Waarom moeten bedrijven zich beschermen tegen Ryuk-ransomware?

Ransomware is een vorm van malware waarmee aanvallers versleutelingstechnieken kunnen gebruiken om hele netwerken te infecteren (inclusief bestanden en bijbehorende apparaten). Deze worden dan ontoegankelijk voor het doelbedrijf totdat er losgeld wordt betaald. Het geëiste losgeld is meestal een vorm van cryptovaluta, zoals Bitcoin, en kan duizenden, zo niet miljoenen dollars bedragen. In 2019 bedroeg de gemiddelde losgeldbetaling $ 12.762 en bedroegen de gemiddelde kosten van downtime als gevolg van ransomware $ 64.645 per bedrijf in slechts één kwartaal.

Aanvallers richten zich vooral op grote organisaties of bedrijven met zeer gevoelige, kritieke bedrijfsmiddelen, zoals ziekenhuizen. Deze techniek wordt ook wel 'jacht op groot wild' genoemd. In tegenstelling tot andere vormen van ransomware richten cybercriminelen die Ryuk-malware gebruiken zich ook op specifieke personen en infiltreren ze de bedrijfsnetwerken handmatig. Met behulp van opensourcetools die op het netwerk beschikbaar zijn, verzamelen aanvallers gevoelige gegevens en krijgen ze toegang tot veel gebieden van het bedrijf. Zo bouwen ze gedetailleerde kennis op van de interne bedrijfsvoering.

Ryuk-ransomware, gebaseerd op de oudere ransomware Hermes, werd voor het eerst geïdentificeerd in 2018. Er wordt algemeen aangenomen dat Ryuk aangepast en ontwikkeld is door een cybercriminele organisatie in Rusland. Sinds 2019 hebben criminele groeperingen het aantal aanvallen opgevoerd en miljoenen dollars aan losgeld losgepeuterd van financiële instellingen, ziekenhuizen en zelfs lokale overheden.

Zodra de aanvaller uw netwerk en serverbeveiliging is binnengedrongen met Ryuk-ransomware, kunnen net als bij Locky-ransomware, Cerber-ransomware en REvil/Sodinokibi-ransomware 180 services en 40 processen worden uitgeschakeld die uw systeem nodig heeft om te werken. Hierdoor wordt uw kritieke informatie versleuteld.

Zodra uw bestanden zijn versleuteld, verwijdert Ryuk-ransomware de originele kopieën en eventuele schaduwkopieën met behulp van een .BAT-bestand. Zo hebben slachtoffers geen kans om hun gegevens terug te krijgen.

Ryuk gebruikt zowel symmetrische als asymmetrische versleutelingsalgoritmen om bestanden te versleutelen. Deze methode is vergelijkbaar met die van Petya- en Mischa-ransomware, die verschillende methoden gebruikt om gebruikersgegevens te versleutelen.

De Ryuk-ransomware is gericht op alle bestanden en toepassingen in het netwerk. Zodra de ransomware zijn doel heeft bereikt, wordt in elke map een tekstbestand geplaatst met de naam RyukReadMe.txt. Hierin staan de details van het losgeldverzoek. De cyberdieven beweren vervolgens dat het slachtoffer de bestanden na betaling van het losgeld kan terugkrijgen met een kopie van de versleutelingscode.

Aangezien het aantal aanvallen met Ryuk-ransomware blijft toenemen, moeten overheden en bedrijven waakzaam blijven. Enkele bekende Ryuk-aanvallen sinds 2018 zijn:

• Ziekenhuizen in de VS, Duitsland en het VK (2019-2020): Verschillende ziekenhuizen in deze landen waren het slachtoffer van herhaalde aanvallen van Ryuk-malware. In september 2020 werd Universal Health Services (UHS), die faciliteiten beheert in het Verenigd Koninkrijk en de Verenigde Staten, getroffen door Ryuk-malware. Het incident kostte het bedrijf 67 miljoen dollar en het duurde een maand voordat alle activiteiten weer voortgezet konden worden. In september 2020 werd ook een netwerk van meer dan 400 ziekenhuizen in de VS en het VK getroffen door Ryuk-malware. Hierbij ging het om alle 250 faciliteiten in de VS in een van de grootste medische Ryuk-aanvallen tot nu toe. Ryuk-malware was naar verluidt verantwoordelijk voor 75% van de aanvallen op de gezondheidszorg in de VS in oktober 2020.
• Lake City, Florida (2019): Nadat een werknemer een e‑mail opende met een vorm van Ryuk-malware, werden de IT-systemen van de stad in de greep van criminelen gehouden voor een losgeld van $ 460.000. De burgemeester van Lake City bevestigde dat het stadsbestuur aan het losgeldverzoek had voldaan om weer toegang te krijgen tot zijn activiteiten.
• City of Onkaparinga, Zuid-Australië (2019): In december 2019 werden de IT-systemen van de Onkaparinga Council in Adelaide geïnfecteerd met Ryuk-ransomware, wat tot een week productiviteitsverlies leidde.
• EMCOR (2020): In februari meldde het Fortune 500-bedrijf EMCOR dat verschillende IT-systemen waren getroffen door een aanval van Ryuk-malware. Het bedrijf heeft niet bevestigd of er losgeld is betaald.