Рансъмуерът е много по-малко плашещ, когато знаете, че можете да се възстановите.

Ето защо киберпрестъпниците насочват вниманието си към криптиране на архивните копия (бекground/backups). Те изтриват точките за възстановяване и нарушават инфраструктурата, необходима за възстановяване на криптираните данни. След като този път за възстановяване изчезне, натискът за плащане на откуп се увеличава рязко.

За ИТ лидерите урокът е неудобен, но прост. Архивната копийна система е предпазна мрежа само ако атакуващият не може да достигне до нея.

Как изглеждат атаките срещу инфраструктурата за архивиране

Групите за рансъмуер са открили няколко начина за неутрализиране на архивните копия и методите им стават все по-целенасочени.

Рансъмуер групата ALPHV/BlackCat

През февруари 2024 г. рансъмуер групата ALPHV/BlackCat криптира системите на Change Healthcare, след като проби през портал за дистанционен достъп без многофакторна автентификация. Архивните копия не бяха изолирани или достатъчно устойчиви, за да възстановят операциите бързо.

UnitedHealth плати 22 милиона долара откуп и въпреки това не получи данните си обратно. Общите разходи за възстановяване достигнаха приблизително 1.6 милиарда долара.

Рансъмуерът BlackMatter

Групата BlackMatter превърна унищожаването на архивните копия в своя стандартна оперативна процедура. Когато засегнаха NEW Cooperative (доставчик на селскостопански услуги в Айова) и Crystal Valley (селскостопанска кооперация в Минесота) през 2021 г., те използваха компрометирани администраторски идентификационни данни, за да открият всяко хранилище за архиви и устройство в мрежата — след което ги изтриха или форматираха, преди да криптират всичко останало. Тъй като архивните копия бяха в същата мрежа, те бяха лесна мишена.

CISA, ФБР и НСУ съвместно документираха тази тактика, отбелязвайки, че групата е искала плащания на откуп вариращи от 80 000 до 15 милиона долара в Bitcoin и Monero.

Рансъмуерът Gunra

Рансъмуерът Gunra, документиран в съвместен бюлетин на CISA и ФБР през август 2026 г., отиде още по-далеч в тази логика. В един потвърден случай атакуващите изтриха архивни и архивирани данни както в основния център за данни на организацията, така и в нейния сайт за възстановяване при бедствия.

Един единствен набор от откраднати идентификационни данни бе достатъчен за достигане и до двете места. Наличието на две копия на две различни места не означаваше нищо, защото и двете локации се доверяваха на един и същ ключ.

Защита на пътя за възстановяване

Атаките по-горе показват проста промяна в начина, по който трябва да се мисли за стратегията за архивиране. Не питайте само колко копия имате или къде се съхраняват. Попитайте какво свързва тези копия, кой може да ги администрира и дали компрометиран акаунт би могъл да достигне до всички тях.

Вашата стратегия за възстановяване трябва да предполага, че атакуващите ще се опитат да унищожат пътя за изход. Изолирайте критичните архивни копия от продукционната среда, ограничете администраторския достъп и се уверете, че няма единична компрометирана самоличност или път, който може да изтрие всяко копие за възстановяване.

Вашето архивно копие е толкова сигурно, колкото е сигурно това, което се свързва с него

Групите за рансъмуер сега се насочват първо към инфраструктурата за архивиране — изтривайки точките за възстановяване, преди да криптират всичко останало.

Нашият доклад, Building Security That Survives Human Error, разкрива какво спира организациите от преодоляване на пропуските и върху какво се фокусират водещите ИТ екипи на първо място.

Финансовата реалност при загуба на архивните копия

Разликата в разходите между възстановяване с непокътнати архивни копия и без тях е разликата между управляемо смущение и събитие, застрашаващо бизнеса.

Докладът на IBM за разходите при пробив на данни за 2025 г. (IBM's 2025 Cost of a Data Breach Report) определя средните разходи за инцидент с рансъмуер на 5.08 милиона долара. Но финансовата щета е само част от картината.

Проучването на IBM за 2026 г. установи, че 41% от инцидентите с рансъмуер включват и заплахи за увреждане на репутацията на марката на жертвата, което показва колко бързо въздействието може да се разпростре от блокирани системи до загубено доверие на клиентите.

Ако атакуващите унищожат архивните копия, те отнемат лоста за влияние, който позволява на организациите да откажат плащането на откуп.

Защо това продължава да се случва

Тези атаки са склонни да разкриват едни и същи слабости. Средата за възстановяване може и да съществува, но сигурността около нея често е по-малко зряла от тази, защитаваща продукционните системи.

  • Архивните копия споделят една и съща мрежа и идентификационни данни: Ако едни и същи администраторски акаунти имат достъп както до продукционните системи, така и до архивните копия, атакуващ, който компрометира един от тези акаунти, може да достигне и до двете среди. Истинската изолация изисква обмислена архитектура.
  • Софтуерът за архивиране се актуализира последен: Атаката срещу авиокомпанията с рансъмуер Akira се възползва от уязвимост, за която имаше налична корекция за сигурност от повече от година. На сървърите за архивиране често се гледа като на хардуерни устройства, а не като на софтуерни системи, което означава, че за тях се инсталират корекции за сигурност накрая или изобщо не се инсталират. Атакуващите внимателно следат какво остава коригирано и какво не.
  • Мониторингът рядко се разпростира върху инфраструктурата за архивиране: Екипите по сигурността концентрират откриването и известяването върху продукционните среди. Сървърите за архивиране често имат минимално логоване, по-слаб контрол на достъпа и по-бавни процеси за реагиране. Те се наблюдават по-малко внимателно, което ги прави по-тиха среда за работа на злонамерените субекти.
  • По-дълбоката бариера са ресурсите: Това да знаете как изглежда добрата сигурност на архивните копия и да разполагате с бюджета, обучения персонал и оперативния капацитет да я внедритe, са два различни проблема. Много ИТ екипи и MSP доставчици работят при недостиг и на трите. Те разбират уязвимостта, но просто не могат да я отстранят достатъчно бързо.

Какво изисква преодоляването на пропуските

Изисква се третиране на средата за възстановяване като критична инфраструктура.

  • Неизменяемо хранилище (immutable storage) като базова линия: Неизменяемите архивни копия, които не могат да бъдат променяни или изтривани — дори от някой с администраторски права — фундаментално променят изчисленията на атакуващия. Повечето съвременни облачни платформи за съхранение поддържат функции за заключване на обекти (object lock), които постигат това. Сега това е минимално изискване, а неขั้น напреднала мярка.
  • Истинска мрежова изолация и изолация на идентификационните данни: Архивна среда, която споделя мрежов достъп и идентификационни данни с продукционната, не е съществено отделена. Правилната изолация държи архивните данни извън обсега дори след компрометиране на мрежата. Многофакторната автентификация и контролът на достъпа на базата на роли (RBAC) за инфраструктурата за архивиране добавят още един слой на затруднение, който значително забавя авторите на заплахи.
  • Инсталиране на корекции за сигурност за архивиращия софтуер със същата спешност като за продукционните системи: Това изисква дисциплина, а не нови инструменти. Платформите за архивиране трябва да бъдат изрично включени в цикъла за обновяване, а не да се третират като изключения.
  • Тестване на възстановяването, а не само на архивирането: Нетестваното архивно копие е просто предположение. Редовното тестване на възстановяването — идеално включващо симулации на сценарии за атака — изважда наяве пропуските, преди атакуващите да го направят. Организациите, които откриват неуспехи във възстановяването по време на действителен инцидент, нямат време да ги коригират.

Пропастта между информираността и действията

Предизвикателството да се защитят архивните копия показва по-широк проблем в киберсигурността. Повечето организации разбират риска от атака. Те може да знаят, че се нуждаят от по-силна изолация, по-добър мониторинг или по-устойчиво възстановяване, но им липсват бюджетът, персоналът или оперативният капацитет да внедрят тези защити.

Почти 77% от ИТ организациите, анкетирани за нашия доклад за киберсигурност Building Security That Survives Human Error, казват, че техните инвестиции в киберсигурност не се движат с темпото на заплахите, пред които са изправени. Сред MSP доставчиците 65% казват, че техните клиенти инвестират недостатъчно в киберсигурност.

Резултатът е познато напрежение. Екипите по сигурност знаят какво изисква внимание, но ограничените ресурси ги принуждават да правят трудни избори за това върху какво да се фокусират първо.

Въз основа на отговори от над 1 100 ИТ и киберспециалисти, докладът разглежда натиска зад тези избори — от човешка грешка и недостатъчни инвестиции до недостиг на персонал и оперативни трудности.

Ако вашият екип знае къде трябва да се подобри, но се бори да реализира тези подобрения, нашият доклад предлага по-близък поглед върху това какво пречи и къде организациите фокусират усилията си.

Спонсорирано и написано от Kaseya.