Программа-вымогатель (ransomware)

Почему под угрозой и небольшие серверы

Для атаки с вымогателем не нужна крупная цель. Кандидатом становится любой сервер, на котором лежат нужные кому-то данные и до которого можно добраться через слабый пароль, открытый сервис или необновлённую уязвимость. Атакующие ищут и резервные копии, ведь CISA предупреждает, что многие вариации ransomware пытаются найти и затем удалить или зашифровать доступные бэкапы.

Что на самом деле снижает риск

Защита состоит из обычной гигиены, выполняемой последовательно: обновления, закрытие открытых сервисов, надёжная аутентификация SSH, ограниченные привилегии и резервные копии, которые атакующий не сможет удалить. Руководство по защите небольших VPS от ransomware разбирает их по порядку, а руководство по стратегии бэкапов описывает сторону восстановления.

Пятиминутная проверка подозрительного сервера без изменений

Если что-то кажется неправильным, начните с проверок, которые ничего не меняют. Массовое шифрование затрагивает очень много файлов за короткое время, поэтому посчитайте, что недавно менялось в каталогах, где обычно тихо, а затем посмотрите задания по расписанию и живые соединения:

sudo find /var/www /srv /home -xdev -type f -mmin -60 | wc -l
systemctl list-timers
sudo ss -tnp

Страница руководства find определяет -mmin -60 как изменённые менее 60 минут назад, а -xdev как ограничение одной файловой системой. Сигналом служит число, намного превышающее обычное, а также неожиданные таймеры (systemctl list-timers показывает задания по расписанию) и исходящие соединения, которые вы не можете объяснить. Посмотрите и на задание резервного копирования: остановившееся или падающее задание часто оказывается самым ранним заметным симптомом.

Если признаки настоящие, не перезагружайте и не стирайте машину. В руководстве CISA #StopRansomware сказано выключать устройства, только если их нельзя отключить от сети, потому что так теряются свидетельства из оперативной памяти, а для облачных ресурсов советуют делать снимки томов для последующей экспертизы. Изолируйте сервер через firewall или консоль провайдера и продолжайте по разделу о первом часе нашего руководства по ransomware.

Двойное вымогательство: восстановление это только половина

CISA описывает двойное вымогательство как шифрование данных вместе с их кражей и угрозу опубликовать их, чтобы надавить на жертву. Там же добавлено, что некоторые группы пользуются одной только кражей данных, без шифрования. Это меняет смысл слова «восстановлено». Чистое восстановление возвращает сервис, но ничего не делает с уже украденными копиями, поэтому рано составьте перечень: какие персональные данные, данные клиентов или учётные данные хранились на сервере и что по вашим логам с него ушло.

То же руководство предупреждает, что злоумышленники могут отслеживать переписку и распространиться дальше, заметив реакцию, поэтому координируйтесь вне основного канала. Не обсуждайте инцидент по почте, в чате или тикет-системе, размещённых на затронутом сервере. Записывайте время, команды и находки: они понадобятся для восстановления, для страховщика и для регуляторов.

CISA также рекомендует сообщать властям. В США это CISA (cisa.gov/report), местное отделение FBI или IC3 (ic3.gov). В других странах обратитесь в национальный CERT или подразделение полиции по киберпреступности и уточните у юриста, какие обязанности по уведомлению относятся к данным на сервере. После устранения пересоберите сервер из чистого образа и смените все учётные данные, хранившиеся на хосте. Полная последовательность описана в руководстве по реагированию на взлом.

Связанные термины: Правило резервного копирования 3-2-1, Реагирование на инциденты, Принцип минимальных привилегий, Управление обновлениями, RPO и RTO (допустимая потеря данных и время восстановления), Object Lock (неизменяемое хранение объектов).