De afgelopen weken zijn meer dan tien Zwitserse bedrijven het slachtoffer van ransomware geworden omdat ze waarschuwingen negeerden en hun it-beveiliging niet op orde hebben. Dat stelt de Zwitserse overheidsinstantie MELANI (Melde- und Analysestelle Informationssicherung). Zowel mkb-bedrijven als grote ondernemingen in Zwitserland werden door ransomware getroffen. Voor het ontsleutelen vroegen aanvallers soms miljoenen euro's.

Onderzoek van MELANI naar de getroffen bedrijven laat zien dat de it-beveiliging niet op orde was en best practices niet werden nageleefd. Daarnaast werden waarschuwingen van de autoriteiten genegeerd. In totaal kwam de Zwitserse overheidsinstantie tot zeven punten waar bedrijven de fout in gingen. Zo werden waarschuwingen van antivirussoftware niet opgemerkt of serieus genomen. Bij een aantal bedrijven was er geeneens antivirussoftware op de servers geïnstalleerd, waardoor de malware zich eenvoudig binnen het bedrijfsnetwerk kon verspreiden.

Verder bleek dat bedrijven gebruikmaakten van het Remote Desktop Protocol (RDP) om op afstand op machines in te loggen. Vaak bleken er zwakke RDP-wachtwoorden te worden gebruikt en waren de RDP-machines voor iedereen op internet toegankelijk. Niet alleen negeerden getroffen bedrijven waarschuwingen van hun antivirussoftware, ook waarschuwingen van de overheid en internetproviders over mogelijke infecties binnen het bedrijfsnetwerk werden genegeerd of niet serieus genomen. Besmettingen werden zodoende slechts gedeeltelijk of helemaal niet verholpen.

Back-ups

Veel van de getroffen bedrijven bleken hun back-ups online te bewaren. Aanvallers die toegang tot de systemen kregen konden zo ook deze back-ups versleutelen of permanent verwijderen. "In veel gevallen waren de bedrijfsactiviteiten alleen met een aanzienlijke inspanning te herstellen, als dat al mogelijk was", aldus MELANI. De onderzochte bedrijven schoten ook tekort als het om de installatie van beveiligingsupdates ging. Aanvallers konden door aanwezige kwetsbaarheden toegang tot systemen krijgen.

Tevens bleek dat de ondernemingen geen netwerksegmentatie toepasten. Via een besmette computer van de HR-afdeling was het zo mogelijk om de volledige productieomgeving aan te vallen en versleutelen. Als laatste stelt de Zwitserse overheidsinstantie dat veel gebruikers bij de getroffen bedrijven teveel rechten hadden. Zo had bijvoorbeeld een back-upgebruiker ook domeinbeheerderrechten of een systeembeheerder die dezelfde rechten had voor het browsen op internet als het beheren van systemen.

Afsluitend adviseert de Zwitserse overheid om het losgeld dat de aanvallers vragen niet te betalen. "Zolang er nog steeds bedrijven zijn die betalen zullen aanvallers nooit stoppen", merkt MELANI op. Wanneer bedrijven toch tot betaling overgaan moeten organisaties beseffen dat de onderliggende infectie niet is verholpen en de aanvallers nog steeds toegang tot het netwerk hebben. MELANI zegt bekend te zijn met verschillende gevallen in zowel Zwitserland als daarbuiten waarbij bedrijven in korte tijd meerdere keren met ransomware besmet raakten.