Storie di orrore da ransomware

Durante il mio tempo trascorso nelle trincee della Protezione dei Dati, ho incontrato il ransomware numerose volte. Queste erano vere storie dell'orrore in cui i proprietari delle aziende erano messi sull'orlo della bancarotta o della completa perdita di reputazione. La seguente è una breve raccolta di pensieri e descrizioni della mia storia dell'orrore riguardo agli attacchi ransomware.

All'inizio, c'era il semplice ripristino

Non dimenticherò mai la prima volta che ricevetti una chiamata dopo che un cliente era stato colpito da un strano nuovo virus che aveva crittografato tutti i loro file. Avevano provato di tutto ma non riuscivano a capire come far ripartire la loro attività. Quella esperienza fu difficile, ma un rapido ripristino completo dall'ultimo backup risolse il problema, e tutti furono felici.

Purtroppo, questo non stava per finire, e non ci volle molto perché arrivasse la chiamata successiva alcune settimane dopo. Questa era una storia dell'orrore che sarebbe stata continua e in continua evoluzione.

Alzare la posta in gioco

Non ci volle molto perché i creatori di ransomware si rendessero conto che i backup stavano ostacolando i loro sforzi di estorsione e, quindi, dovevano essere neutralizzati.

La monotona sequenza di chiamate ordinarie sul ransomware terminò bruscamente quando, un giorno, il cliente annunciò che anche i loro backup erano stati crittografati. I malintenzionati avevano crittografato il server di backup e il repository NTFS situato sul disco locale del server di backup. Questo era un setup tipico in molte organizzazioni di medie e piccole dimensioni. Fortunatamente, il cliente aveva anche lavori di backup su nastro, e siamo stati in grado di ripristinare un backup piuttosto vecchio ma comunque valido. Divenne sempre più evidente che quando si trattava di Protezione da ransomware, più backup erano decisamente meglio.

Evolvono, noi evolviamo

Dopo quell'incidente, iniziammo a dire ai nostri clienti di rimuovere il server VBR dal dominio di produzione e di avere backup offsite o backup offline. In passato, avevamo pensato ai backup offsite principalmente dal punto di vista del disastro, in altre parole, potenziali problemi fisici nel data center locale, ma con l'avvento del ransomware, l'importanza di mantenere una copia extra offsite divenne essenziale.

Tuttavia, non passò molto tempo prima che avessimo il nostro primo caso di backup cloud eliminati. Le bande di ransomware avevano scoperto come eliminare i lavori di copia di backup di Cloud Connect una volta preso il controllo del server VBR. In risposta a questo e alle minacce interne, Veeam aggiunse la protezione contro le minacce interne, che avrebbe spostato eventuali backup eliminati in un cestino nascosto. Tuttavia, i furfanti astuti erano, in alcuni casi, in grado di ridurre la retention dei backup e crittografare gli ultimi backup, il che influenzava questo meccanismo difensivo. Era necessario qualcosa di più!

Entra l'Immutabilità

Il file system Linux ha supportato il bit immutabile per un bel po' di tempo. Tuttavia, questo è stato combinato solo relativamente di recente con i backup Veeam per creare backup solidi e immutabili.

Ora, anche se il malintenzionato prendeva il controllo del server VBR, non sarebbe comunque stato in grado di eliminare i backup.

Aggiungere l'immutabilità, pensavamo fosse la soluzione, l'aglio per i nostri vampiri ransomware!

Halloween ogni giorno!

Ahimè, le storie dell'orrore non finirono lì. Purtroppo, i nostri spettrali nemici idearono nuovi metodi per minare le difese della protezione dei dati. Posizionando ransomware dormienti sui sistemi attaccati, potevano infettare i backup in modo che, anche se non potevano eliminare questi ultimi, avrebbero semplicemente reinfettato la vittima poco dopo che tutti i ripristini erano stati completati. Questo era forse uno degli scenari più spaventosi e peggiori, poiché le montagne russe emotive di dover eseguire più sessioni di ripristino per numerosi giorni di seguito avrebbero logorato significativamente i team IT. Ripristinavano i loro sistemi solo per trovarli reinfettati di nuovo poco dopo. Si svolsero intense battaglie utilizzando metodi di rilevamento del ransomware e antivirus, con conseguente maggiore inattività e stress per i clienti colpiti.

Quando si tratta di ransomware, Halloween non arriva una volta all'anno, ma è una minaccia quotidiana e ripetitiva. La forma di trick-or-treating delle bande di ransomware è semplicemente troppo redditizia per loro per rinunciare, e con ogni nuova difesa, tentano di trovare qualche tipo di scappatoia per continuare nei loro modi malvagi ma altamente redditizi.

L'unica soluzione è spaventare via i fantasmi!

ZTDR, o Zerto Trust Data Resilience, è la nuova strategia di Veeam per spaventare via i demoni del ransomware. I suoi principi includono assumere la violazione, segmentare lo storage dei backup lontano dagli altri componenti della configurazione di Protezione dei Dati, testare i backup per infezioni sfruttando la scansione inline e le regole Yara, e, naturalmente, assicurarsi che tutti i tuoi backup siano immutabili!

Se non vuoi entrare nel cimitero del ransomware dei dati aziendali crittografati, allora assicurati di seguire ZTDR