Ransomware zašifroval Windows Server i zálohu malé stavební firmy

Malá stavební firma odmítla nabídku bezpečnostních služeb společnosti Intrust IT. O tři týdny později ransomware zašifroval nezáplatovaný Windows Server i připojenou zálohu. Firma během několika měsíců skončila.

Případ se odehrál před několika lety a popsal ho bezpečnostní konzultant Dave Hatter. Nový finanční ředitel chtěl Intrust IT najmout, majitel však nabídku odmítl. Domníval se, že firma není pro útočníky zajímavá a že jí stačí jeden člověk na IT.

Na serveru firma uchovávala svá nejdůležitější data. Externí disk se zálohou zůstal připojený ke stejnému serveru, takže ransomware zašifroval i jeho obsah. Firma poté nemohla vyplatit zaměstnancům mzdy ani dohledat faktury, které zákazníci nezaplatili. Hatter neuvedl jméno firmy ani to, zda zaplatila výkupné.

Konzultant popsal také phishingový útok při komunikaci dvou firem ze stavebnictví a zahradních služeb. Útočníci ovládli e-mail vedoucího pracovníka jedné z firem a jeho jménem rozesílali věrohodné žádosti o nabídku. Odkaz v e-mailu vedl na falešnou přihlašovací stránku Microsoft 365.

Oběť zadala heslo i jednorázový SMS kód pro vícefaktorové ověření. Útočníci údaje okamžitě předali skutečné službě Microsoft 365 a získali přístup k účtu. Software TarBot využívající Microsoft Entra ID P2 neobvyklé přihlášení rozpoznal, zrušil přístupový token a během několika minut útočníky odpojil.

Neznáme cenu odmítnuté nabídky, výši škody ani náklady na TarBot a Microsoft Entra ID P2, takže z případů nelze srovnávat návratnost jednotlivých služeb. V prvním případě však ransomware dosáhl na data i trvale připojenou zálohu. Ve druhém SMS kód nezabránil převzetí účtu, přístup útočníků ukončil až bezpečnostní software, který rozpoznal neobvyklé přihlášení.