Un atac ransomware asupra unei instituții publice nu începe întotdeauna cu spargerea spectaculoasă a unui server. De multe ori, punctul de intrare este banal: parola unui angajat, un mesaj de phishing, un serviciu expus la internet sau un sistem care nu a fost actualizat la timp. După primul acces, atacatorul încearcă să se deplaseze prin rețea, să obțină drepturi administrative, să copieze date și să neutralizeze copiile de siguranță înainte de criptarea sistemelor.
Cazul analizat de C24 News privind atacul asupra infrastructurii ANCPI arată cât de importantă este înțelegerea traseului posibil al unui atacator. Dincolo de un incident particular, mecanismele sunt relevante pentru primării, ministere, spitale, universități și companii care administrează servicii publice.
Ce este ransomware și de ce nu înseamnă doar criptarea fișierelor
Ransomware este un tip de atac prin care infractorii blochează accesul la sisteme sau criptează datele și solicită bani pentru restabilirea accesului. În campaniile moderne, criptarea este adesea ultima etapă, nu prima. Înainte de blocarea calculatoarelor, atacatorii pot petrece zile sau săptămâni în rețea pentru a identifica serverele importante, conturile administrative, bazele de date și copiile de siguranță.
În unele cazuri apare și dubla extorcare: datele sunt copiate înainte de criptare, iar organizația este amenințată că informațiile vor fi publicate dacă nu plătește. Asta înseamnă că restaurarea sistemelor din backup nu rezolvă automat riscul privind confidențialitatea documentelor sustrase.
Primul acces: parola unui angajat poate fi suficientă
Atacatorul poate obține acces printr-un e-mail de phishing, o parolă reutilizată, un program care fură datele de autentificare, o conexiune VPN insuficient protejată sau o aplicație vulnerabilă. Calculatorul ori contul compromis devine apoi o identitate aparent legitimă în interiorul organizației.
MITRE ATT&CK descrie folosirea conturilor valide drept o tehnică prin care atacatorii pot obține acces inițial, persistență, escaladarea privilegiilor sau evitarea mecanismelor de apărare. Tocmai pentru că sunt utilizate credențiale reale, activitatea rău intenționată poate semăna la început cu munca obișnuită a unui angajat.
Cum se extinde atacul în interiorul rețelei
După intrare, atacatorul caută informații care îi permit să ajungă mai departe: parole salvate, tokenuri, chei SSH, sesiuni administrative, conturi de serviciu și fișiere de configurare. Urmează așa-numita mișcare laterală, adică trecerea de la un calculator sau server la altul.
- identificarea calculatoarelor și serverelor disponibile;
- căutarea conturilor cu drepturi mai mari;
- accesarea sistemelor de administrare și monitorizare;
- descoperirea bazelor de date și a aplicațiilor critice;
- localizarea copiilor de siguranță;
- copierea documentelor care pot fi folosite pentru extorcare.
Dacă rețeaua este slab segmentată și aceleași conturi administrative sunt folosite pe mai multe sisteme, compromiterea unei singure identități poate deschide accesul către o zonă mult mai mare a infrastructurii.
De ce sunt vizate backupurile
O organizație care păstrează copii de siguranță funcționale poate restaura datele fără să depindă de promisiunile atacatorului. Din acest motiv, grupările ransomware încearcă frecvent să identifice, să cripteze sau să șteargă backupurile înainte de declanșarea etapei finale.
Problema apare atunci când sistemul de backup este conectat permanent la aceeași rețea, folosește conturi administrative comune sau permite modificarea copiilor fără o autentificare separată. Într-un asemenea scenariu, atacatorul care obține drepturi suficiente poate afecta simultan atât sistemele de producție, cât și mecanismul destinat recuperării lor.
O strategie mai rezistentă presupune copii separate, protejate împotriva modificării, testate periodic și accesibile prin credențiale diferite. Existența unui backup nu este suficientă: instituția trebuie să demonstreze prin teste că poate restaura serviciile într-un interval acceptabil.
Măsurile care reduc cel mai mult riscul
Ghidul #StopRansomware al CISA recomandă o combinație de prevenție, monitorizare și capacitate de recuperare. Nicio măsură luată separat nu poate elimina riscul, însă mai multe straturi de protecție pot opri sau limita un atac.
- Autentificare multifactor. Trebuie aplicată în special pentru e-mail, VPN, conturi administrative și servicii accesibile din exterior.
- Conturi și drepturi separate. Un utilizator obișnuit nu ar trebui să aibă acces administrativ permanent, iar conturile tehnice trebuie auditate periodic.
- Actualizarea sistemelor. Vulnerabilitățile cunoscute din aplicații, servere și echipamente de rețea trebuie remediate rapid.
- Segmentarea rețelei. Sistemele critice și infrastructura de backup nu ar trebui să fie accesibile fără controale suplimentare din orice calculator al instituției.
- Backupuri protejate și testate. Copiile importante trebuie păstrate separat și verificate prin restaurări periodice.
- Monitorizarea autentificărilor. Conectările din locații neobișnuite, la ore atipice sau de pe dispozitive necunoscute trebuie investigate.
- Pregătirea angajaților. Personalul trebuie să știe cum recunoaște mesajele suspecte și unde raportează rapid un incident.
Ce trebuie să facă instituția în primele ore
În momentul detectării unui incident, viteza contează. Sistemele afectate trebuie izolate fără distrugerea probelor, conturile suspecte trebuie dezactivate sau resetate, iar accesul de la distanță trebuie verificat. Echipa tehnică trebuie să stabilească dacă atacatorul mai este prezent în rețea înainte de începerea restaurării.
În paralel, instituția trebuie să activeze planul de răspuns la incidente, să păstreze jurnalele și imaginile sistemelor relevante, să notifice autoritățile competente și să evalueze dacă au fost extrase date personale sau informații sensibile. Comunicarea publică trebuie să distingă între fapte confirmate, ipoteze tehnice și afirmațiile atacatorilor.
De ce administrația publică este o țintă atractivă
Instituțiile publice administrează baze de date importante și servicii care nu pot rămâne mult timp indisponibile. Presiunea pentru reluarea activității poate fi exploatată de atacatori. În același timp, infrastructurile construite în etape diferite pot combina sisteme vechi cu aplicații noi, mai mulți furnizori și numeroase conturi tehnice.
ENISA analizează amenințările care vizează administrația publică europeană și subliniază importanța rezilienței, a protejării serviciilor esențiale și a unei imagini clare asupra riscurilor sectoriale.
Concluzie
Un atac ransomware reușit nu demonstrează automat existența unui complice și nici faptul că toate sistemele au fost „sparte” separat. Un singur cont compromis poate deveni punctul de plecare pentru escaladarea privilegiilor și deplasarea prin rețea, mai ales atunci când identitățile, serverele și backupurile nu sunt suficient separate.
Pentru instituțiile publice, adevărata măsură a pregătirii nu este absența totală a incidentelor, ci capacitatea de a detecta rapid accesul neautorizat, de a limita extinderea lui și de a restaura serviciile din copii de siguranță care nu au fost compromise.
Surse și documentare: CISA – #StopRansomware Guide; MITRE ATT&CK – Valid Accounts, T1078; ENISA – Public Administration Threat Landscape.
C24 News România 
Lasă un comentariu