Шифрование – новый вид мошенничества: что это и как с ним бороться

Прошедший 2016 год был отмечен всплеском нового вида мошенничества, которое стало неприятным «сюрпризом» и для системных администраторов, и для аутсорсеров, и для коммерческих компаний. Последние, к слову, пострадали сильнее всего. Многим пришлось потратить изрядные средства на восстановление служебной информации, которая в результате мошеннический действий была зашифрована.

С этой проблемой столкнулись и некоторые наши клиенты. Специалистам компанииZSC пришлось оперативно искать варианты защиты от мошенников. Сегодня эти мероприятия с высокой долей вероятности позволяют сохранить внутреннюю информацию компаний. Однако обеспечить 100% защиты невозможно, и вот почему.

Антивирус не в помощь

Мошенническая программа шифрования данных не является вредоносной программой, которую мог бы «перехватить» антивирус. Ведь она построена на стандартной дляWindows системе шифрования информации. Ее нередко используют для безопасной передачи важных данных: перед отправкой их зашифровывают и отправляют адресату вместе с ключом, необходимым для расшифровки. Для каждого случая шифрования создается уникальный ключ, который невозможно подобрать.

Цена вопроса

Несанкционированное шифрование информации происходит следующим образом. Сотруднику приходит «важное» электронное письмо с сомнительного адреса. Как правило, корпоративную систему заражают бухгалтера, которые получают «открытку» похожего содержания: «Письмо из налоговой! Для срочного исполнения во избежание получения штрафа!». Сотрудник открывает письмо, скачивает вложенный файл, запускает его и… ничего не происходит. Но только внешне, однако программа шифрования уже начала блокировать информацию внутри компьютера сотрудника и всей сети.

Антивирус не «видит» проблему, так как возникает ситуация, когда операционная система выполняет стандартную процедуру шифрования. При этом программа работает «умно»: блокируется только важная информация (программа 1С, таблицы, документы, файлы, система резервного копирования). Чем больше прав у пользователя компьютера-источника, тем больше система шифрования заблокирует файлов.

Через некоторое время в компанию звонит неизвестный, и требует определенную сумму денег: взамен он передаст ключ для расшифровки информации. Речь, как правило, идет о 30-50 тысяч рублей. Большинство предпринимателей идет на сделку, переводят средства и получают ключи.

Расшифровать информацию без ключа крайне сложно. Необходимо применять сложные криптографические алгоритмы, а над расшифровкой можно сидеть месяцами. Однако эту ситуацию можно с большой долей вероятности предотвратить, или купировать.

Как бороться с системой шифрования?

Наша компания ZSC разработала целый комплекс профилактических мероприятий, который позволит защитить IT-инфраструктуру клиента от подобного мошенничества, а также, в случае ЧП, восстановить 90% служебной информации.

 Резервное копирование данных –наиболее популярный и действенный механизм защиты информации, и не только от мошеннического шифрования. Однако недавно мошенники научились блокировать и резервные копии. Наши специалисты применили технологию разделения учетных записей пользователя и резервного копирования. Таким образом доступ пользователя к резервным копиям оказался защищен, что позволяет не допустить вредоносного ПО к RAID-системе с пользовательской рабочей станции.

Ограничение исполнительских программ – наши специалисты ограничивают возможность запуска нестандартного программного обеспечения.

Отключение стандартных служб шифрования Windows  – в реальности, очень немногие пользователи шифруют информацию перед отправкой. Если стандартная служба шифрования операционной системы будет отключена, то у мошеннической программы будет меньше шансов вмешаться в корпоративную сеть.

Контрольные точки восстановления – несмотря на то, что мошенники научились удалять контрольные точки восстановления, наделение их привилегиями администратора делают их помощником в защите информации.

Отключение сетевых дисков – наши специалисты заменяют сетевые диски на сетевые папки. Проблема в том, если система шифрования заблокирует файлы на сервере, и в него зайдет сотрудники с более большими правами, чем были на компьютере-источнике, «вирус» распространится еще дальше.  Сетевые папки скрыты, благодаря чему система шифрования их просто не найдет.

Ограничение прав пользователя – даже если сотрудник запустил на своем компьютере мошенническую систему шифрования, она «сработает» только на его рабочей станции. Ограничение прав пользователя не позволит вредоносному ПО распространиться на всю сеть, таким образом, наши специалисты купируют вирус.

Работа с персоналом

Однако ни один инновационный продукт, ни одна политика безопасности не может на 100% гарантировать, что мошенническая система шифрования попадет в корпоративную сеть. Также никто и ничто не может гарантировать полное восстановление информации. Это новый вид мошенничества, который еще не научились блокировать.

В этой ситуации многое зависит от сотрудников компании, ведь именно они в 100% случаев становятся источником распространения вируса. С ними необходимо провести разъяснительную работу.

Основные признаки мошеннической системы шифрования:

• мошенничество осуществляется только с электронной почты;
• сомнительный адрес отправителя письма, например,  edlvbiyifncnd34rtf@mail.ru;
• вложенный файл имеет не просто формат .docx, а добавление .ex или другое.

Если пришло письмо от сомнительного адресанта с сомнительным содержанием, лучше его вовсе не открывать. Либо сделать скриншот экрана и отправить системному администратору. Если в письме фигурируют налоговая инспекция, Пенсионный Фонд или другое ведомство, лучше связаться с их представителем.

После того, как некоторые наши клиенты столкнулись с этой проблемой, мы внедрили комплексную систему профилактики на всем обслуживаемом оборудовании в компаниях, а также провели разъяснительную работу с персоналом. Ведь цена одного клика слишком велика, чтобы не обращать на проблему внимание.