14 maja 2025

7 symptomów ataku ransomware

Wyobraź sobie, że Twoja firma to dom, a ransomware to włamywacz, który najpierw sprawdza, kiedy nie ma nikogo w środku, potem wyłącza alarm, a na końcu kradnie lub niszczy wszystko, co wartościowe. To nie film, to standardowy scenariusz cyberataku z wykorzystaniem ransomware. A choć brzmi to przerażająco, na szczęście istnieją sposoby, by nie dopuścić do takiego stanu rzeczy.

„Furtka” przez wyższą warstwę abstrakcji

W 2024 roku aż 45% cyberataków było wymierzonych w hiperwisory - czyli wirtualną (logiczną) infrastrukturę do przetwarzania danych. Hakerzy wiedzą, że w razie powodzenia to najłatwiejszy sposób na sparaliżowanie całej organizacji.

Wirtualna infrastruktura obejmuje serwery, bazy danych, pamięci masowe oraz aplikacje, które są kluczowe dla codziennego funkcjonowania firm. W związku z tym, wektory ataków wycelowane w takie zasoby mogą prowadzić do poważnych zakłóceń w działalności, utraty danych, a w konsekwencji do ogromnych strat finansowych. W 2024 roku, według raportu FBI, straty związane z cyberatakami w samym tylko USA wyniosły ponad 16 miliardów dolarów, co stanowi wzrost o 33% w porównaniu do roku poprzedniego.

Hakerzy często wykorzystują luki w zabezpieczeniach, znane podatności oraz słabe hasła, aby uzyskać dostęp do systemów, a następnie szyfrują dane i żądają okupu za ich odblokowanie. Wzrost liczby ataków na infrastrukturę wirtualną jest alarmujący, ponieważ pokazuje nie tylko, jak ważne jest zabezpieczenie systemów przetwarzania danych, ale również jak zbawienne może być samo wyczulenie na wszelkie zdarzenia, które mogą wskazywać na atak ransomware. Warto pogłębić ostatnią kwestię, dlatego przygotowaliśmy krótki przewodnik po zdarzeniach, które z dużą dozą prawdopodobieństwa są początkiem incydentu bezpieczeństwa, a w szczególności zdarzenia naruszającego integralność danych i systemów przetwarzania danych.

7 zdarzeń, których nie możesz zignorować!

1. Ktoś próbuje odgadnąć hasło do systemu wirtualizacji
   Cyberprzestępcy często próbują różnych kombinacji haseł, a więc metody brute-force, żeby przejąć konto i dostać się do hiperwisora (vCenter, ESXi lub Hyper-V). Takie działanie to bardzo ważny sygnał, że dzieje się coś złego. Parametryzacja wyzwalacza alarmu w przypadku wielokrotnych nieudanych prób logowania oraz logowania poza godzinami pracy pozwoli na wychwycenie i szybką reakcję na takie zdarzenie. [MITRE ATT&CK Tactic: Initial Access (TA0001)]
2. Podejrzane zmiany w plikach
   Ransomware często zaczyna od małych zmian w plikach, zanim zaszyfruje wszystko. To jak złodziej, który najpierw sprawdza, co jest w szufladach, a dopiero potem decyduje się na rozróbę w całym mieszkaniu. Odpowiedzią na ten problem może być monitorowanie nietypowej aktywności w systemach plików, takich jak: zmiany nazw plików, masowe modyfikacje rozszerzeń, czy dziwne ciągi znaków lub po prostu nagła niedostępność wybranych plików czy folderów. [MITRE ATT&CK Tactic: Defense Evasion (TA0005)]
3. Ktoś próbuje usunąć kopie zapasowe
   To bardzo częsty scenariusz – cyberprzestepcy próbują zniszczyć Twoje ,,zapasowe klucze", żebyś nie mógł odzyskać danych. Wzrasta w ten sposób szansa na wypłatę okupu. Chroń więc kopie zapasowe niczym skarb, najlepiej na nienaruszalnym repozytorium typu WORM lub Hardened Linux Repository lub w chmurze dostawcy usług. Nadto, ustaw alarmy na próby usunięcia lokalnych kopii zapasowych. [MITRE ATT&CK Tactic: Impact (TA0040)]
4. Podejrzany ruch między systemami
   Zwiększony ruch sieciowy, zwłaszcza do nieznanych lub podejrzanych adresów IP, może świadczyć o komunikacji z serwerami kontrolnymi ransomware lub o próbach wykradania danych. Monitoring sieci może wykryć takie anomalie.
5. Nietypowe zużycie zasobów systemowych (CPU, dysk)
   Ransomware często intensywnie szyfruje pliki, co powoduje wzrost wykorzystania procesora i dysku twardego. Jeśli obserwujemy wzrost obciążenia bez widocznej przyczyny, może to być sygnał infekcji. Typowe systemy monitoringu natychmiast wykryją takie anomalie, a i użytkownicy na pewno zauważą i zgłoszą wolniejsze działanie aplikacji.
6. Pojawienie się nieznanych aplikacji lub procesów
   Wykrycie w ruchu sieciowym aktywności narzędzi takich jak mimikatz czy CobaltStrike, które są często wykorzystywane do lateralnego poruszania się po podsieciach i eskalowania uprawnień to bardzo wyraźny sygnał, że nasza infrastruktura jest atakowana. Do wykrywania obecności takich narzędzi stosuje się specjalistyczne rozwiązania oparte na analizie zachowań, monitoringu sieci oraz regułach sygnaturowych, w tym regułach YARA. [MITRE ATT&CK Tactic: Lateral Movement (TA0008)]
7. Niestandardowe wzorce zapytań DNS
   Nagłe skoki w liczbie zapytań DNS z konkretnego hosta lub nietypowe wzorce zapytań do zewnętrznych domen mogą wskazywać na komunikację z serwerami kontrolnymi atakującego lub próby wyprowadzania danych z sieci (DNS exfiltration).

To, co wymieniliśmy, to zaledwie wierzchołek góry lodowej w zakresie tego, jakie działania podejmują cyberprzestępcy usiłujący dobrać się do zasobów organizacji będącej celem ich ataku. W tym kontekście nieocenionym źródłem wiedzy w zakresie taktyk hakerskich i cyberataków jest MITRE ATT&CK. To globalnie dostępna baza wiedzy, która szczegółowo opisuje taktyki i techniki stosowane przez cyberprzestępców na podstawie rzeczywistych obserwacji. Jest to bardzo dobre źródło informacji przede wszystkim dla specjalistów ds. bezpieczeństwa, ale również dla przedstawicieli biznesu, ponieważ umożliwia zrozumienie metod działania napastników oraz narzędzi, które wykorzystują do przeprowadzania ataków. Dzięki MITRE ATT&CK możliwe jest modelowanie zagrożeń, identyfikacja luk w zabezpieczeniach oraz opracowywanie skutecznych strategii obronnych. Baza ta jest regularnie aktualizowana, co pozwala na śledzenie najnowszych trendów i technik w świecie cyberbezpieczeństwa

Narzędzia wykrywające i mitygujące ataki ransomware

Drogi czytelniku, wiesz już CO obejmuje najbardziej charakterystyczne sygnały nadchodzącego cyberataku, wiesz już JAK im przeciwdziałać, zatem kolejne pytanie, które ciśnie się na klawisze, to - z pewnością - jakich narzędzi należy w tym celu użyć. Poniżej znajdziesz zatem małą narzędziową inspirację:

• CrowdStrike działa jak ochroniarz w firmie, zapewniając zaawansowaną ochronę punktów końcowych. Jego platforma CrowdStrike Falcon wykorzystuje sztuczną inteligencję i uczenie maszynowe do wykrywania i reagowania na zagrożenia w czasie rzeczywistym. CrowdStrike monitoruje aktywność na urządzeniach, identyfikuje podejrzane zachowania i automatycznie reaguje na potencjalne ataki. Dzięki temu, gdy wykryje sygnały nadchodzącego cyberataku, może szybko zablokować złośliwe działania i zapobiec dalszemu rozprzestrzenianiu się zagrożenia.
• Microsoft Sentinel pełni rolę centrum monitoringu, zbierając dane z różnych źródeł w organizacji i analizując je pod kątem zagrożeń. Sentinel wykorzystuje reguły analityczne do wykrywania podejrzanych działań i generowania alertów. Te alerty są następnie agregowane w incydenty, które można badać i na które można reagować. Dzięki integracji z innymi narzędziami Microsoftu, Sentinel umożliwia automatyzację odpowiedzi na zagrożenia, co przyspiesza reakcję i minimalizuje ryzyko.
• Splunk działa jak analityk bezpieczeństwa, który nieustannie monitoruje środowisko cyfrowe organizacji w poszukiwaniu anomalii i potencjalnych zagrożeń. Splunk User Behavior Analytics (UBA) wykorzystuje zaawansowane algorytmy uczenia maszynowego do analizy zachowań użytkowników i urządzeń, identyfikując odstępstwa od normy, które mogą wskazywać na atak. Splunk łączy te anomalie w sekwencje zdarzeń, tworząc tzw. ,,kill chain", co pozwala na szybkie wykrycie i zrozumienie ataku oraz podjęcie odpowiednich działań.

Monitoruj symptomy ataku ransomware

Ransomware to poważne zagrożenie, które może zostać wykryte zanim zaszyfruje dane. Jak każda infekcja, ma charakterystyczne symptomy, takie jak: nietypowe zachowanie systemu i zwiększona utylizacja zasobów, zablokowany dostęp do losowych danych, nietypowe procesy, masowe zmiany w plikach, wzrost ruchu sieciowego, zablokowane aplikacje czy nieautoryzowane zmiany w konfiguracji albo dużo nieudanych prób logowań na konta.

Bądź czujny - każdy z tych alarmów to sygnał ostrzegawczy, który może wskazywać na atak ransomware lub inną wrogą aktywność. Działaj szybko, bo im wcześniej zareagujesz, tym mniejsze straty i większa szansa na zminimalizowanie szkód. Pamiętaj również o zintegrowaniu systemów, niech wszystkie alarmy trafiają w jedno miejsce, co ułatwi monitorowanie i szybką reakcję. Regularnie testuj i sprawdzaj, czy alarmy działają prawidłowo, aby mieć pewność, że systemy ochrony są skuteczne. Pamiętaj: lepiej zapobiegać niż leczyć. Monitorowanie choćby tych siedmiu alarmów w 99% przypadków uchroni Twoją organizację przed niszczącym działaniem ransomware.

Inspiracją do napisania artykułu był wpis z Bloga Veeam Software: https://www.veeam.com/blog/10-alarms-to-stop-ransomware-and-protect-business-continuity.html

Jeżeli rozważasz zabezpieczenie swoich danych poprzez stałe wykonywanie kopii wyniesionej (off-site backup) w polskim centrum danych, zapraszamy do zapoznania się z naszą usługą.