Ransomware

Ransomware (z anglického ransom = výkupné) je druh malwaru, který zašifruje soubory v počítači nebo na celém firemním serveru a nechá na obrazovce vzkaz s požadavkem na zaplacení. Dokumenty, fotky i databáze zůstanou na disku, ale bez dešifrovacího klíče, který má jen útočník, je nelze otevřít.

Výkupné se téměř vždy požaduje v kryptoměnách, nejčastěji v Bitcoinu nebo Moneru, s krátkou lhůtou a výhrůžkou, že cena poroste nebo data zmizí. Oběťmi jsou domácnosti i nemocnice, obce či výrobní podniky – pro útočníky je to jeden z nejvýnosnějších druhů počítačové kriminality.

Co je ransomware a jak funguje

Po spuštění se ransomware obvykle nejprve nenápadně rozhlédne: vyhledá důležité soubory, síťové disky a zálohy, ke kterým má přístup. Pak soubory zašifruje silnou kryptografií, často jim změní příponu a do každé složky uloží pokyny k platbě. Pokusy klíč „uhodnout“ jsou u správně napsaného ransomwaru marné.

Moderní skupiny používají dvojí vydírání. Před zašifrováním data z firmy zkopírují a vyhrožují, že je zveřejní, pokud oběť nezaplatí. Zálohy tak řeší jen polovinu problému – druhou je únik citlivých údajů zákazníků či zaměstnanců. Mnoho skupin funguje jako služba (ransomware-as-a-service): jedni vyvíjejí malware, jiní ho šíří a dělí se o zisk.

Jak se ransomware dostane do zařízení

Častým začátkem je phishingový e-mail s přílohou, která vypadá jako faktura, objednávka nebo zásilka. Dalšími cestami jsou ukradená hesla ke vzdálenému přístupu, neopravené zranitelnosti ve VPN zařízeních, serverech či firewallech a „cracknutý“ software. Ransomware se často nespouští hned – nejprve do sítě pronikne trojský kůň, který útočníkům otevře dveře.

Známé případy ukázaly, jak rychlé to může být. CryptoLocker z roku 2013 rozšířil model vydírání za kryptoměny mezi běžné uživatele. WannaCry v roce 2017 zneužil chybu ve Windows a během několika dní zasáhl počítače v mnoha zemích, včetně nemocnic. Společné měly jedno: nejvíc trpěly systémy bez aktuálních záplat a bez zálohy.

Proč výkupné raději neplatit

Policie i bezpečnostní týmy doporučují výkupné neplatit. Neexistuje záruka, že útočník pošle funkční klíč, že dešifrování proběhne bez chyb, ani že ukradená data opravdu smaže. Kdo jednou zaplatí, může se stát opakovaným cílem a peníze financují další útoky.

Dřív než začnete cokoli řešit, ověřte, zda pro konkrétní druh ransomwaru neexistuje bezplatný dešifrovací nástroj – bezpečnostní firmy a policie je společně zveřejňují například v projektu No More Ransom. Rozhodnutí o platbě je nakonec na oběti, mělo by ale být až poslední možností, po konzultaci s odborníky a policií.

Jak se proti ransomwaru bránit a co dělat po útoku

Nejúčinnější ochranou jsou zálohy podle pravidla 3-2-1: tři kopie dat, na dvou různých médiích, z toho jedna mimo síť nebo offline. Záloha, která je stále připojená, se zašifruje spolu s ostatními soubory. Obnovu ze zálohy si čas od času vyzkoušejte. K tomu patří aktualizace, dvoufázové ověření pro všechny vzdálené přístupy a omezená práva běžných účtů.

Pokud k útoku dojde, napadená zařízení ihned odpojte od sítě, ale nevypínejte je – v paměti mohou zůstat stopy užitečné pro vyšetřování. Vyfoťte vzkaz útočníka, nemažte zašifrované soubory a útok oznamte Policii ČR. Firmy a úřady se mohou obrátit na NÚKIB, běžní uživatelé a menší organizace na národní tým CSIRT.CZ; organizace spadající pod zákon o kybernetické bezpečnosti mají povinnost incident hlásit. Další rady najdete v sekci Kyberbezpečnost.

Časté dotazy

Co je CryptoLocker?

CryptoLocker byl ransomware, který se šířil od roku 2013 přes e-mailové přílohy a botnet. Šifroval soubory na disku i síťových úložištích a výkupné požadoval v bitcoinech. Jeho název se dodnes používá jako obecné označení pro šifrující ransomware.

Dají se soubory po útoku ransomwaru obnovit bez platby?

Někdy ano. Nejjistější cestou je obnova ze zálohy, která během útoku nebyla připojená. Pro starší nebo chybně napsané druhy ransomwaru existují bezplatné dešifrovací nástroje. U moderních skupin bez zálohy ale šance na obnovu klesá.

Ochrání mě před ransomwarem antivirus?

Kvalitní bezpečnostní program dokáže řadu známých druhů zachytit a některé i zastavit během šifrování. Úplnou jistotu ale nedává, proto je offline záloha nenahraditelná. Přehled programů najdete v kategorii Antiviry.

Proč útočníci chtějí platbu v kryptoměnách?

Kryptoměny lze poslat přes hranice bez banky a během několika minut. Anonymita ale není úplná: transakce na veřejném blockchainu jsou dohledatelné a policie už několikrát zajistila část zaplaceného výkupného.

Může ransomware napadnout i mobil?

Na mobilech je vzácnější. Častěji jde o aplikace, které zablokují obrazovku a tváří se jako výzva policie. Ochranou je instalovat aplikace jen z oficiálních obchodů a mít fotky a dokumenty zálohované.