Czym jest Ransomware?

Ransomware ewoluowało od oportunistycznych ataków na osoby prywatne do wyrafinowanego przemysłu przestępczego celującego w przedsiębiorstwa, szpitale i agencje rządowe. Nowoczesne operacje ransomware często stosują model „podwójnego wymuszenia": atakujący najpierw eksfiltrują wrażliwe dane, a następnie szyfrują systemy ofiary. Jeśli ofiara odmawia zapłaty za odszyfrowanie, atakujący grożą opublikowaniem skradzionych danych. Niektóre grupy dodały trzecią warstwę, uruchamiając ataki DDoS podczas negocjacji.

Inicjalnym wektorem infekcji często jest e-mail phishingowy, skradzione poświadczenia lub wykorzystanie niezałatanych podatności w usługach wystawionych na internet. Po wejściu do sieci atakujący przemieszczają się lateralnie, eskalują uprawnienia, wyłączają kopie zapasowe i wdrażają ładunek ransomware na jak największej liczbie systemów jednocześnie. Szyfrowanie używane przez ransomware jest prawdziwe: bez klucza atakującego odzyskanie jest często niemożliwe.

Obrona wymaga kompleksowego podejścia: regularnego łatania, segmentacji sieci, niezmiennych kopii zapasowych offline, wykrywania punktów końcowych, dostępu z minimalnym zakresem uprawnień i planowania reakcji na incydenty. Zmniejszenie ilości wrażliwych danych przechowywanych w trwałej postaci — szczególnie poświadczeń i sekretów w e-mailach, dokumentach i dziennikach czatów — ogranicza zarówno dźwignię, jaką atakujący mają do wymuszania, jak i szkody wynikające z eksfiltracji danych.

Jak Vaulted używa Ransomware

Vaulted zmniejsza wrażliwe dane dostępne dla operatorów ransomware eksfiltrujących dane przed zaszyfrowaniem systemów. Sekrety udostępniane przez Vaulted są efemeryczne: niszczą się same po ograniczonej liczbie wyświetleń i wygasają automatycznie. W odróżnieniu od haseł przechowywanych w e-mailach lub udostępnionych dokumentach, które trwają bezterminowo i są wartościowymi celami podczas eksfiltracji danych, linki Vaulted nie pozostawiają możliwego do odzyskania jawnego tekstu na serwerze. Architektura zero-knowledge oznacza, że nawet skompromitowany serwer dostarcza atakującym jedynie zaszyfrowane bloby, których nie mogą odszyfrować.