Modul 1 · 1.3
Løsepengevirus og utpressing
Modul 1: Hvorfor du er et mål · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du forklare hvordan løsepengevirus kommer inn, hva dobbel utpressing er, og hvilke tiltak som begrenser skaden.
Nøkkelbegreper: løsepengevirus, kryptering, dobbel utpressing, innledende tilgang, lateral bevegelse, løsepenger, dekrypteringsverktøy (No More Ransom)
Hva løsepengevirus er
Løsepengevirus (ransomware) er skadelig programvare som gjør filene eller systemene dine ubrukelige og deretter krever løsepenger. Navnet kommer fra det engelske ordet ransom: løsepenger. Som regel skjer dette med kryptering: programvaren gjør om filene dine til ulesbare data, med en nøkkel som bare angriperen har. Du ser fortsatt filene, ofte med en merkelig filendelse, men du kan ikke lenger åpne dem. På skjermen eller i hver mappe ligger det en beskjed: betal innen noen dager, ellers er alt tapt.
Kryptering i seg selv er ikke noe ondsinnet. Det er den samme teknikken som beskytter laptopen din ved tyveri (leksjon 5.2), og som sikrer forbindelsen din til et nettsted. Forskjellen ligger i hvem som har nøkkelen. God kryptering lar seg ikke knekke. Derfor er «vi får vel dekryptert det» nesten aldri et alternativ, med mindre de som laget løsepengeviruset har gjort en feil.
Ifølge det nederlandske NCSC rammer løsepengevirus ikke bare filer, men også systemer og sikkerhetskopier. Det siste punktet er det viktigste i denne leksjonen.
Hvordan det kommer inn
Et angrep med løsepengevirus skjer ikke i ett øyeblikk, men er en rekke steg. Det begynner med innledende tilgang: det første steget innenfor døren. De vanligste veiene:
| Tilgangsvei | Hvordan det skjer | Hva som stopper det |
|---|---|---|
| Phishing med vedlegg eller lenke | En ansatt åpner en «faktura» eller «fraktseddel» som starter skadelig programvare | Bevisstgjøring (leksjon 9.2), oppdateringer, begrensede rettigheter |
| Stjålne innloggingsopplysninger | Et lekket passord fungerer på webmailen, VPN-en eller fjernstyringen | Unike passord, tofaktorautentisering (2FA) (modul 2) |
| En kjent sårbarhet i et system koblet til internett | En utdatert VPN-server, brannmur, NAS eller nettside med en offentlig kjent sårbarhet | Rask oppdatering (leksjon 5.1), ikke åpne mer enn nødvendig |
| Fjernstyring som står åpen | Et program for å styre en PC på avstand, tilgjengelig fra hele internett | Kun via en sikret forbindelse, med 2FA |
| En leverandør | IT-selskapet eller programvaren til en leverandør misbrukes | Avtaler og minimale rettigheter (modul 7) |
Etter den første tilgangen venter angriperen ofte. Han ser seg rundt, leter etter administratorkontoer og hopper fra datamaskin til datamaskin. Dette kalles lateral bevegelse. Han leter spesielt etter to ting: hvor de viktige dataene ligger, og hvor sikkerhetskopiene ligger. Først når han har funnet begge deler, slår han til, ofte om natten eller i helgen, når ingen merker det.
Hvorfor en tilkoblet sikkerhetskopi ikke hjelper
Mange små bedrifter har en sikkerhetskopi: en ekstern disk som alltid er koblet til PC-en, eller en nettverksdisk (NAS) hvor det går en kopi hver natt. Det er bedre enn ingenting hvis en harddisk går i stykker. Mot løsepengevirus hjelper det ofte ikke.
Grunnen er enkel. Løsepengevirus krypterer alt den infiserte datamaskinen eller den overtatte kontoen har tilgang til. Henger sikkerhetskopidisken på PC-en, kan løsepengeviruset nå den. Ligger sikkerhetskopien på en nettverksdisk du logger inn på med samme konto, kan løsepengeviruset nå den også. En angriper som har sett seg rolig rundt, sletter noen ganger sikkerhetskopiene bevisst før han krypterer.
Det samme gjelder synkronisering. En mappe som automatisk synkroniseres med skyen, synkroniserer også den krypterte versjonen. Noen ganger kan du gå tilbake til en eldre versjon av en fil, men det avhenger av tjenesten og hvor lenge den lagrer versjoner.
En sikkerhetskopi som overlever løsepengevirus, har minst én kopi angriperen ikke kan nå eller endre: en disk som ligger løs i skuffen, eller en sikkerhetskopi hos en separat leverandør med sin egen innlogging som du ikke bruker på arbeidsmaskinen din, eller en lagringsløsning som gjør det teknisk umulig å endre eller slette i en periode. I modul 6 setter du dette opp steg for steg. En sikkerhetskopi som webhotell-leverandøren din lager på separate servere, atskilt fra pakken din, er allerede en kopi på avstand for nettsiden og e-posten din. Sjekk likevel hvor lenge den lagres og hvem som kan slette den.
Dobbel utpressing
Før var en god sikkerhetskopi hele svaret på løsepengevirus: gjenopprette og ferdig. Angripere har tilpasset seg. Ved dobbel utpressing stjeler de først en kopi av dataene dine og krypterer dem deretter. Da er det to trusler:
- Betal, ellers får du ikke tilbake filene dine.
- Betal, ellers publiserer vi dataene dine: kunderegistre, tilbud, lønnsdata, e-postbokser.
En sikkerhetskopi hjelper mot det første, ikke mot det andre. Også det nederlandske NCSC advarer om at angripere noen ganger truer med å publisere stjålne data. I tillegg er tyveri av personopplysninger i seg selv et avvik (datalekkasje), med meldeplikt til Datatilsynet (leksjon 8.2), uavhengig av om du betaler eller ikke.
Noen ganger går en angriper enda lenger og kontakter kundene eller forretningspartnerne dine direkte med beskjed om at dataene deres er stjålet fra deg. Presset ligger da ikke bare på deg, men også på omdømmet ditt.
Betale eller ikke?
Rådet fra myndigheter og politi er entydig: betal helst ikke. No More Ransom, et initiativ blant annet fra Europol og det nederlandske politiet, sier det slik: å betale løsepenger gir ingen garantier. Det finnes gode grunner:
- Du har ingen garanti for at du får en fungerende nøkkel, eller at dekrypteringen lykkes.
- Du har ingen garanti for at stjålne data faktisk blir slettet etterpå.
- Du bekrefter at bedriften din betaler, og det gjør deg attraktiv for et nytt angrep.
- Du finansierer de neste angrepene mot andre.
- Veien inn er ikke stengt ennå. Uten undersøkelse kan det skje igjen.
Det nederlandske NCSC kaller gjenoppretting fra en sikkerhetskopi den mest pålitelige løsningen. Lykkes ikke det, sjekk om det finnes en dekrypteringsnøkkel: et gratis program som kan dekryptere filer fra en bestemt løsepengevirus-familie, fordi forskere fant en feil i den familien eller beslagla nøkler. No More Ransom (https://www.nomoreransom.org) samler disse dekrypteringsverktøyene og hjelper deg å finne ut hvilken type løsepengevirus du har. Langt fra alle familier har en løsning, men å sjekke koster ingenting.
Anmeld uansett til politiet, og vurder om du har en meldeplikt: til Datatilsynet hvis personopplysninger er rammet, til den nasjonale omsetningen av NIS2 hvis bedriften din omfattes av digitalsikkerhetsloven (leksjon 9.1), og noen ganger til en oppdragsgiver i henhold til kontrakten din.
Hva som begrenser skaden
Du kan redusere sannsynligheten for et angrep og begrense skaden hvis det likevel skjer. En oversikt, med leksjonen der du lærer det:
- Oppdatering, spesielt alt som er koblet til internett: VPN, ruter, NAS, nettside (leksjon 5.1).
- Tofaktorautentisering (2FA) på e-post, fjernstyring og alle administratorkontoer (leksjon 2.3 og 2.4).
- Minimale rettigheter: ikke arbeid daglig med en administratorkonto, og ikke gi alle tilgang til alt (leksjon 7.1).
- En sikkerhetskopi utenfor rekkevidde av de vanlige kontoene dine, og test jevnlig om gjenoppretting fungerer (modul 6).
- Et hendelseskort slik at alle vet hva de skal gjøre: koble fra nettverket, ikke slå av uten videre, ring (leksjon 8.1 og 8.3).
- Bevisstgjøring: en kollega som umiddelbart melder fra at han åpnet et merkelig vedlegg, gir deg timer i forsprang (leksjon 9.2).
I praksis: slik ser det ut
Et eksempel, satt sammen av situasjoner som ofte oppstår. Et installasjonsfirma med tolv ansatte hadde en VPN-server for å kunne nå filene hjemmefra. Fastvaren hadde ikke blitt oppdatert på halvannet år. Via en kjent sårbarhet kom en angriper seg inn, så seg rundt i en uke og fant administratorkontoen til nettverksdisken. En lørdagsnatt ble PC-ene, nettverksdisken og USB-disken med sikkerhetskopien som var koblet til den, kryptert. Det som var igjen: e-posten og nettsiden, som lå hos en webhotell-leverandør med sin egen sikkerhetskopi, og en gammel kopi av regnskapet på en disk regnskapsføreren hadde liggende hjemme. Med det kunne bedriften fakturere igjen etter noen dager. Tilbudene og tegningene fra de siste månedene var tapt.
En oppdatering og én løs disk i en skuff hadde gjort hele forskjellen mellom noen dager og noen måneder.
Oppsummering
- Løsepengevirus krypterer filer, systemer og sikkerhetskopier og krever løsepenger; god kryptering lar seg ikke knekke.
- Løsepengevirus kommer inn via phishing, stjålne passord, ikke-oppdaterte systemer koblet til internett, fjernstyring eller en leverandør; deretter ser angriperen seg ofte rundt først.
- En sikkerhetskopi som henger på datamaskinen eller er tilgjengelig med samme konto, blir ofte kryptert sammen med resten.
- Ved dobbel utpressing stjeles data først; en sikkerhetskopi hjelper da ikke mot trusselen om publisering, og det er et avvik (datalekkasje).
- Betal helst ikke; gjenopprett fra en sikkerhetskopi, sjekk No More Ransom for et dekrypteringsverktøy, og anmeld forholdet.
Quiz
Oppgave
Oppgave D1.3: Hva skjer hvis det skjer i natt? Gå gjennom for din egen bedrift hva løsepengevirus kunne kryptert i natt. Skriv ned hvor sikkerhetskopiene dine ligger, om de er tilgjengelige fra en vanlig arbeidsmaskin eller med en vanlig konto, og hvilke systemer som er koblet til internett. Svar deretter på refleksjonsspørsmålene.
Oppgave D1.3: Hva skjer hvis det skjer i natt?
Slik gjør du det: (1) Lag en liste over alle steder der viktige filer ligger: PC-er, bærbare datamaskiner, nettverksdisk, skylagring, e-post, regnskap, nettside. (2) Skriv ved hvert sted hvor sikkerhetskopien ligger, og om den sikkerhetskopien er tilgjengelig fra en vanlig arbeidsdatamaskin eller med en konto du bruker daglig. (3) Finn ut hvilke systemer er koblet til internett og tilgjengelige utenfra (VPN, fjernstyring, NAS, ruter, nettside), og når de sist ble oppdatert. (4) Finn ut om det finnes minst én kopi som løsepengevirus ikke kan nå (løs i en skuff, eller hos en separat part med egen innlogging). (5) Se én gang på https://www.nomoreransom.org hvordan siden fungerer, slik at du vet det hvis det blir nødvendig.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Stegene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- WebOké Backups: se, gjenopprette eller laste ned en backup
- DirectAdmin-veiledning 16.1: Hvilke backuper finnes hos WebOké
- Det nederlandske NCSC, Hva er løsepengevirus: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/no/index.html