Απαγωγές αρχείων και… υπολογιστών για ψηφιακά λύτρα σε ξενοδοχειακές μονάδες σε Κρήτη, Ρόδο, Κέρκυρα

Ρε­πορ­τάζ: ΓΙΑΝ­ΝΗΣ ΠΑ­ΠΑ­ΔΟ­ΠΟΥ­ΛΟΣ

Πρώτα επι­τέ­θη­καν στις αρχές του 2016. Κά­ποιος από τους 500 υπαλ­λή­λους εται­ρεί­ας με έδρα την Αθήνα κα­τέ­βα­σε ένα αρ­χείο που δεν έπρε­πε. Η ει­σβο­λή έγινε αντι­λη­πτή όταν συ­νά­δελ­φός του δια­πί­στω­σε ότι δεν μπο­ρού­σε να ανοί­ξει κεί­με­να στο Word. Οι τε­χνι­κοί της εται­ρεί­ας απο­συ­νέ­δε­σαν τους υπο­λο­γι­στές από το Δια­δί­κτυο και πε­ριό­ρι­σαν τη δια­σπο­ρά του ιού. Λί­γους μήνες αρ­γό­τε­ρα, η ίδια εται­ρεία στο­χο­ποι­ή­θη­κε ξανά. Υπάλ­λη­λος του λο­γι­στη­ρί­ου έλαβε e-mail που ζη­τού­σε στα αγ­γλι­κά την άμεση εξό­φλη­ση τι­μο­λο­γί­ου. Στο αρ­χείο όμως που είχε επι­συ­να­φθεί κρυ­βό­ταν ένα επι­κίν­δυ­νο λο­γι­σμι­κό. Απο­στο­λή του ήταν να κλει­δώ­σει προ­γράμ­μα­τα και να απαι­τή­σει ψη­φια­κά λύτρα για την απε­λευ­θέ­ρω­σή τους.

Και στις δύο πε­ρι­πτώ­σεις η άμεση αντί­δρα­ση των τε­χνι­κών της εται­ρεί­ας απέ­τρε­ψε την «απα­γω­γή». Αλλοι όμως δεν στά­θη­καν το ίδιο τυ­χε­ροί. Οπως έχει γίνει γνω­στό στην «Κ», ελ­λη­νι­κή εται­ρεία ανα­γκά­στη­κε να πλη­ρώ­σει ψη­φια­κά λύτρα όταν μο­λύν­θη­κε υπο­λο­γι­στής στε­λέ­χους της κατά τη διάρ­κεια τα­ξι­διού. Δεν είχαν κρα­τη­θεί αντί­γρα­φα ασφα­λεί­ας (backup) και η εται­ρεία έκρι­νε ότι τα κλει­δω­μέ­να αρ­χεία της ήταν ιδιαί­τε­ρα ση­μα­ντι­κά και έπρε­πε να ανα­κτη­θούν. Αντί­στοι­χα, εμπο­ρι­κή επι­χεί­ρη­ση κλή­θη­κε να πλη­ρώ­σει 7.000 ευρώ σε ψη­φια­κά λύτρα. Το κα­κό­βου­λο λο­γι­σμι­κό είχε εγκα­τα­στα­θεί στους υπο­λο­γι­στές της όταν κά­ποιος υπάλ­λη­λος κα­τέ­βα­σε αρ­χείο από ιστο­σε­λί­δα πορ­νο­γρα­φι­κού πε­ριε­χο­μέ­νου.

Οι επι­θέ­σεις αυτού του τύπου (με κα­κό­βου­λο λο­γι­σμι­κό που απο­κα­λεί­ται Ransomware) λαμ­βά­νουν ανη­συ­χη­τι­κές δια­στά­σεις στην Ελ­λά­δα, όπως ανα­φέ­ρουν στην «Κ» ει­δι­κοί στον χώρο της ασφά­λειας δι­κτύ­ων. «Υπάρ­χει με­γά­λη έξαρ­ση. Αρ­κε­τές εται­ρεί­ες στον τομέα της χον­δρι­κής πώ­λη­σης έχουν πλη­γεί. Το τε­λευ­ταίο τε­τρά­μη­νο έχου­με πάνω από 15 σχε­τι­κά πε­ρι­στα­τι­κά και σε ξε­νο­δο­χεια­κές μο­νά­δες σε Κρήτη, Ρόδο, Κέρ­κυ­ρα», λέει ο Δη­μή­τρης Πα­πα­μι­χα­ήλ, υπεύ­θυ­νος για την προ­στα­σία και ανά­κτη­ση δε­δο­μέ­νων στην εται­ρεία Northwind.

Εν­δει­κτι­κά, τον Μάρ­τιο η εται­ρεία στην οποία ερ­γά­ζε­ται αντι­με­τώ­πι­σε 292 υπο­θέ­σεις Ransomware στην Ελ­λά­δα, ενώ τον ίδιο μήνα πέ­ρυ­σι κλή­θη­κε να δρά­σει σε 73 αντί­στοι­χα πε­ρι­στα­τι­κά. Πα­ρό­μοιες επι­θέ­σεις έχουν στρα­φεί και κατά δη­μο­σί­ων φο­ρέ­ων και σύμ­φω­να με πλη­ρο­φο­ρί­ες της «Κ» του­λά­χι­στον σε μία πε­ρί­πτω­ση πλη­ρώ­θη­καν λύτρα.

Οι στό­χοι των δρα­στών

Στη λίστα των πλη­γέ­ντων πε­ρι­λαμ­βά­νο­νται συμ­βο­λαιο­γρά­φοι, δι­κη­γό­ροι, για­τροί και μη­χα­νι­κοί. Οι κα­κό­βου­λοι χάκερ κλει­δώ­νουν (κρυ­πτο­γρα­φούν) με­τα­ξύ άλλων πε­λα­το­λό­για, αρ­χεία με οι­κο­νο­μι­κές συ­ναλ­λα­γές, ή άλλα έγ­γρα­φα που μπο­ρεί να έχουν ζω­τι­κή ση­μα­σία για τη δρα­στη­ριό­τη­τα μιας επι­χεί­ρη­σης ή ενός επαγ­γελ­μα­τία. Συ­νή­θως αρ­χεία του Office είναι ο κύ­ριος στό­χος, αλλά αυτό δεν ση­μαί­νει ότι δεν μπο­ρούν να πλη­γούν και άλλα προ­γράμ­μα­τα, ή σκλη­ροί δί­σκοι που είναι συν­δε­δε­μέ­νοι με τον εκτε­θει­μέ­νο υπο­λο­γι­στή. Σε μή­νυ­μά τους με οδη­γί­ες κα­τα­βο­λής των λύ­τρων οι δρά­στες υπό­σχο­νται ότι μετά την πλη­ρω­μή θα στεί­λουν το κλει­δί απο­κρυ­πτο­γρά­φη­σης για την απε­λευ­θέ­ρω­ση των αρ­χεί­ων.

_{Αυτό το μή­νυ­μα εμ­φα­νι­ζό­ταν και σε χρή­στες στην Ελ­λά­δα που είχαν μο­λυν­θεί από τον συ­γκε­κρι­μέ­νο ιό.}

Η έδρα των επι­τι­θέ­με­νων δεν γί­νε­ται πά­ντο­τε γνω­στή. Εχει δια­πι­στω­θεί όμως –και από κρού­σμα­τα σε άλλες χώρες– ότι κά­ποιες επι­θέ­σεις εκ­πο­ρεύ­ο­νται από σέρ­βερ στην Ου­κρα­νία, τη Ρωσία ή την Κίνα. Τα λύτρα συ­νή­θως ζη­τού­νται σε bitcoin, τύπο ψη­φια­κού νο­μί­σμα­τος που μπο­ρεί εύ­κο­λα να ξε­πλυ­θεί στο Δια­δί­κτυο ώστε να μη φαί­νε­ται η προ­έ­λευ­σή του. «Σε εται­ρι­κό επί­πε­δο συ­νή­θως οι δρά­στες ζη­τούν 5-10 bitcoins», λέει ο Κων­στα­ντί­νος Βα­βού­σης από την εται­ρεία Trust-IT που χει­ρί­ζε­ται υπο­θέ­σεις αντι­με­τώ­πι­σης Ransomware. Αυτή την πε­ρί­ο­δο ένα bitcoin αντι­στοι­χεί σε λίγο πε­ρισ­σό­τε­ρο από 1.100 ευρώ.

Δεν απο­κλεί­ε­ται πά­ντως οι πλη­γέ­ντες να δια­πραγ­μα­τευ­τούν με τους δρά­στες, μια δια­δι­κα­σία που μπο­ρεί να διαρ­κέ­σει αρ­κε­τές εβδο­μά­δες. Ο Νίκος Γε­ωρ­γό­που­λος από την εται­ρεία ασφά­λι­σης Cyberinsurance θυ­μά­ται σχε­τι­κό πε­ρι­στα­τι­κό με επαγ­γελ­μα­τία που κα­τά­φε­ρε να ρίξει τα 7 bitcoins σε 3 χρη­σι­μο­ποιώ­ντας ως επι­χεί­ρη­μα την οι­κο­νο­μι­κή κρίση. Τε­λι­κά δεν πλή­ρω­σε ούτε αυτό το ποσό, καθώς απο­φά­σι­σε να χρη­σι­μο­ποι­ή­σει πα­λιό­τε­ρο backup. Ο κ. Γε­ωρ­γό­που­λος δρα­στη­ριο­ποιεί­ται σε έναν σχε­τι­κά νέο κλάδο στην Ελ­λά­δα, που με­τα­ξύ άλλων πα­ρέ­χει πρό­σθε­τη ασφα­λι­στι­κή κά­λυ­ψη σε εται­ρεί­ες για πε­ρι­στα­τι­κά κυ­βερ­νο­εκ­βια­σμού.

«Οι Ransomware επι­θέ­σεις ενα­ντί­ον επι­χει­ρή­σε­ων αυ­ξά­νο­νται επει­δή οι ψη­φια­κοί εγκλη­μα­τί­ες γνω­ρί­ζουν ότι οι ορ­γα­νι­σμοί είναι πιο πι­θα­νό να πλη­ρώ­σουν λύτρα», δη­λώ­νει στην «Κ» ο David Emm, βα­σι­κός ερευ­νη­τής ασφα­λεί­ας της εται­ρεί­ας Kaspersky Lab. Η εται­ρεία του συ­νερ­γά­ζε­ται με τη Europol στην πρω­το­βου­λία «No More Ransom» προ­σφέ­ρο­ντας δη­μο­σί­ως κλει­διά απο­κρυ­πτο­γρά­φη­σης ιών που χρη­σι­μο­ποιούν οι δρά­στες. Ενα από αυτά τα κλει­διά χρη­σί­μευ­σε και σε συμ­βο­λαιο­γρά­φο ελ­λη­νι­κού νη­σιού, τα αρ­χεία του οποί­ου είχαν κλει­δω­θεί και τε­λι­κά δεν χρειά­στη­κε να κα­τα­βά­λει λύτρα. Μέσα στο 2017 πά­ντως χτυ­πή­θη­κε εται­ρεία στη Βό­ρεια Ελ­λά­δα που τε­λι­κά πλή­ρω­σε 10 bitcoin στους δρά­στες καθώς δεν μπό­ρε­σε να ανα­κτή­σει τα δε­δο­μέ­να της.

Θω­ρά­κι­ση απέ­να­ντι στις επι­θέ­σεις

«Οι μι­κρο­με­σαί­ες επι­χει­ρή­σεις μπο­ρεί να δί­νουν έμ­φα­ση στην πα­ρα­γω­γή, αλλά και η ψη­φια­κή ασφά­λεια είναι ση­μα­ντι­κή. Πρέ­πει να κρα­τούν αντί­γρα­φα ασφα­λεί­ας και να ενη­με­ρώ­νουν τα λο­γι­σμι­κά τους. Απώ­λειες σε δύο-τρεις συ­ναλ­λα­γές μπο­ρεί να απο­βούν κα­θο­ρι­στι­κές για τη βιω­σι­μό­τη­τά τους», λέει στην «Κ» ο επι­κε­φα­λής της Δί­ω­ξης Ηλε­κτρο­νι­κού Εγκλή­μα­τος της ΕΛ.ΑΣ. Γιώρ­γος Πα­πα­προ­δρό­μου. Πέ­ρυ­σι η υπη­ρε­σία του σχη­μά­τι­σε 891 δι­κο­γρα­φί­ες για υπο­θέ­σεις οι­κο­νο­μι­κής φύ­σε­ως, ενώ το 2015 δεν ξε­περ­νού­σαν τις 510. Σε αυτές πε­ρι­λαμ­βά­νο­νταν και επι­θέ­σεις για ψη­φια­κά λύτρα.

Ο ερευ­νη­τής ασφα­λεί­ας δι­κτύ­ων Αν­δρέ­ας Βε­νιέ­ρης λέει ότι το τε­λευ­ταίο διά­στη­μα έχει δια­δο­θεί η χρήση κα­κό­βου­λου λο­γι­σμι­κού που πω­λεί­ται ή ενοι­κιά­ζε­ται στους δρά­στες (ένα εξ αυτών κο­στο­λο­γεί­ται προς 1.000 ευρώ τον χρόνο). Αυτή η τα­κτι­κή απο­κα­λεί­ται «Ransomware-as-a-Service» και απευ­θύ­νε­ται σε εγκλη­μα­τί­ες που δεν έχουν τις ικα­νό­τη­τες, τους πό­ρους ή τη διά­θε­ση για να ανα­πτύ­ξουν δικό τους λο­γι­σμι­κό.

«Οι προ­γραμ­μα­τι­στές προ­σφέ­ρουν το κα­κό­βου­λο προ­ϊ­όν τους ”κατά πα­ραγ­γε­λία”, που­λώ­ντας απο­κλει­στι­κά τρο­πο­ποι­η­μέ­νες εκ­δό­σεις σε πε­λά­τες οι οποί­οι στη συ­νέ­χεια τις δια­νέ­μουν μέσω spam ιστο­σε­λί­δων, πλη­ρώ­νο­ντας προ­μή­θεια στο δη­μιουρ­γό», εξη­γεί ο κ. Emm.

_{Ransomware προς πώ­λη­ση στο «Σκο­τει­νό Δια­δί­κτυο».}

Ο ερευ­νη­τής ασφα­λεί­ας δι­κτύ­ων Δη­μή­τρης Σια­τή­ρας, όπως και ο κ. Βα­βού­σης, επι­ση­μαί­νει ότι η κα­τα­βο­λή των λύ­τρων δεν απο­τε­λεί εν­δε­δειγ­μέ­νη λύση. Κα­νείς δεν εγ­γυά­ται ότι οι απα­γω­γείς θα στεί­λουν το κλει­δί απο­κρυ­πτο­γρά­φη­σης ή ότι δεν θα χτυ­πή­σουν ξανά στο μέλ­λον. Οπως το­νί­ζει, εται­ρεί­ες και ιδιώ­τες πρέ­πει να έχουν προ­βεί σε όλες τις απα­ραί­τη­τες ανα­βαθ­μί­σεις ασφα­λεί­ας στα συ­στή­μα­τά τους για να εξα­σφα­λί­σουν σε ση­μα­ντι­κό βαθμό τη θω­ρά­κι­σή τους.

Ο κ. Πα­πα­μι­χα­ήλ που ερ­γά­ζε­ται στην ανά­κτη­ση δε­δο­μέ­νων, πα­ρα­τη­ρεί ότι το 2016 και τους πρώ­τους μήνες του 2017 οι τύποι Ransomware με τη με­γα­λύ­τε­ρη διά­δο­ση στην Ελ­λά­δα ήταν οι «Locky», «Dharma» και «Cerber». Σε μία από τις πιο ανη­συ­χη­τι­κές επι­θέ­σεις που θυ­μά­ται, οι δρά­στες μό­λυ­ναν υπο­λο­γι­στές εται­ρεί­ας απει­λώ­ντας ότι θα δια­γρά­ψουν δε­δο­μέ­να εάν δεν πλη­ρω­θούν σε δύο ημέ­ρες. Το ση­μεί­ω­μά τους ήταν γραμ­μέ­νο στα τουρ­κι­κά. «Στεί­λα­με δύο μη­χα­νι­κούς και κα­τα­φέ­ρα­με να ανα­κτή­σου­με τα αρ­χεία προ­τού εκ­πνεύ­σει η διο­ρία», λέει.