«Бір абайсыз қадам қалайша бүкіл компанияны ransomware құрбаны етті?»

Бухгалтерия бөлімінің қызметкері — тәжірибелі, мұқият, ешқашан "күдікті" сілтемені баспайды деп саналатын адам — күнделікті поштасын қарап отыр. Кезекті хаттардың арасында таныс жеткізушінің атынан келген шот-фактура (счет-фактура) бар: тақырыбы — «Қыркүйек айының шот-фактурасы, төлеу мерзімі — бүгін». Хаттың дизайны, қолтаңбасы, тілі — бәрі әдеттегідей.

Іс жүзінде бұл хат — жеткізушінің шынайы, бірақ бұрын бұзылған пошта аккаунтынан жіберілген. Хакерлер алдымен жеткізушінің өзін бұзып, содан кейін оның нақты хат алмасу тарихын пайдаланып, дәл сол стильде, дәл сол контексте жалған хат жіберген — мұны «thread hijacking» әдісі деп атайды, әрі ол әдеттегі фишингтен әлдеқайда сенімді көрінеді.

Тіркелген «шот-фактура.doc» файлы ашылады. Word бағдарламасы әдеттегідей ескерту көрсетеді: «Бұл құжатты толық көру үшін макростарды қосыңыз». Қызметкер бұл ескертуді бұрын да көп рет көрген — ешбір зияны болмаған. Бір рет батырманы басады: «Мазмұнды қосу» (Enable Content).

Қызметкер ешнәрсе байқамайды. Күнделікті жұмысын жалғастырады. Бұл — оқиғаның ең маңызды сәті: шабуыл осы жерде басталды, бірақ ешкім оны байқаған жоқ.

Қазіргі заманғы ransomware топтары бірден шабуыл жасамайды — бұл ойлы, жоспарлы қылмыс. Алдымен олар желіде «тыныш отырады», бақылайды, барлау жүргізеді:

• Қай серверде қандай деректер сақталады — қаржылық, клиенттік, келісім-шарттар
• Резервтік көшірмелер қайда сақталады, оларды қалай өшіруге/шифрлауға болады
• Қандай қауіпсіздік құралдары бар — оларды қалай айналып өтуге болады
• Әкімші (администратор) құқығы бар аккаунтты қалай табуға және «ұрлауға» болады

Осы кезеңде антивирус ешбір дабыл бермейді — себебі бастапқы код өте кішкентай, «зиянсыз» көрінетін, ал негізгі зиянды белсенділік әлі басталған жоқ. Хакерлер IT әкімшісінің логин-парольдерін фиштер (мысалы, жалған VPN кіру бетімен) немесе желі ішіндегі әлсіз сақталған парольдерден табады.

«Фиштер» – бұл фишинг (phishing) терминінен шыққан, яғни хакерлердің жалған беттер немесе сілтемелер арқылы құпия мәліметтерді (логин/пароль) алдап тартып алу тәсілі. Сонда «фиштер» дегеніміз (phishing pages or phishing links) – пайдаланушыны алдау үшін арнайы жасалған жалған кіру беттері (мысалы, VPN, e-mail немесе сайттардың көшірмесі) немесе сілтемелер болуы мүмкін.

Әкімші деңгейіндегі парольге қол жеткізген соң, хакерлер «еркін жүруге» мүмкіндік алады. Себебі желі сегменттелмеген — яғни бухгалтерияның компьютері, компанияның серверлері, файл-сервер, тіпті резервтік көшірме сақталатын жүйенің өзі бір «ортақ бөлмеде» тұрғандай, бір-бірінен бөлінбеген.

Хакерлер бірінші кезекте — резервтік көшірмелерді табады да, оларды немесе өшіреді, немесе шифрлайды. Бұл — олардың ең маңызды стратегиялық қадамы: егер компанияда резервтен қалпына келтіру мүмкіндігі қалмаса, төлем жасауға мәжбүрлеу ықтималдығы бірнеше есе артады.

Шабуыл әдейі демалыс күнінің түнгі сағатында іске қосылады — бұл кездейсоқтық емес. Дәл осы уақытта офисте ешкім жоқ, IT әкімшісі ұйықтап жатыр, ешкім экранға қарап отырған жоқ. Зиянды бағдарлама бір мезгілде барлық қолжетімді серверде, жұмыс станцияларында файлдарды шифрлай бастайды.

Бірнеше сағат ішінде мыңдаған файл — келісім-шарттар, есеп беру құжаттары, клиенттік база, бухгалтерлік дерекқор — оқылмайтын күйге түседі. Әр қалтада, әр диск бетінде бір ғана мәтіндік файл пайда болады: «Сіздің файлдарыңыз шифрланды. Қалпына келтіру үшін...».

Қызметкерлер жұмысқа келіп, компьютерлерін қосады. Экранда — таныс жұмыс үстелінің орнына бір ғана хабарлама: файлдардың бәрі шифрланғаны, оларды қалпына келтіру үшін криптовалютамен белгілі бір соманы төлеу керектігі жазылған. 1С жұмыс істемейді, ортақ қалталар ашылмайды, бухгалтерлік бағдарлама іске қосылмайды.

IT әкімшісі резервтік көшірмеге жүгінеді — бірақ ол да шифрланған немесе өшірілген болып шығады. Компания енді екі ауыр таңдаудың алдында тұр: белгісіз соманы төлеп, кілттің шынымен келетініне сенім артпай тәуекел ету, немесе бәрін нөлден қалпына келтіруге тырысу.

Нәтиже: бұл компанияға нақты қанша тұрды

Ransomware шығыны — тек «төлем сомасынан» әлдеқайда көп. Нақты құн бірнеше қабаттан тұрады:

Тізбекті қай жерде тоқтатуға болар еді

Ең маңызды сабақ: бұл оқиғада тізбекті тоқтатуға болатын кемінде бес нүкте болды. Әрбір нүктеде дұрыс шара тұрған болса, апат мүлдем басқаша аяқталар еді.

Бұл оқиғаның ең маңызды хабары — қарапайым: ransomware — бір сәттік апат емес, уақыт бойы дамитын процесс. Ал процесс болғандықтан, оны әр кезеңде тоқтатуға болады. Тек бір ғана қорғаныс қабатына («антивирус бар ғой») сенім арту — бүкіл тізбекті бір нүктеде «үзіп тастаймын» деп ойлағанмен бірдей — ал бір нүкте сәтсіз болса, қалғаны жоқ болып қалады.