Jakub Souček

Team Coordinator & Malware Analyst společnosti ESET

V celosvětovém boji proti ransomwaru jsme mohli v roce 2024 sledovat dosažení dvou milníků - dva dříve největší ransomwarové gangy, LockBit a BlackCat, zmizely ze scény. A poprvé od roku 2022 jsme zaznamenali, že finanční náklady spojené s útoky ransomwarem výrazně klesly, a to o 35 %, což je v tomto kontextu ohromující číslo. Na druhou stranu ale podle webových stránek, které veřejně publikují informace o útocích a únicích dat, vzrostl zaznamenaný počet obětí přibližně o 15 %. Velkou část tohoto nárůstu má na svědomí právě RansomHub, nový gang fungující v modelu RaaS.

Jedná se o model fungování útočníků v ekosystému operátorů (autorů) ransomwaru, partnerů, kteří si škodlivý kód pronajímají a útočí na vybrané cíle, a tzv. infiltrátorů, kteří zajistí partnerům přístup k lukrativním cílům. Gang RansomHub se objevil přibližně ve stejné době, kdy se orgánům činným v trestním řízení podařilo v mezinárodní operaci Cronos narušit aktivity gangu LockBit.

Dynamicky se proměňující ransomwarové prostředí samozřejmě není dobrou zprávou pro firmy a instituce, které se této neustále přítomné hrozbě musí přizpůsobovat, zvlášť pokud spadají do oblasti kritické infrastruktury.

Reakci lze vidět i v legislativní oblasti, kde v České republice na boj s touto hrozbou klade důraz například i nový Zákon o kybernetické bezpečnosti.

Útoky ransomwarem se stávají stále sofistikovanějšími. Útočníci se snaží narušit každý aspekt bezpečnostní stability, kterou firma má. Klíčovým prvkem těchto útoků je zašifrování, které zablokuje firmě přístup k jejím podnikovým systémům, naruší její procesy s významnými dopady do jejích nákladů, a nakonec ji nutí zaplatit za dešifrování jejích systémů. V roce 2024 útočníci dokonce poprvé požadovali za zpřístupnění dat rekordní částku 100 milionů dolarů.

Útočníci jdou tak daleko, že cílí i na zálohy systémů, které mažou nebo poškozují. Běžnou součástí útoků ransomwarem jsou i škodlivé kódy, které se snaží vypnout bezpečnostní řešení. Nenechávají nic náhodě. Obnova je pak často nemožná a náklady na odstranění následků útoku se zvyšují.

S tím, jaký vývoj v případě ransomwaru sledujeme, je tak stále reálnější hrozbou pro firmy a organizace bez ohledu na jejich velikost. Alarmujícím trendem roku 2024 byl např. celosvětový rapidní růst útoků na sektor zdravotnictví a je bohužel možné, že tento trend bude pokračovat i v roce 2025.

Českých uživatelů jsme se letos ptali také na jejich oblibu známého čínského internetového tržiště Temu, které se stalo v posledních měsících předmětem mnoha diskusí o bezpečnosti a o kvalitě zboží, které nabízí. Zkušenost s nákupem na Temu má podle našeho průzkumu zhruba třetina dotázaných (32 %), z nichž 7 % uvedlo, že zde nakupuje často. Je nicméně také zajímavé, že čtvrtina dotázaných uváděla, že jim nakupování na Temu nepřijde bezpečné (23 %), nebo že tam nenakupují kvůli tomu, že jim zboží nepřijde kvalitní (24 %).

Především v případě nákupní aplikace Temu vždy uživatele upozorňujeme, aby zvážili její používání. Mnoho lidí je přesvědčeno, že jejich data přece nikoho nebudou zajímat. Bohužel tomu tak není. Data každého z nás mohou dále sloužit např. k vytváření agresivní cílené reklamy nebo ke zneužití identity, a to nejen v případě využívání konkrétně této nákupní aplikace.

Temu může nicméně údaje o uživateli a o zařízení sdílet se třetími stranami, např. se svými přidruženými společnostmi, a pokud tyto přidružené společnosti sídlí v Číně, bude nakládání s daty uživatelů podléhat tamější legislativě.

Nevíme, jak jsou data u těchto společností dále zpracovávaná, a nemusí s nimi být nakládáno v souladu s evropskými principy a standardy zpracování dat.

Ransomware je jednou z největších crimeware hrozeb nejen ve světě, ale i v Česku, kde jsou dlouhodobě nejohroženějšími oblastmi zdravotnictví, školství a veřejná správa. Cílem těchto útoků je již tradičně finanční zisk. Z povahy věci tak velké a sofistikované gangy útočí především na velké organizace, malé a střední podniky jsou naopak zajímavými cíli pro menší a méně zkušené gangy. Tyto organizace a firmy totiž většinou nedisponují robustní ochranou a procesy pravidelných bezpečnostních aktualizací, které by je mohly před těmito útoky účinně ochránit.

Podle našich pravidelných průzkumů patří únik nebo krádež dat mezi hrozby, kterých se firmy v Česku obávají nejvíce - s pokusem o útok ransomwarem se každý měsíc setká až desítka z nich. V případě gangu CosmicBeetle by pak firmy a organizace určitě neměly podcenit adekvátní ochranu před ransomwarem.

Jelikož se jedná o mladého aktéra, který své škodlivé kódy a nástroje neustále vyvíjí, nedá se spolehnout na to, že budou vždy správně fungovat. Obnova dat pak nemusí být ani při zaplacení zaručena a nejlepší obranou je tak prevence.

Nový tým, který se v pražské výzkumné pobočce v posledních měsících formoval, se aktivně zaměří na kyberkriminální aktivity a metody vedení útoků, a to nejen v Česku, ale po celém světě, protože kybernetické hrozby nerespektují státní hranice. Svou odborností budeme moct přispět nejen ke zlepšení našich detekčních technologií a ochrany pro naše zákazníky, ale také prohloubit celkové povědomí o takových hrozbách pro širokou veřejnost.

Mezi kybernetické hrozby, které označujeme termínem crimeware, patří velké kyberútoky, nejčastěji s cílem finančního zisku. Gangy, které za nimi stojí, zpravidla nebývají sponzorované státy, narozdíl od APT skupin.

Z oblasti crimewaru je největší hrozbou dlouhodobě ransomware - podle našich dat posiloval v posledním roce o více než 50 % a rozhodně se nejedná o hrozbu, která by byla na ústupu.