Ovo je iskustvo sa ransomware-om Trigona V2. Hronologija napada, šta je funkcionisalo i šta nije. Bez teorije.
Region koji je gorio
Prije nego počnem sa vlastitim iskustvom, vrijedi napomenuti kontekst. Iste godine nisu stradale samo male firme ili loše administrirani sistemi — padali su energetski holdinzi, državne elektroprivrede, aerodromski sistemi, gradske uprave. Različite hakerske grupe, različiti ransomware, isti rezultat.
Rhysida je srušila HSE — Holding Slovenske Elektrarne, najvećeg slovenskog državnog proizvođača električne energije. Qilin je udario na Elektroprivredu Srbije. Hakerska skupina Akira izvela je napad na informatički sistem Zračne luke sv. Jeronim u Splitu — check-in je pao, aerodrom je prešao na ručnu obradu putnika uz tiskane liste, a podatke nastale u međuvremenu unosili su naknadno kad su sistemi oživjeli. JKP Informatika u Novom Sadu odbila je platiti otkup i ostala bez dijela podataka. Parlamentarna skupština Bosne i Hercegovine bila je van funkcije sedmicama.
Sve nabrojano su institucije sa IT odjeljenjima, budžetima i — pretpostavljamo — nekim oblikom zaštite. Nije pomoglo.
Prema podacima sa vlastitog T-Pot honeypot-a, Srbija i BiH bile su u samom vrhu po broju zabilježenih napada u regionu.
Prve naznake
Symantec Endpoint Protection bio je prvi koji je nešto primijetio — upozorenja o IP adresama iz sabneta koji tu nije imao šta da traži. Uz to, u logovima su se pojavljivale aktivnosti u periodima kad je sistem trebao biti potpuno miran.
Jedan detalj koji se teško opisuje: kada si na serveru u sesiji, a slika počne da se trzuca kao da još neko sjedi za istim ekranom — taj osjećaj je specifičan. Na serverima je grafika ionako loša pa je lako naći racionalno objašnjenje, ali nešto nije štimalo.
Takve anomalije je teško pretvoriti u argument za hitnu akciju. Reakcija je bila pojačati backup i pratiti dalje.
Kako je izgledao napad
Napadači su strpljivo pratili ritam organizacije. Znali su kada nema nikoga. U petak, sat nakon radnog vremena, na server je prebačen izvršni fajl veličine pet gigabajta. Do ponedjeljka ujutro, Trigona V2 je odradila posao na svim sistemima koji su ostali uključeni preko vikenda.
Trigona ima korisnički interfejs i chat sistem. Kao dokaz da je dekripcija moguća, operateri su bez oklijevanja otključali dva tražena fajla i vratili ih nazad. Policija je obaviještena.
Zašto MS SQL Server
Jedan detalj koji je upao u oči: stariji server, loše zaštićen, ostao je potpuno netaknut. Preskočen je.
MS SQL Server u produkciji košta ozbiljan novac — to napadačima govori da organizacija ima budžet i da postoji realna šansa da će otkupnina biti plaćena. Stari server bez prepoznatljive licence tu etiketu ne nosi. Port 1433 izložen prema mreži dobar je pokazatelj napadačima koga treba targetirat.
Šta je spasilo podatke
MS SQL baze su svaki dan radile puni backup sa uključenom kompresijom. Disk se po završetku iskopčavao i fizički odlagao van mreže.
Trigona nije našla taj disk.
Rezultat: nula izgubljenih podataka. Samo reinstalacija sistema.
Backup dostupan na mreži — na NAS-u, cloud-u, dijeljenom folderu — u dosegu je ransomware-a. Backup na iskopčanom disku nije. Jedino što se pokazalo sigurnim je medij koji u trenutku napada nije bio priključen nigdje.
Šta je promijenjeno
Serveri su dostupni isključivo sa jednog menadžment računara kojemu pristupaju samo administratori. Korisnici imaju prava samo na foldere koji su im potrebni, bez administratorskih privilegija. Mreža je segmentirana. Kao pasivni sistem ranog upozorenja podignut je honeypot koji simulira standardne servise — svaki kontakt sa njim je alarm.
Firma je prihvatila nova pravila bez otpora.
