Jak rozprzestrzenia się ransomware i w jaki sposób można zostać zaatakowanym?
(Spear) Phishing mail
Najczęstszą drogą przesyłania ransomware jest e-mail phishingowy zawierający załącznik lub link. Gdy użytkownik otwiera załącznik lub klika w link na poszczególnych komputerach, ransomware uruchamia program, który blokuje system i wyświetla żądanie zapłaty. W takim przypadku, jedynym sposobem na odszyfrowanie danych jest użycie klucza matematycznego znanego tylko atakującemu.
Zdarzały się również przypadki, w których złośliwe oprogramowanie wyświetlało komunikat informujący, że „Windows” użytkownika jest zablokowany. Użytkownik był następnie zachęcany do zadzwonienia na numer telefonu „Microsoft” i wprowadzenia sześciocyfrowego kodu w celu ponownej aktywacji systemu. Wiadomość twierdziła, że połączenie telefoniczne jest bezpłatne, co nie było prawdą. Podczas rozmowy telefonicznej z fałszywym „Microsoftem” użytkownikowi naliczały się opłaty jak za połączenia do odległych krajów.
Zainfekowane strony internetowe i złośliwe reklamy/adware
Zainfekowane adresy URL są powszechnie używane do dystrybucji ransomware. Kliknięcie jednego z tych linków, czy to przez e-mail, czy niezweryfikowaną stronę internetową, może automatycznie wywołać pobranie oprogramowania ransomware na dysk twardy, znane również jako „drive-by download”. Samo odwiedzenie strony bez pobierania czegokolwiek także może prowadzić do ataku ransomware.
Zdalne punkty dostępu (RDP)
Coraz więcej ataków polega na uzyskaniu dostępu do infrastruktury firmy, która ma otwarte i odsłonięte punkty zdalnego dostępu, takie jak RDP i wirtualne przetwarzanie sieciowe (VNC). Dane uwierzytelniające RDP można wymusić, uzyskać z wycieków haseł lub po prostu kupić na czarnych rynkach. Podczas gdy w przeszłości przestępcy ransomware konfigurowali środowisko dowodzenia i kontroli dla oprogramowania ransomware i kluczy deszyfrujących, większość przestępców zwraca się teraz do ofiar z żądaniami okupu, które zawierają anonimowy adres e-mail, umożliwiając hackerom lepsze ukrycie się.
W przypadku bardziej wyrafinowanych ataków jest to dopiero początek serii zdarzeń opisanych w ramach Lockheed Martin Cyber Kill Chain® i bazie wiedzy MITRE ATT&CK®.