Ransomware to rodzaj malware, który szyfruje pliki i blokuje do nich dostęp, a następnie żąda okupu za klucz deszyfrujący. Najpewniejszą ochronę zapewniają aktualne kopie zapasowe, szczególnie przechowywane zgodnie z zasadą 3-2-1, oraz ograniczanie sposobów, którymi napastnik może dostać się do systemu.
Czym dokładnie jest ransomware?
Malware to ogólna nazwa złośliwego oprogramowania stworzonego między innymi do kradzieży danych, szpiegowania użytkownika, zakłócania pracy urządzenia lub uzyskania nieautoryzowanego dostępu. Ransomware jest jedną z jego wyspecjalizowanych odmian. Jego celem jest wywołanie presji finansowej przez zablokowanie dostępu do dokumentów, zdjęć, baz danych albo innych plików.
W tym celu program wykorzystuje szyfrowanie. Dane zostają przekształcone w nieczytelną postać, a do ich odtworzenia potrzebny jest klucz deszyfrujący. Bez tego klucza odzyskanie plików może być niemożliwe. Samo usunięcie złośliwego programu nie odszyfruje danych, ponieważ szyfrowanie i działanie ransomware to dwa odrębne problemy.
Jak działa ransomware krok po kroku?
Atak zwykle przebiega etapami. Szczegóły zależą od konkretnego wariantu, ale typowy schemat wygląda następująco:
- Dostarczenie – złośliwy plik trafia na komputer przez phishing, fałszywy załącznik, spreparowany instalator albo lukę w nieaktualnym oprogramowaniu.
- Wykonanie kodu – po uruchomieniu programu ransomware uzyskuje dostęp do systemu. Czasem próbuje zwiększyć uprawnienia lub wyłączyć część zabezpieczeń.
- Komunikacja z serwerem sterującym – program może połączyć się z serwerem C2, czyli infrastrukturą wykorzystywaną przez atakującego do przekazywania poleceń lub obsługi kluczy szyfrujących. Nie każdy atak musi jednak wyglądać identycznie.
- Szyfrowanie plików – ransomware przeszukuje dyski i dostępne zasoby sieciowe, a następnie szyfruje wybrane dane. W efekcie dokumenty mogą nadal znajdować się na dysku, ale system nie potrafi ich prawidłowo odczytać.
- Żądanie okupu – ofiara otrzymuje notatkę z informacją o ataku, terminie zapłaty i sposobie kontaktu. Przestępcy obiecują przekazanie klucza, lecz nie daje to pewności odzyskania danych.
Niektóre odmiany nie szyfrują plików, lecz blokują ekran albo utrudniają korzystanie z urządzenia. W obu przypadkach chodzi o wymuszenie zapłaty, ale metody odzyskania dostępu mogą być inne.
Ransomware – mity i rzeczywistość
| Mit | Rzeczywistość |
|---|---|
| Zapłacę okup i na pewno odzyskam pliki. | Nie ma gwarancji otrzymania działającego klucza. Płatność może też finansować kolejne ataki. |
| Usunięcie wirusa przywróci dane. | Usunięcie programu zatrzymuje infekcję, ale nie odwraca szyfrowania. |
| Antywirus zatrzyma każdy atak. | Program zabezpieczający może wykryć część zagrożeń, lecz nie zastępuje aktualizacji, ostrożności i kopii zapasowych. |
| Kopia podłączona stale do komputera zawsze jest bezpieczna. | Ransomware może zaszyfrować także dostępny dysk sieciowy lub nośnik. Kopia powinna mieć okresowo odłączaną wersję. |
Jak chronić się przed ransomware?
Obrona nie opiera się na jednym programie. Największą różnicę daje połączenie kopii zapasowych z ograniczeniem popularnych dróg infekcji:
- Zasada 3-2-1 – przechowuj co najmniej trzy kopie danych, na dwóch różnych nośnikach, w tym jedną kopię poza komputerem i najlepiej offline. Regularnie sprawdzaj, czy pliki można rzeczywiście odtworzyć.
- Aktualizacje – instaluj poprawki systemu, przeglądarki, pakietu biurowego, routera i innych używanych programów. Aktualizacje często usuwają luki wykorzystywane do uzyskania dostępu.
- Ostrożność wobec wiadomości – nie uruchamiaj załączników i linków tylko dlatego, że wiadomość wygląda na pilną. Sprawdzaj adres nadawcy, domenę oraz nietypowe prośby o logowanie lub płatność.
- Najmniejsze uprawnienia – używaj zwykłego konta do codziennej pracy, a uprawnienia administratora przyznawaj tylko wtedy, gdy są potrzebne.
- Ochrona urządzenia i sieci – włącz zaporę oraz aktualne zabezpieczenia systemu, takie jak Microsoft Defender. W firmach przydatne może być EDR, który zapewnia szerszy wgląd w zdarzenia na komputerach.
Backup jest najważniejszym zabezpieczeniem, ale musi być przygotowany tak, aby atakujący nie mógł go łatwo usunąć ani zaszyfrować. W domu może to oznaczać automatyczną kopię na odłączany dysk oraz drugą kopię przechowywaną w innym miejscu. W małej firmie należy uwzględnić także serwery, konta administratorów i zasoby sieciowe.
Co zrobić po podejrzeniu infekcji?
Jeśli pliki nagle zmieniają rozszerzenia, pojawia się żądanie okupu albo system zaczyna masowo zapisywać dane, działaj bez zwłoki. Najpierw ogranicz rozprzestrzenianie zagrożenia:
- Odłącz komputer od internetu, sieci lokalnej i podłączonych dysków, nie wyłączając go pochopnie, jeśli potrzebna będzie późniejsza analiza.
- Odłącz inne urządzenia, na których mogą znajdować się wspólne foldery lub kopie zapasowe.
- Nie płać okupu i nie kontaktuj się z napastnikiem bez konsultacji ze specjalistą.
- Zapisz treść notatki, charakterystyczne rozszerzenie plików i inne informacje pomocne w identyfikacji zagrożenia.
- Po zabezpieczeniu sytuacji skorzystaj z pomocy specjalisty, szczególnie gdy infekcja dotyczy firmy, serwera lub wielu urządzeń.
- Przywracaj dane wyłącznie z czystej kopii zapasowej, po usunięciu źródła infekcji i sprawdzeniu systemu.
Najbezpieczniejsza strategia zakłada, że kopia może być potrzebna właśnie wtedy, gdy inne zabezpieczenia zawiodą. Regularny, testowany backup 3-2-1 ogranicza skutki ataku znacznie skuteczniej niż liczenie na możliwość odblokowania plików po zapłacie.
