kell döntenie, akinek a legkevesebb ideje és lehetősége van az ajánlatok összehasonlítására.

A forráscikk is azt javasolja, hogy a szervezetek még a sürgősségi megállapodás aláírása előtt tegyenek fel egy sor kérdést a szolgáltatónak. Ezek többségére azonban vészhelyzetben már nem lehet megbízhatóan választ kapni.

Egy előre megkötött készenléti szerződés megváltoztatja ezt a helyzetet. A feltételekről előzetesen megállapodnak, a reagálási idők rögzítettek, a szolgáltatót pedig már azelőtt megvizsgálják, hogy szükség lenne rá: fizet-e a támadóknak, milyen módszerekkel állítja helyre a fájlokat, és pontosan milyen tételek szerepelnek majd a számlán.

Az incidenskezelési készenléti szerződés az a beszerzési döntés, amelyet még akkor hozhat meg, amikor szabadon mérlegelheti a lehetőségeket. Az előzetes megállapodás a nyomás alatt meghozott vásárlási döntést előre rögzített feltételekkel működő együttműködéssé alakítja, név szerint kijelölt kapcsolattartókkal, kipróbált riasztási és kapcsolattartási folyamattal, valamint egyeztetett munkamódszerekkel. Így az első hívás nem egy hajnali háromkor indított keresés lesz az interneten.

Kérdések, amelyeket még a válság előtt írásban kell tisztázni

Kérdezze meg, hogy a szolgáltató fizet-e a támadóknak, illetve felveszi-e velük a kapcsolatot, és ki jogosult engedélyezni egy esetleges kifizetést. Tisztázza, hogyan történne a helyreállítás, ha a támadótól nem szerezhető meg a visszafejtő kulcs. Kérdezzen rá arra, mit tartalmaz az ajánlatban rögzített díj, és hogyan számolják el a harmadik féltől származó költségeket. Azt is tisztázza, hogy a szolgáltatás a fájlok visszaállítása mellett a vizsgálatot és a fenyegetés elhárítását is magában foglalja-e.

Ezeket a kérdéseket most érdemes feltenni, amikor egy kitérő vagy elutasító válasz még egyszerűen azt jelenti, hogy másik szolgáltatót választ. Egy incidens közben a hallgatás is a nyomásgyakorlás eszközévé válhat.

Ha a szervezetre a NIS2 vagy a DORA előírásai vonatkoznak, az incidenskezelési tervek és kapcsolattartási protokollok követelményeinek teljesítése is egyszerűbb, ha a szükséges megállapodások már rendelkezésre állnak. Az alkalmazandó kötelezettségek az ágazattól és a szervezet méretétől függenek. A megfelelési keretrendszerek áttekintése segíthet azonosítani az incidenskezelést érintő előírásokat, de kiindulópontként szolgál, nem helyettesíti a jogi tanácsadást.

A feltételezett 150 000 dolláros számla leginkább annak az árát mutatja, amikor a beszerzési döntés már a kiszolgáltatottság pillanatában születik meg. A váltságdíj és az ügyfélnek kiszámlázott összeg közötti különbség újra és újra megjelenhet ott, ahol az incidenskezelési terv előzetesen senkit sem jelöl ki a feladatra.

Az előre megkötött készenléti szerződés legnagyobb előnye, hogy a döntés még akkor születik meg, amikor van idő kérdezni – és elvárni a világos válaszokat.