Ataque de ransomware: pagar ou não pagar?

O pior cenário: um ransomware pode se espalhar com sucesso em uma empresa e criptografar dados em PCs e unidades. Depois disso, um pedido de resgate é exibido na tela. Como uma empresa deve tomar decisões após um ataque de ransomware? Especialistas em segurança dão conselhos. Comentários de Kaspersky, G Data, Sophos, Trend Micro, Bitdefender, AV-TEST, Bitglass, Digital Guardian, Fore Nova, Radar Cyber ​​​​Security, Barracuda Networks.

Geralmente leva apenas alguns segundos: um arquivo é aberto, às vezes um script é executado, o ransomware é executado e imediatamente começa a se espalhar na rede corporativa. Em muitas empresas, agora existe um protocolo de emergência para esse cenário de pior caso, que inicia as etapas apropriadas e limita os danos. Esses logs também não prevêem o pagamento de resgate, o que é bom.

No entanto, muitas empresas acreditam que estão bem preparadas para um ataque de ransomware; mas na realidade não é. Porque os sistemas de segurança existentes são frequentemente superestimados ou não podem ser avaliados adequadamente pelo know-how interno. Esse problema afeta não apenas as pequenas e médias empresas, mas também as empresas de maior porte. Ataques populares de ransomware nos últimos anos mostram que esse é o caso. Em maio de 2017, todo o país pôde testemunhar tal ataque, quando a solicitação de pagamento do ransomware WannaCry foi exibida em quase todas as telas mais recentes da Deutsche Bahn. Listamos os ataques mais conhecidos posteriormente neste artigo.

A maioria dos ataques, é claro, ocorre com um público menor. Mas, graças ao GDPR e à obrigação de relatar um ataque em que provavelmente houve vazamento de dados, os relatórios são quase diários.

Ransomware: Zero Hora

Seja bem ou mal preparada: toda empresa é alvo de ataques de ransomware e pode ser vítima. Após um ataque bem-sucedido, as empresas continuam se perguntando: o que podemos fazer agora? Vamos pagar agora? O mais tardar quando gerentes e especialistas financeiros se sentam à mesa ao lado dos especialistas em segurança, a questão de pagar o resgate torna-se uma decisão econômica. Foi o que aconteceu, por exemplo, no ataque à operadora de dutos norte-americana Colonial, em maio deste ano. Muitos dos sistemas de controle do oleoduto foram criptografados e tiveram que ser desligados. A declaração oficial: não se pode avaliar os danos causados ​​ao sistema. Portanto, não se pode dizer com certeza quando o duto poderá ser conectado à rede novamente. Com esse raciocínio, a Colonial Pipeline pagou o resgate de US$ 4,4 milhões em Bitcoins. O próximo choque, no entanto, veio imediatamente: as ferramentas de descriptografia fornecidas pelos chantagistas repararam apenas parcialmente o dano. Como resultado, a empresa só conseguiu reiniciar o pipeline em modo de emergência e desempenho reduzido. Custos adicionais para reparar os sistemas de controle ainda estavam pendentes.

Pagar ou não pagar?

Como no caso do Colonial Pipeline, as empresas atingidas por ransomware nos bastidores optam por pagar o resgate, acreditando ser o menor de dois males. Calculadoras particularmente ousadas em empresas geralmente calculam com um lápis afiado os danos que ocorrem quando certos dados são perdidos, precisam ser inseridos novamente ou partes do negócio atual não podem ser processadas. A soma do resgate é então ajustada contra isso. Algumas empresas – não identificadas – já tiveram que experimentar dolorosamente que tais cálculos são, em sua maioria, absurdos. Porque na conta eles esqueceram que pagaram para corrigir um sistema comprometido, apenas para descobrir logo depois que os invasores ainda tinham acesso total aos sistemas. Era inevitável uma conversão e uma nova estruturação de toda a rede corporativa.

Os responsáveis ​​pelo HSE do serviço de saúde irlandês mostraram que há outro caminho. Após o grave ataque hacker em maio deste ano, dados importantes foram criptografados, de modo que os hospitais do país tiveram que cancelar inúmeras consultas de tratamento. Até mesmo um sistema de prescrição eletrônica para farmácias também foi afetado. Os responsáveis ​​de HSE desligaram os sistemas e imediatamente começaram a restaurar os sistemas e os dados. Foi imediatamente divulgado que o HSE não pagará nenhum resgate aos extorsionários do ransomware, mas usará o dinheiro para restaurar e reconstruir o sistema. Os especialistas também dizem que essa decisão torna muito menos provável outro ataque de ransomware. Os invasores escolhem principalmente alvos pelos quais se sabe ou suspeita que um resgate também será pago.

Chamada política para uma estratégia de resgate zero

Nesse ínterim, o problema do ransomware também chegou à política. Entende-se que cada dólar, euro ou bitcoin pago financia novos ataques. Aumentam-se os ataques com ransomware e encontram-se numa espiral cada vez maior. É por isso que os políticos estão exigindo que isso acabe. O presidente dos EUA, Biden, recentemente deu o primeiro passo em direção a uma estratégia de resgate zero. Foi determinado que um ataque de ransomware relatado seria equiparado a um ataque terrorista. Esse aumento na importância do crime permite maior acesso aos recursos de segurança nacional dentro dos Estados Unidos. No caso da Colonial Pipeline, por exemplo, o FBI e outras instituições americanas intervieram e rastrearam os pagamentos em Bitcoin aos chantagistas. Em seguida, conseguiu recuperar 2,7 do resgate de $ 4,4 milhões do grupo Darkside e destruir a infraestrutura de seus sistemas de pagamento.

Além disso, os grupos APT Darkside e REvil/Sodinokibi tentaram se distanciar dos efeitos dos ataques Colonial Pipeline e JBS (processadores de carne americanos) com declarações inéditas. De acordo com o especialista em segurança Avast, a ação do governo dos EUA fez com que anúncios de ransomware desaparecessem de grandes fóruns clandestinos. E: dizem que os chamados parceiros de negócios arrastaram Darkside perante o tribunal de hackers para reclamar de suas perdas - onde quer que esse tribunal do submundo se reúna.

Também na Grã-Bretanha, ouvem-se vozes aconselhando uma estratégia de resgate zero. Porta-vozes do centro de segurança cibernética do serviço secreto GCHQ estão até pedindo a proibição legal de pagamentos de resgate a hackers. Essa é a única forma de destruir o modelo de negócios dos grupos APT, já que o crime organizado se financia com o resgate.

Na Alemanha, há negociações políticas sobre defesa cibernética e ransomware, mas não há passos como os realizados pelos EUA ou planejados em parte pela Grã-Bretanha. Seria necessário, como mostra o artigo deste ano no Zeit Online: pelo menos 100 escritórios alemães, agências governamentais, clínicas estatais, administrações municipais e tribunais foram atacados por gangues de ransomware nos últimos seis anos.

O que os especialistas aconselham as empresas

Perguntamos a um grande grupo de especialistas em segurança como as empresas deveriam reagir melhor no caso de um ataque de ransomware. Alguns dos chamados evangelistas de fabricantes de segurança responderam, bem como especialistas do laboratório de testes AV-TEST. Além disso, reunimos comentários de fabricantes que oferecem soluções especiais de detecção e resposta ou proteção de rede clássica. O interessante disso: alguns especialistas se recusam terminantemente a pagar no caso de um ataque de ransomware. Outros defendem que a rentabilidade pode ser o fator decisivo, por exemplo, quando a existência da empresa está em risco. Abaixo estão os comentários.

Kaspersky-Christian Funk

Um comentário de Christian Funk, chefe da equipe de pesquisa e análise da Kaspersky. “De acordo com a Bitkom, os danos causados ​​pelo ransomware mais do que quadruplicaram nos últimos dois anos. Nossas análises mostram que cerca de 20 criminosos cibernéticos visam organizações de alto escalão em particular e ameaçam publicar dados como um meio adicional de pressão desde 2019 se as exigências de resgate não forem atendidas. Isso agora é entendido como "Big Game Hunting". Esses ataques direcionados aumentaram 767% de 2019 a 2020. A pandemia levou muitas empresas a estabelecer e expandir rapidamente o acesso adequado para escritórios domésticos. Isso geralmente resultava em sistemas mal protegidos ou configurados incorretamente que os invasores podem explorar como gateways e são um fator para o aumento significativo dessa ofensiva de ransomware.

“Organizações de alto nível estão atacando cada vez mais de maneira direcionada”

Os afetados não devem pagar resgate. Não há garantia de que os dados criptografados serão restaurados - no entanto, os criminosos cibernéticos são confirmados em suas atividades criminosas. Para evitar possíveis perdas de dados, atualizações de segurança regulares devem ser realizadas para eliminar as vulnerabilidades o mais rápido possível. Um software de segurança eficaz para todos os dispositivos finais também protege computadores e servidores contra ransomware e malware, evita que exploits sejam usados ​​e é idealmente compatível com soluções de segurança já instaladas. Além disso, os backups sempre devem ser feitos em intervalos razoáveis.” Kaspersky.de

Dados G - Tim Berghoff

Um comentário de Tim Berghoff, Security Evangelist da G DATA CyberDefense: "Existem ideias claras sobre como as empresas devem lidar com o ransomware: restaurar backups, relatar o caso à autoridade de proteção de dados, se necessário, registrar uma reclamação e, acima de tudo: nunca pagar um resgate. E, de fato, sem exceção, fazer um pagamento é a pior opção possível.

"Fazer um pagamento é, sem exceção, a pior opção possível"

No entanto, também existem razões que podem falar a favor de um pagamento em casos individuais. Uma dessas razões é puramente econômica. Quando o custo da produção perdida, possíveis multas e recuperação de dados excede significativamente o resgate, a decisão é tomada rapidamente. Se o colapso ocorreu e nenhum backup está disponível, a ideia de pagamento é óbvia. Especialmente quando a empresa está ameaçada de colapso financeiro. Isso apesar do fato de que as demandas de resgate aumentaram em até 2020%, em média, apenas entre 2021 e 500. Ao mesmo tempo, o número de pagamentos efetivamente efetuados também aumentou drasticamente. Além disso, muitas vítimas são chantageadas várias vezes, com os perpetradores criptografando dados e ameaçando publicá-los - e fazendo isso apesar de pagar. Maior resiliência está na ordem do dia – especialmente quando programas de missão crítica como o Microsoft Exchange ou software de gerenciamento usado por MSPs como o da Kaseya se tornam alvo de ataques, como tem sido o caso nos últimos meses.” GData.de

Sophos-Michael Veit

Um comentário de Michael Veit, especialista em segurança da Sophos “A questão crucial após um ataque de ransomware: pagar ou não pagar. Repetidas vezes, as empresas tendem a pagar grandes somas de resgate a invasores de ransomware em uma situação de emergência. Existem muitos exemplos em que os gerentes foram forçados a obedecer porque os supostos backups de resgate foram criptografados ou corrompidos. Eles querem que sua infraestrutura de TI volte a funcionar o mais rápido possível, ou optam por pagar porque parece mais barato do que o custo de restaurá-la. Outro motivo comum é impedir que dados roubados sejam vendidos ou disponibilizados publicamente. A Colonial Pipeline também citou um desses motivos como justificativa para o pagamento.

"Quem paga deve estar ciente de que não oferece nenhuma garantia de recuperação de dados"

No entanto, o pagamento de resgates não deve ser visto apenas de forma crítica do ponto de vista legal. Deve-se estar ciente do fato de que não oferece nenhuma garantia de recuperação de dados. No relatório State of Ransomware Report 2021, a Sophos descobriu que as empresas só conseguiram recuperar uma média de 65% de seus dados após pagar resgates. Apenas 8% das empresas recuperaram todos os seus dados e 29% conseguiram economizar menos da metade com o pagamento. Além do resgate, deve-se levar em consideração o alto dano consequente e conseqüente. O custo médio de apenas se recuperar de um ataque de ransomware mais que dobrou em apenas um ano, de cerca de € 390.000 na Alemanha para € 970.000 em 2021.

A crescente intensidade criminosa, a criatividade e a inteligência dos atacantes não podem ser contidas, os desenvolvimentos dos últimos anos descrevem o contrário. No entanto, existem muitas possibilidades e muitas vezes não utilizadas para reduzir o potencial de risco.

Não deveria ser necessário um ataque primeiro para que uma empresa ou organização assuma uma posição mais forte em segurança cibernética. Agora você deve dedicar tempo e recursos para avaliar a situação de segurança para, imediatamente e com o mais alto nível de competência - tanto internamente quanto com especialistas externos - estabelecer uma defesa melhor e mais cedo sempre que possível. Sophos. com

Trend Micro – Udo Schneider,

Um comentário de Udo Schneider, IoT Security Evangelist Europe na Trend Micro: "A proteção eficaz contra ransomware deve começar tanto no nível da rede quanto no endpoint e cumprir três funções básicas: proteção preventiva contra ataques, detecção rápida de incidentes suspeitos e operação persistente.

Além da TI, a Internet das Coisas também está se tornando vítima de softwares de chantagem. Um estudo da Trend Micro mostra que variantes das famílias de malware Ryuk, Nefilim e Sodinokibi foram responsáveis ​​por quase metade das infecções por ransomware de sistemas de controle industrial em 2020. Portanto, é fundamental que as equipes de segurança de TI e OT trabalhem mais juntas para identificar os principais sistemas e dependências, como compatibilidade do sistema operacional e requisitos de tempo de execução, a fim de desenvolver estratégias de segurança mais eficazes.

“Além da TI, a Internet das Coisas também está se tornando cada vez mais vítima de software de chantagem.”

A correção imediata das vulnerabilidades é a principal prioridade. Se essa opção não existir, as empresas devem usar a segmentação de rede e o patching virtual. Além disso, os compartilhamentos de rede devem ser restritos e combinações fortes de nome de usuário e senha devem ser impostas. Isso evita o acesso não autorizado por meio de credenciais de força bruta. Além disso, as empresas devem contar com o princípio do menor privilégio para administradores e operadores de rede. Infelizmente, não há panacéia para ataques de ransomware. É por isso que um conceito de segurança que englobe vários níveis é crucial.” TrendMicro. com

Bitdefender - Daniel Clayton

Um comentário de Daniel Clayton, vice-presidente de operações e suporte de segurança global da Bitdefender: “Olhando para as manchetes, parece que os ataques de ransomware são comuns. Os dados de telemetria Bitdefender analisados ​​em nosso Relatório de Ameaças ao Consumidor de meados de abril de 2021 provam isso: em 2020, o número de ataques com malware de extorsão aumentou 2019% em comparação com 715. Os criminosos estão cada vez mais ameaçando não apenas criptografar os dados, mas também vendê-los e divulgá-los. Este último é uma ameaça efetiva simplesmente por causa da obrigação de relatar com base no GDPR e outros regulamentos. Os gerentes de TI devem, portanto, estar cientes do fato de que, mais cedo ou mais tarde, sua empresa pode ser vítima de um ataque de extorsão. Os ataques de ransomware podem ser bastante simples por natureza, mas geralmente são complexos. Neste último caso, existe um alto risco de que os hackers já tenham se inserido na rede após pagar um resgate e estejam efetivamente se preparando para o próximo ataque.

"Pagar um resgate torna um ataque bem-sucedido e novos ataques mais prováveis"

Você deve pagar o resgate? A resposta clara é: não. Porque o pagamento de um resgate torna esse ataque bem-sucedido e novos ataques mais prováveis. Enquanto as empresas continuarem pagando resgates, os hackers iniciarão novas extorsões. É por isso que prevenção, MDR e minimização de danos potenciais por meio de backup e recuperação são essenciais. Além disso, os hackers se lembram das empresas que pagaram uma vez como bons alvos para o futuro. A probabilidade de reincidência é significativamente menor para uma vítima não pagante. Bitdefender.com

TESTE AV – Maik Morgenstern

Um comentário de Maik Morgenstern, CTO da AV-TEST GmbH: AV-TEST registra mais de 400.000 novas amostras de malware todos os dias e todas as empresas sabem disso por experiência própria: elas estão sendo constantemente atacadas. O ransomware tem sido um dos modelos de negócios “mais bem-sucedidos” para criminosos por vários anos. Por um lado, os ataques são comparativamente fáceis de realizar. Os invasores compram o ransomware acabado como um serviço, usam provedores de serviços de spam e atacam muitas empresas de uma só vez, sem nenhum esforço.

"A necessidade de prevenção não pode ser exagerada"

Além disso, há o alto nível de sofrimento sofrido pelas vítimas e a conversão direta de uma infecção bem-sucedida em valor de face. Mesmo que o conselho seja repetidamente dado para não pagar, algumas empresas não têm escolha. Portanto, a necessidade de prevenção não pode ser subestimada aqui. Além de medidas comuns, como backups regulares e completos e produtos de proteção sempre atualizados no cliente e no gateway, o fator de engenharia social também deve ser considerado. Todos os usuários devem ser preparados em treinamentos regulares sobre o tipo de ataques e a reação correta a possíveis emails de spam e malware. AV-TEST.org

Bitglass—Anurag Kahol

Um comentário de Anurag Kahol, CTO Bitglass: “Em suas defesas contra o ransomware, as organizações se concentram principalmente em desativar quaisquer vetores de ataque. Para fazer isso, eles usam soluções de segurança inteligentes que sinalizam e bloqueiam e-mails suspeitos, protegem malware em endpoints e na nuvem e protegem o acesso não autorizado aos recursos da empresa. No entanto, para uma estratégia abrangente contra ransomware, prevenir uma infestação é apenas um lado da moeda. Raramente existe um plano de ação para o próximo nível de escalonamento - um ataque bem-sucedido.

"Raramente há um plano de ação para o próximo nível de escalonamento - um ataque bem-sucedido"

As prioridades para isso são óbvias: Em primeiro lugar, trata-se de manter as operações comerciais ou retomá-las o mais rápido possível. Para se preparar para isso, as empresas devem avaliar a relevância de componentes individuais de seus sistemas de TI para as operações de negócios, passar por vários cenários de falha e tomar as devidas precauções para operações de emergência. A proteção de dados confidenciais da empresa também é importante, porque existe o risco de que criminosos cibernéticos os roubem e os utilizem indevidamente para seus próprios fins. As empresas podem evitar esse cenário criptografando dados confidenciais continuamente. Quando todas as camadas de medidas trabalham juntas – defendendo contra infecções de ransomware, protegendo a continuidade dos negócios e protegendo constantemente os dados mais valiosos da empresa – as empresas podem aumentar significativamente sua resiliência contra ataques de ransomware.” Bitglass.com

Guardião Digital—Tim Bandos

Um comentário de Tim Bandos, diretor de segurança da informação da Digital Guardian: "A cada ano, os operadores e desenvolvedores de ransomware evoluem seu ofício e tecnologia. O grupo DarkSide por trás do hack Colonial Pipeline tem um modelo de negócios profissional que deixa isso claro: os criminosos fornecem suporte técnico às suas vítimas, adotam uma abordagem 'ética' para a seleção de alvos, roubam dados para fins de extorsão e muito mais.

"Há uma variedade de soluções que podem ajudar a prevenir infecções por ransomware"

Há uma variedade de soluções que podem ajudar a prevenir infecções por ransomware. O software antivírus e os firewalls podem, pelo menos, ajudar a bloquear cepas conhecidas e predominantes de malware. Para proteção adicional, as organizações devem considerar as soluções Advanced Threat Protection (ATP) e Endpoint Detection and Response (EDR) para simplificar a detecção e o bloqueio de ransomware. A Detecção e Resposta Gerenciadas (MDR) também pode ser uma boa alternativa para empresas que acham difícil implementar o EDR devido aos recursos internos limitados.

As soluções de lista branca de aplicativos também devem ser usadas para impedir a execução de códigos maliciosos. Você também deve prestar atenção ao rastreamento correto das permissões. Qualquer funcionário que obtenha acesso aos sistemas cria uma vulnerabilidade potencial para ransomware. Com uma abordagem de segurança em várias camadas que consiste em treinamento de funcionários, práticas contínuas de atualização e backup e tecnologias de segurança, o risco de um ataque de ransomware pode ser reduzido significativamente.” DigitalGuardian. com

ForeNova—Paul Smit

Um comentário de Paul Smit, diretor de serviços profissionais da ForeNova: “Não se trata mais de impedir ataques individuais, mas sim de lutar contra gangues organizadas. O ransomware tornou-se crime organizado. Isso requer uma defesa correspondente. Diante de ameaças de ransomware, a prevenção é essencial.

“Não se trata mais de se defender de ataques individuais, mas de lutar contra gangues organizadas”

Os backups protegem os dados e podem evitar a perda de dados, mas não a divulgação e venda de informações. Para a defesa é crucial reconhecer um ataque o mais cedo possível. Para fazer isso, no entanto, todo o tráfego de dados dentro da rede e de dentro para fora deve ser observado. Padrões de comportamento suportados por IA, como movimentos laterais suspeitos, ataques a falhas de segurança ou instalações de malware, bem como intrusão maliciosa, vazamento de dados conspícuo ou preparação imediata de criptografia podem ser notados. Os sistemas afetados podem ser bloqueados e os ataques contidos rapidamente antes que causem danos.

Você deve pagar por ataques de ransomware? Nada fala por pagar um resgate. Porque ninguém tem garantia de que os dados serão descriptografados novamente. De qualquer forma, os danos causados ​​pelo tempo de inatividade até que os sistemas estejam funcionando novamente permanecem. As informações que vazaram ainda podem ser vendidas ou desviadas para fins lucrativos. E a porta dos fundos para o próximo ataque pode já estar aberta novamente. ForeNova. com

Segurança Cibernética Radar – Ali Carl Gülerman

Um comentário de Ali Carl Gülerman, CEO e gerente geral da Radar Cyber ​​​​Security: “As empresas hoje estão em uma batalha constante contra a infiltração. A segurança cibernética deve, portanto, sair da sombra da TI e se tornar um modelo de tomada de decisão estratégica para o conselho de administração - semelhante a recursos humanos ou pesquisa e desenvolvimento. A segurança cibernética há muito se tornou parte da cadeia de valor.

“As empresas hoje estão em uma batalha constante contra a infiltração”

Para uma prevenção abrangente contra ataques cibernéticos, incluindo ransomware, as empresas devem considerar seu próprio Centro de Defesa Cibernética ou CDC como Serviço, pois isso pode fortalecer enormemente sua resiliência cibernética. Ele ajuda as organizações a analisar o grande número de alertas, novas ameaças e anomalias que a infraestrutura técnica de segurança identifica.

Um Cyber ​​​​Defense Center - também conhecido como Security Operations Center (SOC) - conecta especialistas, processos e tecnologias de segurança de TI. No CDC, profissionais treinados examinam continuamente o tráfego da Internet, redes, desktops, servidores, dispositivos finais, bancos de dados, aplicativos e outros sistemas de TI em busca de sinais de um incidente de segurança. Como o centro de comando de segurança de uma empresa, o CDC é responsável por monitorar continuamente a situação de segurança para prevenir ataques e iniciar contramedidas apropriadas no caso de uma violação de segurança." RadarCS. com

Barracuda Networks—Klaus Gheri

Um comentário de Klaus Gheri, gerente geral de segurança de rede da Barracuda Networks: “Pagar ou não pagar o resgate? A resposta politicamente correta é não pagar, porque isso reduz sua conveniência como um futuro alvo recorrente. Na prática, é claro, o caso é diferente. Quando os dados essenciais não estão mais acessíveis ou recuperáveis ​​com esforço razoável, a empresa fica com poucas opções. Esta é, portanto, menos uma decisão moral do que comercial. Obviamente, o pagamento não o isenta da necessidade de uma investigação forense e limpeza posterior, além de novas medidas de proteção a serem tomadas para proteger contra a reincidência. É ainda mais aconselhável investir na prevenção enquanto se pode.

"Uma vez que um ataque de ransomware é bem-sucedido, apenas uma cura radical geralmente ajuda"

Se um ataque de ransomware for bem-sucedido, a única coisa que geralmente pode ajudar é uma cura radical: desligue os sistemas, reinstale-os e importe um backup - sempre com a esperança de que o pacote de ransomware já não faça parte de um backup. Mas antes que o backup possa ser importado novamente, o gateway deve ser conhecido e a rede deve ter sido limpa com jatos de vapor digitais. A maneira mais fácil e rápida de fazer isso é com um plano de emergência pronto. Infelizmente, o cerne da questão é que tais planos de contingência muitas vezes não existem porque a necessidade e o risco para os próprios sistemas não foram reconhecidos ou subestimados. Muitas vezes, um problema é resolvido às pressas e dois novos surgem. A estratégia só pode ser: ação rápida, mas coordenada. Mesmo que uma organização decida pagar, a limpeza ainda precisa ser feita, ou você estará de volta no mesmo local pouco tempo depois.” Barracuda. ​​com

Artigos relacionados ao tema