Řešili přes 100 ransomware útoků. Martin Haller popisuje, co se skutečně děje v napadených firmách

Představte si, že v pondělí ráno přijdete do práce. Nefungují firemní systémy, zaměstnanci se nedostanou k datům a na obrazovkách se objevují zprávy požadující výkupné. Firma stojí. Co teď? Právě od takového hypotetického telefonátu se odvíjí nový díl CZECH CYBER TV PODCASTU, jehož hostem je Martin Haller, etický hacker, spoluzakladatel společnosti PATRON-IT a specialista na incident response. Jeho tým má zkušenosti s více než stovkou ransomware incidentů. A jak Haller v rozhovoru upřesňuje, hranici sta zásahů překročili již před několika lety. Společně jsme prošli celý průběh kybernetického incidentu – od prvního telefonátu přes vyšetřování, komunikaci s útočníky a obnovu infrastruktury až po opatření, která mají zabránit opakování útoku.

Hackeři útočí, když obránci spí

Ransomware útok často nezačíná ve chvíli, kdy zaměstnanci zjistí, že jejich soubory nejdou otevřít. Útočníci mohou mít v té době za sebou rozsáhlou přípravu, průzkum infrastruktury i získání privilegovaných přístupů. Podle Hallera útočníci často volí pro závěrečnou fázi útoku večerní hodiny, noci nebo víkendy. Důvod je jednoduchý. Pokud začnou vypínat servery uprostřed pracovního dne, je pravděpodobnější, že si jejich aktivity někdo všimne. V noci mají větší prostor provést destruktivní operace bez okamžité reakce administrátorů. Právě proto se zaměstnanci o incidentu mnohdy dozvědí až ráno, kdy přestanou fungovat firemní systémy. Haller upozorňuje také na situace, kdy bezpečnostní software podezřelou aktivitu zaznamená, ale organizace ji včas nevyhodnotí. Samotná přítomnost bezpečnostních nástrojů totiž nezaručuje, že někdo na jejich upozornění skutečně zareaguje.

První telefonát: „Jsme zašifrovaní. Co máme dělat?“

Ve chvíli, kdy společnost zjistí rozsah problému, začíná hledat pomoc. Podle Hallera přitom nemusí být incident response tým první, komu organizace zavolá. Nejprve se často snaží situaci vyřešit interní IT oddělení. Teprve když se ukáže, že problém přesahuje jeho možnosti, přicházejí na řadu externí specialisté. První otázky incident responderů se týkají zejména rozsahu napadení, velikosti infrastruktury, kritických systémů a dostupnosti záloh. Jenže právě na poslední otázku často nikdo nedokáže okamžitě odpovědět. Firma sice může mít zálohovací systém, ale ve chvíli útoku ještě nemusí vědět, zda jsou samotné zálohy použitelné. U rozsáhlejších prostředí může podle Hallera trvat i několik dní, než specialisté získají dostatek informací o jejich skutečném stavu. A čas je v této situaci zásadní.

Nejdražší nemusí být výkupné, ale zastavený provoz

Ransomware je obvykle spojovaný s požadavkem na zaplacení výkupného. Jenže finanční dopady incidentu mohou být mnohem širší. Pokud firma nemůže vyrábět, přijímat objednávky nebo poskytovat služby, může každý další den znamenat významnou ekonomickou ztrátu. Podle Hallera proto incident response není pouze o odstranění útočníka z infrastruktury. Stejně důležité je dostat organizaci co nejrychleji zpátky do provozu. Zásadní může být rozdíl mezi obnovou za pět a deset dní. Do rozhodování tak vstupuje nejen technická stránka incidentu, ale také ekonomické priority organizace. Cílem není pouze zjistit, co se stalo. Cílem je obnovit fungování firmy, aniž by se vytvořil prostor pro další kompromitaci.

Vyjednávání s hackery může začít ještě před rozhodnutím o výkupném

Jedním z překvapivých momentů rozhovoru je způsob, jakým může probíhat komunikace s ransomware skupinami. Zatímco jedna část incident response týmu analyzuje infrastrukturu a prověřuje zálohy, může současně probíhat komunikace s útočníky. To ovšem automaticky neznamená, že se firma rozhodla zaplatit. Podle Hallera jde mimo jiné o získávání informací a přípravu alternativního scénáře pro případ, že by se ukázalo, že data nelze běžným způsobem obnovit. Komunikace s útočníky může být časově náročná. Pokud by začala až ve chvíli, kdy firma definitivně zjistí, že nemá použitelné zálohy, mohlo by to obnovu dále zdržet. Rozhodnutí o případném zaplacení výkupného přitom zůstává na napadené organizaci. A ani zaplacení nemusí znamenat konec problémů.

Zaplatili výkupné. Útočníci se ozvali znovu

Moderní ransomware útoky často nekončí pouze zašifrováním dat. Útočníci mohou před šifrováním citlivé informace také odcizit a následně vyhrožovat jejich zveřejněním. Napadená firma se tak může ocitnout pod dvojím tlakem: potřebuje obnovit provoz a zároveň řeší riziko zveřejnění interních dokumentů nebo zákaznických dat. Martin Haller v podcastu popisuje případy, kdy oběti zaplatily útočníkům za slib smazání odcizených dat. Ti jim dokonce předložili údajný důkaz o jejich odstranění. Po několika měsících se však útočníci ozvali znovu. Haller zároveň upozorňuje, že nemusí být vždy možné určit, zda za opakovaným vydíráním stojí původní skupina jako celek, nebo například někdo, kdo si ponechal kopii odcizených dat. Zaplacení výkupného tedy není zárukou, že odcizená data skutečně zmizí nebo že vydírání definitivně skončí. Právě tato nejistota patří mezi největší problémy vyjednávání s kyberzločineckými skupinami.

Přístup do firemní sítě jako obchodní artikl

Ransomware dnes není nutně dílem jediné skupiny, která provede celý útok od začátku do konce. Kyberzločinecký ekosystém zahrnuje také takzvané Initial Access Brokers – útočníky, kteří se specializují na získávání počátečního přístupu do firemních sítí. Takový přístup mohou následně prodat další skupině, která jej využije k vlastnímu útoku. Vzniká tak určitá dělba práce. Jedna skupina získá přístup, jiná provede další průzkum prostředí, eskalaci oprávnění a nakonec samotné šifrování. Haller upozorňuje, že pro kupujícího má získaný přístup konkrétní hodnotu. Zároveň ale existuje riziko, že jej obránci odhalí a zablokují. To vytváří motivaci postupovat rychle. Pro napadenou firmu přitom může být obtížné určit, kolik různých aktérů se na kompromitaci její infrastruktury ve skutečnosti podílelo.

Jak poznat, že útočník už není v síti?

Obnova dat je pouze jednou částí incident response. Dalším problémem je důvěra v prostředí, které už jednou útočníci ovládli. Jak si může firma být jistá, že v její infrastruktuře nezůstala zadní vrátka nebo kompromitované účty? Podle Hallera není u rozsáhlých prostředí realistické očekávat, že specialisté ručně prověří každý jednotlivý počítač a získají absolutní jistotu. Místo toho nastupuje kombinace důkladnějšího zabezpečení prostředí, omezení možností pohybu útočníka a průběžného monitoringu. Cílem je vytvořit takové podmínky, aby případný zbývající přístup útočníkovi neumožnil snadno ovládnout další systémy a aby bylo možné jeho aktivitu rychle odhalit. Právě proto Haller zdůrazňuje dvě zásadní disciplíny: hardening a monitoring.

Někdy firmu zachrání i chyba samotného útočníka

Během rozhovoru zazní také případ, který ukazuje, jak nečekaně se může kybernetický incident vyvíjet. Při bezpečnostním auditu jednoho z nově převzatých zákazníků specialisté PATRON-IT zjistili, že jeho servery byly kompromitovány již přibližně tři čtvrtě roku před převzetím správy. Útočníci se tehdy dokonce pokusili spustit ransomware. Jenže při zadávání příkazu použili chybný parametr, kvůli kterému se škodlivý program nespustil. Následně se odpojili. Firma tak tehdy unikla vážným následkům nikoliv díky úspěšnému zásahu obránců, ale kvůli chybě na straně útočníka. Je to další připomínka toho, že absence viditelných problémů nemusí znamenat, že je infrastruktura bezpečná.

Jediné opatření, které Haller zdůrazňuje nade všemi ostatními

Na závěr rozhovoru jsme Martinovi položili otázku, jaké jediné opatření by doporučil firmám, které se chtějí připravit na ransomware útok. Jeho odpověď byla jednoznačná. Odolné zálohy. Nejde přitom pouze o to, aby organizace pravidelně zálohovala svá data. Rozhodující je, aby útočník nedokázal zálohy zničit ani v případě, že získá vysoká administrátorská oprávnění. Podle Hallera totiž útočníci při ransomware operacích usilují právě o likvidaci záloh. Pokud se jim to podaří, výrazně tím zvyšují tlak na napadenou organizaci. Odolné a ověřeně obnovitelné zálohy mohou zásadně změnit výsledek incidentu. Přestože nezabrání samotnému průniku ani případnému odcizení dat, umožňují firmě obnovit informace bez závislosti na dešifrovacím nástroji od útočníků.

Další výzva? Umělá inteligence a nové bezpečnostní chyby

V závěrečné části podcastu se věnujeme také budoucnosti kybernetických útoků. Martin Haller upozorňuje na dlouhodobé důsledky špatné konfigurace IT prostředí, zejména v Active Directory. Právě historicky nahromaděné chyby, nevhodně nastavená oprávnění a nedostatečná správa infrastruktury mohou útočníkům výrazně usnadnit eskalaci oprávnění. Podobné riziko podle něj může vznikat i při rychlém zavádění nových technologií. Firmy dnes experimentují s umělou inteligencí, automatizací a AI agenty, které získávají přístup k interním systémům a datům. Podle Hallera hrozí, že podobně jako v případě Active Directory mohou i při zavádění AI systémů postupně vznikat bezpečnostní nedostatky, které se projeví až s odstupem několika let. Rychlé nasazování nových technologií bez odpovídající správy a zabezpečení tak může vytvářet další vrstvu dlouhodobého bezpečnostního dluhu.

Podívejte se na celý rozhovor

Jak přesně probíhá ransomware incident od prvního telefonátu? Kdo rozhoduje o obnově systémů, jak vypadá komunikace s útočníky a co mohou firmy udělat, aby se z podobného útoku vůbec dokázaly zotavit? Celý rozhovor s Martinem Hallerem najdete v nové epizodě CZECH CYBER TV PODCASTU.