Nu sprids Spora och ransomworms

Säkerhetsåret 2017 har inletts med mycket snack om det nya ransomwaret Spora samt om ransomworms som verkar bli allt vanligare. På säkerhetsföretaget Check Point är Magnus Sköld Threat Prevention Security engineer, och han är smått förbluffad över Sporas effektivitet. 

– Spora är väldigt sofistikerat genomarbetat och har en krypteringsrutin som känns felfri. Utmärkande för Spora är också att det fungerar offline och kan kryptera filer direkt utan att behöva ta kontakt med någon, vilket gör det svårare för säkerhetssystem att då gå in och blockera. Man måste förlita sig till det lokala skyddet på klienten.

Tillvägagångssättet för Sporas spridning är via email. Det skickas iväg ett mail som innehåller en zip-fil som i sin tur innehåller en hta-fil med dubbel filändelse för att gömma den sista ändelsen, vilket på så sätt får filen att se ut som ett vanligt dokument. Filen packar sedan upp ett Java Script som packar upp en exekverbar fil som traditionella antivirus aldrig kan hitta på grund av att den har randomiserat namn och annan hash. När Spora väl övertagit datorn så är det väldigt noga med vad det krypterar och rör aldrig något som kan påverka stabiliteten i datorn, såsom Windows-katalogen, programfiler och så vidare.

– Deras dekrypteringssida är i sin tur en SSL-baserad sajt skyddad av en TOR-gateway. Sidan är hur snyggt gjord som helst och ser ut som en vanlig kommersiell sajt. Betalningen är inte standardiserad utan anpassas unikt efter informationen de kommit åt, ska man återskapa vissa dokument kostar det en viss summa, ska man återskapa hela datorn kostar det lite mer, och så vidare.

– Man kan även lägga till en försäkring som innebär att Spora aldrig hackar dig igen. Det finns också en chatfunktion där man kan diskutera problemen och där de är väldigt hjälpsamma med betalningen, som i sig sker via bitcoins.

Bara drabbat Ryssland 

I dagsläget har Spora endast drabbat Ryssland men det är bara en tidsfråga innan det sprider sig, menar Magnus Sköld. 

– Jag tror att de kör en gigantisk proof of concept nu i Ryssland där hackarna försöker finputsa produkten och förbättra programvaran innan de går globalt, vilket kommer att ske snart. Man kan se att det inte är några nybörjare som skapat Spora utan de har tagit pusselbitar från olika ransomware och byggt vad man själv tycker är den ultimata ransomwaren. Vi har överhuvudtaget inte lyckats hitta några svagheter, än.

En annan snackis under början av året har varit ransomworms. De första varianterna av ransomworms kom egentligen under 2016 och innebär ett ransomware som sprids per automatik - likt en mask. Dessa blir vanligare på grund av att allt fler företag och privatpersoner fått en högre medvetenhet om ransomware och på så vis har hackarna fått svårare att ta sig in och tjäna pengar.

– Hackarna har börjat leta efter andra sätt att distribuera sitt ransomware, och med ransomworms kan det räcka med att en person klickar på fel fil för att hela företagets datorer ska bli krypterade. Och det blir ju en viss skillnad i proportioner för ett företag på 5000 anställda om en dator blir hackad eller om alla 5000 datorerna blir det.

Skydda molnet

Magnus Sköld ser även två andra potentiella förändringar inom säkerhetsbranschen under 2017. Den första rör betalningen efter att man blivit hackad och den andra rör molnet.

– Jag tror att innan hackarna krypterar din data med ransomware så kommer de stjäla den för att på så sätt ha en form av försäkring att du på något sätt måste betala. Om du exempelvis lyckas återställa din data på egen hand genom backup kommer de ändå kräva en ransom för att de inte ska distribuera datan till andra, de håller helt enkelt din data som gisslan. Att det inte är vanligare redan nu förvånar mig faktiskt.

– Jag tror också att det blir vanligare att hackarna fokuserar hårdare på data i molnet där företagen generellt har sämre backups. Där finns en stor affärsmöjlighet för dem och jag tror det är något av en tickande bomb.