Niebezpiecznik

O tym, że Garmin pozyskał klucz deszyfrujący pisaliśmy już 27 lipca, ale teraz wiadomo więcej. Firma nie zapłaciła przestępcom wprost. Wynajęła konsultantów z Arete IR, którzy w imieniu Garmina zajęli się płatnością i zapewne również negocjacjami.

Garmin zostanie ukarany za zapłatę okupu?

Przypomnijmy, że Garmin padł ofiarą WastedLockera, ransomwaru, który jest przypisywany gangowi EvilCorp wpisanemu na listę sankcji USA, co mocno komplikuje kwestię przekazywania im pieniędzy — choć prawnicy nie są zgodni, czy dotyczy to także okupów.

Te formalne nieścisłości spowodowały, że pierwsza z firm, do której Garmin zwrócił się o pomoc odmówiła współpracy ze względu właśnie na ryzyko prawne. I tak Garmin trafił do Arete IR, firmy, która utrzymuje, że powiązania pomiędzy WastedLockerem a EvilCorpem “nie zostały dowiedzione“.

W skrócie, sprawa wygląda więc tak, że Garmin doszedł do wniosku, że taniej będzie zapłacić. Z oczywistych względów nie robi tego bezpośrednio, a szuka firmy “konsultingowej”, która nie musi mieć żadnych kompetencji w tworzeniu dekryptorów (co zresztą nie zawsze jest możliwe), a jej jedyną rolą jest znegocjować okup i go opłacić, a w razie zadymy prawnej, przyjąć baty na siebie.

Czy warto być taką firmą konsultingową? Jeśli znegocjowała okup o kilka milionów w dół, to pewnie zatrzymała z tego spory procent. I siup, spora sumka wpływa na konto za “jedynie” kilka godzin wymiany e-maili z przestępcami :-)

Dekryptor zamiast reinstalacji i backupów

Użycie dekryptora to ryzykowna gra. Po pierwsze, nie wiadomo, czy przestępcy na zaszyfrowanych stacjach roboczych nie “zmienili” i zostawili czegoś jeszcze. Po drugie, czasem dekryptory (jak każde oprogramowanie) mają błędy i część z plików nie zostanie poprawnie odszyfrowana.

Taki błąd może wyjść na jaw dopiero po kilku miesiącach, kiedy kopie bezpieczeństwa nadpiszą się błędnie rozszyfrowanym plikiem, a z przestępcami nie będzie już kontaktu. I będzie to kolejna tragedia.

Dziennikarze z BleepingComputer otrzymali paczkę, jaka powędrowała na komputery pracowników Garmina i zauważył, że zawiera ona odniesienia do firm Emsisoft i Coveware. Pierwsza poinformowała, że zajmuje się jedynie tworzeniem narzędzi deszyfrujących i nie bierze udziału w negocjacjach okupów, a druga odmówiła komentarza.

Zaangażowanie firm trzecich do analizy narzędzia dekryptującego dostarczonego przez przestępców to akurat dobry znak i przejaw braku zaufania. Tym bardziej rozumiemy, jak bezpieczników z Garmina musi boleć pójście drogą “dekryptora” zamiast “clean installa”.

Wciąż nie wszystko działa

O ile większość usług Garmina już się podniosło, to wciąż nie wszystkie funkcjonują poprawnie. Inteligentne wagi dalej nie dostarczają na konto w chmurze nowych odczytów, a i odczyty z kilku dni przed atakiem przepadły.

Większość z Was nie byłaby dobrym prezesem Garmina

Na koniec musimy Wam powiedzieć, że większość z Was, a przynajmniej tych śledzących nas na Twitterze, zupełnie nie nadaje się na przewodzenie dużej międzynarodowej firmie ;-) A przynajmniej tak wynika z rezultatów ankiety na Twitterze, którą niedawno zorganizowaliśmy. Podjęliście inne decyzje niż zarząd firmy.

Śledzący nas na Twitterze twardo obstawiali, by nie płacić przestępcom, podnosząc w twittach, że:

Taka firma jak Garmin na pewno ma backupy

Firmy nie powinny finansować przestępców

Odtworzenie z backupu nie powinno zająć im więcej niż 3 dni.

A tu guzik. Garmin zapłacił okup (nie wiadomo, czy backupy miał, a jeśli tak, to czy aktualne, niezaszyfrowane i wszystkich systemów, które zostały dotknięte atakiem). To po prostu niekiedy najlepsze wyjście z sytuacji, czy się to komuś podoba, czy nie.

Decyzja czy zapłacić to nie jest łatwa decyzja. Więcej o zawiłościach w jej podejmowaniu pisaliśmy w naszych poprzednich tekstach:

• Atak ransomwarem to także wyciek danych, dlaczego trzeba tak o tym myśleć?
• Zapłacisz okup, a danych i tak nie odzyskasz…
• Czy Garmin zapłacił 40 milionów okupu?
• Oferowali odszyfrowywanie danych, a po cichu dogadywali się z przestępcami i płacili im okup

W powyższych artykułach znajdziecie także wskazówki, co do tego czy Wasze dane, jako użytkowników Garmina, wyciekły. I czy ufać przestępcom, że na pewno je usunęli.

Z puntku widzenia użytkownika incydent w Garminie nie jest (aż taki) straszny. Nawet jeśli jakieś dane użytkowników wyciekły, to nie będą to bardzo interesujące dla typowych przestępców dane, ponieważ nie za bardzo da się je wykorzystać do masowych ataków. E-maile i hasła użytkowników latają po sieci w setkach innych dumpów, a na unikatowych dla Garmina danych (np. wadze, czy śladach GPS) ciężko będzie zarobić. Natomiast z punktu widzenia IT incydent w Garminie jest zdecydowanie ciekawszy.

Jestem firmowym adminem, co robić, jak żyć?

Wygląda na to, że warto zawczasu powinieneś:

• wybadać, jaka firma może negocjować okup w imieniu Twojej firmy albo samemu zyskać podstawowe kompetencje pozwalające szybko nabyć bitcoinów za miliony ;-)
• odpowiednio przeszkolić pracowników, jak się zachować kiedy ich komputer zostanie zaszyfrowany (i czego nie wysyłać do mediów) — tu polecamy nasz wysoko oceniany 3 godzinny internetowy kurs przeznaczony dla każdego pracownika korzystającego z komputera i internetu, pt. “Cyberbezpieczeństwo w Firmie“. Nasze materiały przystępnym językiem i z humorem pokazują pracownikom na co zwracać uwagę i co robić, aby podnieść bezpieczeństwo podczas korzystania z komputera i smartfona nie tylko w firmie, ale i w życiu prywatnym.

A najlepiej, to po prostu odpowiednio zbudować infrastrukturę, która nawet jeśli nie będzie w stanie uniemożliwić ataku ransomwarem, to znacznie ograniczy szkody. Domyślnie wbudowane w Windowsa mechanizmy mogą w tym bardzo pomóc. Trzeba tylko wiedzieć jak je poprawnie skonfigurować. A m.in. to pokazuje Maciek na naszym 2 dniowym, praktycznym szkoleniu z Bezpieczeństwa Systemu Windows. Polecamy każdemu firmowemu adminowi, z kodem “WASTEDLOCKER” dla rejestracji do końca tygodnia możecie otrzymać 100PLN rabatu: