Skąd wzięło się ransomware? Krótka geneza zjawiska
Ransomware to połączenie dwóch światów: techniki szyfrowania danych i klasycznego szantażu. Mechanizm jest prosty: atakujący blokuje dostęp do danych lub systemu, a następnie żąda okupu za przywrócenie pełnej funkcjonalności. Dla ofiary to często paraliż działalności, dla przestępcy – stosunkowo małe ryzyko przy potencjalnie dużych zyskach.
W szerszym kontekście ransomware jest tylko jednym z rodzajów złośliwego oprogramowania, obok wirusów, robaków, trojanów czy spyware. Jednak w przeciwieństwie do wielu tradycyjnych wirusów, których celem było głównie niszczenie danych lub demonstracja umiejętności, ransomware od początku było nastawione na zysk finansowy. Twórcy od razu myśleli jak przestępcy, nie jak żartownisie czy eksperymentatorzy.
W latach 80. i 90. dominowały wirusy rozprzestrzeniające się na dyskietkach i przez pliki wykonywalne. Wiele z nich nadpisywało dane lub majstrowało przy systemie operacyjnym, ale rzadko wiązało się to z żądaniem pieniędzy. Z czasem okazało się jednak, że komputer i dane użytkownika mogą być kartą przetargową – można je zablokować, zaszyfrować lub ukryć, a następnie zaoferować ich „odblokowanie” za opłatą.
Wymuszenia komputerowe pojawiały się stopniowo. Najpierw w postaci prostych blokad: komunikatów na ekranie, zmian haseł, ograniczeń w uruchamianiu systemu. Prawdziwy przełom nastąpił dopiero wtedy, gdy szantażyści wykorzystali prawdziwą kryptografię – algorytmy, których nie da się odwrócić bez odpowiedniego klucza. Od tego momentu utrata klucza deszyfrującego oznaczała realną, często całkowitą utratę danych.
Ransomware szybko zdobyło popularność w świecie przestępczym, ponieważ rozwiązało kilka ich problemów naraz. Nie trzeba było kraść danych, sprzedawać ich na czarnym rynku, szukać kupców. Wystarczyło unieruchomić ofiarę i zażądać zapłaty. To ofiara przychodziła do przestępcy z pieniędzmi, nie odwrotnie.
Źródło: Pexels | Autor: Nikita Belokhonov
Pierwsze przypadki: od AIDS Trojan po prymitywne blokery ekranu
AIDS Trojan / PC Cyborg – zaskakujący początek z końca lat 80.
Jednym z pierwszych zarejestrowanych przypadków oprogramowania przypominającego współczesne ransomware był AIDS Trojan, znany również jako PC Cyborg. Pojawił się pod koniec lat 80., w czasach, gdy komputery osobiste dopiero wchodziły do biur, a Internet praktycznie nie istniał w powszechnym użyciu.
Mechanizm dystrybucji wyglądał z dzisiejszej perspektywy wręcz niewinnie. Dyskietki z programem opisanym jako narzędzie do analizy ryzyka zarażenia AIDS rozsyłano pocztą tradycyjną do uczestników konferencji i list mailingowych. Użytkownicy instalowali program, nieświadomi, że wraz z nim na dysku pojawia się złośliwy kod.
Po określonej liczbie uruchomień systemu operacyjnego (np. 90 startów) trojan aktywował się. Zmieniał nazwy plików i szyfrował strukturę katalogów, w praktyce uniemożliwiając dostęp do danych. Na ekranie pojawiał się komunikat o konieczności opłacenia „licencji” – ofiara miała wysłać pieniądze przekazem pocztowym na konto w Panamie, aby odzyskać dostęp.
Z perspektywy technicznej AIDS Trojan miał wiele błędów. Szyfrowanie było zrealizowane w sposób łatwy do odwrócenia dla ekspertów, co szybko umożliwiło stworzenie narzędzi odszyfrowujących. Brakowało też mechanizmu automatycznej komunikacji z przestępcą, a płatność przekazem pocztowym pozostawiała po sobie czytelne ślady. Jednak idea została zademonstrowana: można zaszyfrować dane ofiary i zażądać za nie okupu.
W tamtych czasach zakres szkód był ograniczony przez niewielką liczbę użytkowników komputerów, brak globalnej sieci i konieczność fizycznej dystrybucji dyskietek. Mimo to AIDS Trojan stał się ważnym punktem odniesienia – późniejsze pokolenia przestępców udoskonaliły ten pomysł, korzystając z nowych narzędzi: Internetu, mocniejszej kryptografii i anonimowych płatności.
Ransomware lat 90. i wczesnych 2000 – era prymitywnych blokad
W latach 90. i na początku XXI wieku dominowały prostsze formy „ransomware”, często bardziej przypominające scareware lub złośliwe blokery niż zaawansowane programy szyfrujące. Zamiast wykorzystywać mocną kryptografię, przestępcy blokowali interfejs użytkownika lub zmieniali hasła do systemu.
Popularne były między innymi:
programy blokujące ekran systemu i wyświetlające komunikat o konieczności uregulowania rzekomego mandatu lub opłaty licencyjnej,
fałszywe komunikaty „policji” lub „organizacji antypirackich” żądające opłaty za rzekome naruszenie prawa,
proste trojany ustawiające hasło BIOS-u lub systemu operacyjnego i żądające kontaktu mailowego w celu „pomocy technicznej”.
Technicznie rzecz biorąc, takie programy nie szyfrowały danych. Blokowały dostęp do systemu w nachalny sposób, często na cały ekran, tak aby zwykły użytkownik nie miał pojęcia, jak się ich pozbyć. Dane pozostawały na dysku nietknięte, co dawało nadzieję na ich łatwe odzyskanie dzięki specjalistycznemu wsparciu.
Dystrybucja tego typu złośliwego oprogramowania była bardzo różnorodna. Wykorzystywano:
dyskietki i płyty CD z „darmowym” oprogramowaniem (shareware, gry),
serwisy z nielegalnym oprogramowaniem (warezy),
załączniki w poczcie elektronicznej,
proste strony WWW podszywające się pod aktualizacje czy kodeki.
Największym ograniczeniem dla przestępców był jednak problem płatności. Brakowało wtedy narzędzi pozwalających anonimowo odbierać pieniądze na dużą skalę. Sięgano więc po przekazy pocztowe, przelewy na zwykłe konta, numery SMS premium lub karty przedpłacone. Wszystkie te metody zostawiały wyraźne ślady i wymagały zaangażowania „słupów” – osób podstawionych, które odbierały pieniądze.
Mimo tych ograniczeń przestępcy uczyli się na błędach i eksperymentowali. Lata 90. i początek 2000 to czas, w którym rodziły się podstawy współczesnych kampanii ransomware: lepsza dystrybucja, coraz sprytniejsze socjotechniki oraz stopniowe wykorzystywanie kryptografii zamiast samych blokad.
Rewolucja kryptowalut: jak Bitcoin zmienił ransomware
Przez długi czas głównym problemem twórców ransomware był odbiór okupu. Nawet jeśli ofiara była skłonna zapłacić, przestępca musiał jakoś przyjąć pieniądze, nie narażając się na szybką identyfikację. Przelew na konto bankowe czy przekaz pocztowy to otwarte zaproszenie do śledztwa. Nawet systemy płatności elektronicznych z początku XXI wieku, jak PayPal czy wczesne portfele cyfrowe, wymagały weryfikacji tożsamości.
Po 2009 roku sytuacja radykalnie się zmieniła za sprawą Bitcoina i późniejszych kryptowalut. Bitcoin został zaprojektowany jako rozproszona waluta cyfrowa, niezależna od banków i państw. Transakcje są zapisywane w publicznej księdze (blockchain), ale adresy portfeli nie muszą być bezpośrednio powiązane z tożsamością właściciela. W praktyce oznacza to wysoki poziom pseudonimowości – trudny, ale nie niemożliwy do złamania przy zaawansowanych analizach.
Dla grup przestępczych była to prawdziwa rewolucja. Kryptowaluty rozwiązały trzy kluczowe problemy:
umożliwiły odbiór płatności z dowolnego miejsca na świecie, bez centralnego pośrednika,
dały sporą anonimowość, jeśli przestępcy umiejętnie mieszali środki między wieloma portfelami,
ułatwiły automatyzację procesu – instrukcje płatności mogły być generowane dla każdej ofiary indywidualnie.
Wraz z rosnącą popularnością Bitcoina i innych kryptowalut pojawiły się pierwsze kampanie ransomware, w których żądanie okupu w krypto stało się standardem. Programy szyfrujące wyświetlały na ekranie instrukcje krok po kroku: od założenia portfela, przez zakup kryptowaluty na giełdzie, aż po przesłanie środków na wskazany adres.
To właśnie w tym okresie ransomware przestało być lokalnym eksperymentem czy zabawą w blokowanie ekranu, a stało się globalnym biznesem cyberprzestępczym. Skala ataków zaczęła rosnąć wykładniczo – zarówno pod względem liczby ofiar, jak i wysokości żądań.
Pierwsze kampanie oparte w pełni na Bitcoinie
Jednym z przełomów był pojawiający się około 2013 roku CryptoLocker, który jako jeden z pierwszych wykorzystał kryptografię asymetryczną (klucze publiczne i prywatne) oraz płatności w Bitcoinie na dużą skalę. Program szyfrował pliki użytkownika silnym algorytmem i żądał okupu w kryptowalucie lub poprzez inne serwisy płatnicze, dając ograniczony czas na reakcję.
CryptoLocker rozprzestrzeniał się m.in. przez zainfekowane załączniki e-mail oraz botnety, czyli sieci wcześniej zainfekowanych komputerów, które posłużyły jako „nośnik” ransomware. Ofiara widziała komunikat z dokładnymi wskazówkami: jak kupić Bitcoin, gdzie go przelać, co zrobić po płatności. Tego typu kampanie pokazały, że model wymuszeń oparty na kryptowalutach jest nie tylko wykonalny, ale i bardzo dochodowy.
W ślad za CryptoLockerem poszły kolejne rodziny ransomware, takie jak CryptoWall i ich liczne klony. Wspólnym elementem był Bitcoin (lub podobne kryptowaluty) jako główna forma płatności. Czasami akceptowano też alternatywy, ale krypto szybko stało się standardem. Jednocześnie rosła również ilość materiałów edukacyjnych dla ofiar – tworzyli je sami przestępcy, krok po kroku tłumacząc, jak wejść w świat kryptowalut, aby móc zapłacić okup.
Wzrost wartości Bitcoina dodatkowo zachęcał przestępców. Nawet jeśli w momencie ataku żądali relatywnie „niewielkiej” kwoty w BTC, jej wartość mogła w przyszłości znacząco wzrosnąć. Ransomware stało się więc nie tylko narzędziem wymuszeń, ale także formą inwestycji w rosnącą walutę cyfrową.
Źródło: Pexels | Autor: Lucas Andrade
Ewolucja techniczna: od prostych blokad do zaawansowanego szyfrowania danych
Pierwsze generacje „pełnego” ransomware szyfrującego pliki
Równolegle z rewolucją kryptowalut rozwijała się warstwa techniczna ransomware. Ewolucja przebiegała od prostych blokad ekranu do skomplikowanych mechanizmów szyfrowania plików użytkownika, całych dysków, a nawet serwerów backupu. Kluczowym krokiem było wykorzystanie sprawdzonych algorytmów kryptograficznych, takich jak AES czy RSA, zamiast prymitywnych, łatwych do złamania metod.
Pierwsze generacje „pełnego” ransomware skupiały się na:
wyszukiwaniu na dysku konkretnych rozszerzeń plików (dokumenty, zdjęcia, bazy danych),
szyfrowaniu ich zawartości kluczem symetrycznym (np. AES),
nadawaniu nowego rozszerzenia plikom, aby od razu było widać, że zostały zaszyfrowane,
zapisywaniu notatek z żądaniem okupu w każdym katalogu z zainfekowanymi plikami.
Wielu wczesnych twórców popełniało jednak błędy programistyczne. Zdarzało się, że:
klucz szyfrowania był zapisany lokalnie na dysku w sposób możliwy do odzyskania,
wykorzystywano własne, słabe „algorytmy”, które specjaliści łamali w ciągu dni lub tygodni,
generatory liczb pseudolosowych były przewidywalne, co pozwalało odtworzyć klucze,
komunikacja z serwerem przestępcy była nieszyfrowana lub łatwa do podsłuchania.
Wielokrotnie zdarzało się, że firmy zajmujące się bezpieczeństwem publikowały darmowe narzędzia deszyfrujące konkretne odmiany ransomware. Ofiary mogły odzyskać dane bez płacenia okupu, co podważało opłacalność całego procederu. Kolejne generacje oprogramowania szyfrującego były więc coraz staranniej projektowane, przy wykorzystaniu sprawdzonej kryptografii i lepszych praktyk programistycznych.
Szyfrowanie hybrydowe i komunikacja z serwerem C2
Aby zwiększyć bezpieczeństwo całego schematu, twórcy ransomware zaczęli stosować szyfrowanie hybrydowe. Intuicyjnie można to opisać tak: dane użytkownika są szyfrowane szybkim algorytmem (np. AES), ale klucz tego szyfrowania jest z kolei zabezpieczany przy użyciu kryptografii asymetrycznej (np. RSA). To połączenie szybkości i bezpieczeństwa.
W uproszczeniu wygląda to następująco:
Na komputerze ofiary ransomware generuje losowy klucz (np. 256-bitowy) do szyfrowania plików.
Coraz sprytniejsze omijanie zabezpieczeń
Z czasem samo szyfrowanie plików przestało wystarczać. Systemy ochrony – antywirusy, zapory sieciowe, rozwiązania EDR – zaczęły lepiej rozpoznawać charakterystyczne zachowania ransomware. Przestępcy odpowiedzieli więc serią usprawnień mających utrudnić wykrycie i analizę ich kodu.
Typowe techniki zaczęły obejmować m.in.:
obfuskację kodu – zaciemnianie programu tak, by analitycy i automatyczne skanery miały trudności z odczytaniem jego logiki,
wstrzykiwanie się w zaufane procesy (np. systemowe) po to, by wyglądać „jak część systemu”,
sprawdzanie, czy program nie działa w środowisku analitycznym (maszyna wirtualna, sandbox); jeśli wykrywał takie warunki, często zatrzymywał działanie lub udawał bezpieczną aplikację,
wyłączanie usług bezpieczeństwa – próby zatrzymania procesów antywirusów, agentów EDR czy kopii w tle (shadow copies).
Pojawiły się także funkcje sprawiające, że atak wyglądał mniej „gwałtownie”. Zamiast nagłego szyfrowania tysięcy plików w kilka minut, niektóre odmiany działały stopniowo, w tle, by nie wywoływać podejrzeń. Spotykano również techniki „fileless” – część logiki złośliwego oprogramowania działała bez zapisywania klasycznego pliku na dysku, korzystając z mechanizmów wbudowanych w system (np. PowerShell).
Dodatkowo ransomware zaczęło coraz lepiej rozumieć topologię sieci. Zamiast atakować tylko pojedynczy komputer, szukało udziałów sieciowych, serwerów plików czy systemów backupu. Po uzyskaniu nawet niewielkich uprawnień próbowało je zwiększyć, np. wykradając hasła zapisane w pamięci systemu, by dotrzeć do serwerów domenowych.
Ataki ukierunkowane i „ludzkie” ransomware
Duży krok naprzód nastąpił, gdy w tle zaczął pojawiać się żywy człowiek – operator. Wcześniejsze kampanie opierały się głównie na automatycznym zarażaniu jak największej liczby komputerów. Z czasem bardziej dochodowe stało się ręczne prowadzenie ataku na wybrane organizacje: firmy, szpitale, samorządy.
Przebieg takiego ataku często wygląda następująco:
Napastnik zdobywa pierwszy punkt wejścia – przez podatny serwer VPN, słaby zdalny pulpit (RDP) lub zainfekowany załącznik.
Przez kilka dni lub tygodni cicho bada sieć: skanuje zasoby, zbiera informacje o serwerach, kontach, backupach.
Stopniowo przejmuje uprawnienia administratora oraz dostęp do kluczowych systemów.
Dopiero na końcu – często w nocy lub w weekend – uruchamia ransomware jednocześnie na wielu serwerach i stacjach roboczych.
Takie „ludzkie” podejście ma prosty cel: maksymalnie podnieść presję na ofiarę. Jeśli zaszyfrowany zostanie nie tylko jeden komputer, ale cała infrastruktura, w tym kopie zapasowe i systemy produkcyjne, organizacja ma znacznie mniejsze możliwości samodzielnego odzyskania sprawności.
W wielu głośnych przypadkach ataki tego typu paraliżowały całe szpitale: rejestrację pacjentów, systemy obrazowania medycznego, laboratoria. Nie chodziło już o pojedyncze pliki Worda, lecz o całe łańcuchy procesów życiowo ważnych dla ludzi.
Podwójne i potrójne wymuszenie: kiedy szyfrowanie to za mało
Kolejnym etapem rozwoju było zrozumienie, że coraz więcej firm dba o kopie zapasowe. Jeśli organizacja ma aktualne, odseparowane backupy, sama operacja szyfrowania może nie wystarczyć, by wymusić okup. Stąd narodził się model podwójnego wymuszenia (double extortion).
Scenariusz jest prosty, ale skuteczny:
zanim ransomware rozpocznie szyfrowanie, cicho wykrada dane – bazy klientów, dokumenty, projekty,
następnie szyfruje systemy,
w notatce z żądaniem okupu pojawia się już nie tylko groźba „nie odzyskasz danych”, ale także: „opublikujemy lub sprzedamy wykradzione informacje, jeśli nie zapłacisz”.
W praktyce nawet jeśli firma jest w stanie odbudować systemy z kopii, pozostaje jej problem potencjalnego wycieku danych: tajemnic handlowych, informacji o pracownikach, danych medycznych czy danych kart płatniczych. Ryzyko reputacyjne, prawne i finansowe staje się ogromne.
Z czasem pojawiło się także potrójne wymuszenie (triple extortion). Poza szyfrowaniem i wyciekiem przestępcy zaczęli grozić:
atakami DDoS – przeciążeniem serwerów ofiary, by dodatkowo utrudnić jej funkcjonowanie,
kontaktem z klientami lub partnerami – wysyłaniem do nich informacji, że dane zostały skradzione, co ma zwiększyć presję medialną i biznesową.
Niektóre grupy publikują „próbki” skradzionych dokumentów na własnych portalach w darknecie, aby udowodnić, że nie blefują. Czasem są to skany paszportów, opisy chorób, umowy – wszystko, co może zaboleć ofiarę i skłonić ją do rozmów o płatności.
Źródło: Pexels | Autor: Tima Miroshnichenko
Przemiana w biznes: profesjonalizacja i model Ransomware-as-a-Service (RaaS)
Gdy technologia dojrzała, a kryptowaluty rozwiązały problem płatności, ransomware zaczęło przypominać zwykły biznes IT – tylko że nielegalny. Zamiast jednej osoby piszącej amatorski kod, pojawiły się wyspecjalizowane grupy z podziałem ról.
Można wyróżnić kilka głównych „specjalizacji” w tym podziemnym ekosystemie:
deweloperzy ransomware – tworzą i aktualizują sam kod szyfrujący, panel zarządzania, moduły dystrybucji,
operatorzy (affiliates) – zajmują się włamaniami do konkretnych firm, rozpoznaniem i wdrożeniem ataku,
dostawcy punktów wejścia – sprzedają dostęp do zainfekowanych sieci (np. dane logowania do VPN lub RDP),
specjaliści od prania pieniędzy – pomagają w konwersji kryptowalut na „czyste” środki, często przez miksery i giełdy.
Na czym polega Ransomware-as-a-Service
Model Ransomware-as-a-Service (RaaS) polega na tym, że twórcy ransomware udostępniają swój „produkt” innym przestępcom w zamian za udział w zyskach. Przypomina to legalne usługi „w chmurze”, z tą różnicą, że dotyczy oprogramowania do wymuszeń.
Typowy schemat wygląda następująco:
Twórcy przygotowują panel administracyjny dostępny przez sieć Tor, gdzie „partnerzy” mogą tworzyć nowe kampanie.
Osoba, która chce zostać operatorem, zakłada konto, czasem przechodzi wstępną weryfikację lub płaci opłatę startową.
W panelu generuje własne wersje ransomware z unikalnym identyfikatorem, konfiguracją, językiem notatki z żądaniem okupu.
Operator samodzielnie dba o dystrybucję (phishing, włamania do sieci, wykorzystanie luk), natomiast autorzy RaaS zapewniają infrastrukturę: serwery C2, obsługę płatności, automatyczne generowanie kluczy szyfrujących.
Gdy ofiara płaci okup, środki trafiają na portfel kontrolowany przez grupę RaaS, która automatycznie dzieli zysk, np. 70% dla operatora, 30% dla „dostawcy platformy”.
Taki model pozwolił rozdzielić kompetencje: nie każdy „cyberprzestępca” musi znać kryptografię czy programowanie. Wystarczy, że potrafi włamać się do firmowej sieci lub skutecznie rozsyłać zainfekowane maile.
Marketing, „wsparcie techniczne” i reputacja w podziemiu
Profesjonalizacja poszła tak daleko, że wielu dostawców RaaS zaczęło prowadzić coś na kształt marketingu. W ogłoszeniach na forach w darknecie chwalą się:
„skutecznością” szyfrowania i brakiem darmowych narzędzi deszyfrujących,
szybką „obsługą klienta” – zarówno dla swoich operatorów, jak i dla… ofiar,
częstymi aktualizacjami kodu, które mają wyprzedzać sygnatury antywirusowe,
Pojawiły się nawet „programy partnerskie” z prowizjami, rankingami najbardziej skutecznych operatorów czy prywatnymi kanałami komunikacji. Jeśli dany „produkt” RaaS jest skuteczny i generuje wysokie przychody, jego twórcy zyskują renomę w półświatku cyberprzestępczym.
Równolegle część grup wprowadziła wyspecjalizowane „działy negocjacji”. Z ofiarami rozmawiają osoby, które potrafią utrzymywać presję, a jednocześnie sprawiają wrażenie „profesjonalnych”. Czasami oferują „dowód dobrej woli”, np. darmowe odszyfrowanie kilku plików, aby pokazać, że rzeczywiście posiadają klucze.
Dochodzi do paradoksalnych sytuacji, w których napastnicy oferują firmom „porady bezpieczeństwa” po zapłacie okupu: listę luk, z których skorzystali, wskazówki, jak „poprawić zabezpieczenia” na przyszłość. To w ich interesie – chcą uchodzić za „uczciwych partnerów w przestępstwie”, którzy po otrzymaniu pieniędzy dotrzymują obietnic.
Rynek usług wspierających ekosystem ransomware
Wokół głównego biznesu wyrosło wiele usług pomocniczych. Na forach i w zamkniętych kanałach można znaleźć oferty:
sprzedaży dostępu do sieci firmowych (tzw. initial access brokers) – ktoś już włamał się do systemu i odsprzedaje login/hasło lub tunel VPN,
gotowych pakietów phishingowych – szablony fałszywych wiadomości i stron logowania, które można łatwo dostosować do ofiary,
usług testowania malware – serwisy, które sprawdzają, czy dany plik jest wykrywany przez popularne antywirusy, ale nie przekazują tych danych producentom zabezpieczeń,
prania kryptowalut – miksery, boty łączące wiele transakcji, fałszywe giełdy w krajach o słabszych regulacjach.
Całość przypomina łańcuch dostaw znany z legalnego IT. Jest producent oprogramowania, są resellerzy, są integratorzy i usługodawcy. Różnica polega na tym, że efekt końcowy to paraliż firm, szpitali czy instytucji publicznych.
Głośne kampanie, które zmieniły postrzeganie ransomware
Przez wiele lat ransomware kojarzono głównie z problemem „zwykłego użytkownika”, któremu zaszyfrowano rodzinne zdjęcia. Sytuacja zmieniła się, gdy na celowniku znalazły się szpitale, miasta i infrastruktura krytyczna. Kilka spektakularnych kampanii pokazało, że to już nie jest tylko problem informatyczny, ale zagrożenie dla życia i funkcjonowania całych społeczności.
WannaCry: globalna epidemia w jeden weekend
W 2017 roku świat obiegły nagłówki o ataku WannaCry. Było to ransomware, które wykorzystało lukę w systemie Windows o nazwie EternalBlue – powiązaną z narzędziami ujawnionymi wcześniej z arsenału amerykańskiej NSA. W praktyce oznaczało to, że szkodliwy kod potrafił rozprzestrzeniać się samodzielnie po sieci lokalnej, bez klikania w załączniki.
WannaCry uderzyło w setki tysięcy komputerów na całym świecie w bardzo krótkim czasie. Zablokowane zostały m.in.:
komputery w szpitalach publicznej służby zdrowia w Wielkiej Brytanii,
stacje robocze w firmach produkcyjnych,
systemy w różnych instytucjach rządowych i prywatnych.
W wielu brytyjskich placówkach medycznych odwoływano planowe zabiegi, przechodzono na dokumentację papierową, pacjentów kierowano do innych szpitali. Koszt przestoju i chaosu trudny był do jednoznacznego oszacowania, ale sam fakt, że malware zatrzymało pracę systemu ochrony zdrowia, mocno przemówił do opinii publicznej.
Ciekawostką jest to, że rozprzestrzenianie WannaCry udało się częściowo zatrzymać dzięki tzw. kill switch – mechanizmowi wbudowanemu w kod, który sprawiał, że po nawiązaniu połączenia z określoną domeną ransomware kończył działanie. Gdy badacz bezpieczeństwa przypadkiem zarejestrował ten adres, fala nowych infekcji wyhamowała. Pokazało to, jak czasem drobny szczegół techniczny może zmienić bieg globalnego incydentu.
NotPetya: ransomware, które bardziej niszczyło niż zarabiało
NotPetya: ransomware, które bardziej niszczyło niż zarabiało – uderzenie w łańcuchy dostaw
W tym samym roku, gdy świat walczył jeszcze ze skutkami WannaCry, pojawiło się NotPetya – kampania, która z wierzchu wyglądała jak zwykłe ransomware, ale w praktyce zachowywała się jak cyberbroń. Zaszyfrowane systemy nie dało się realnie przywrócić nawet po zapłacie, bo mechanizm „szyfrowania” był zaprojektowany tak, aby dane faktycznie niszczyć, a nie chronić przed dostępem.
Atak rozpoczął się od kompromitacji legalnego oprogramowania księgowego używanego masowo na Ukrainie. Aktualizacje tego programu stały się „wehikułem” dla złośliwego kodu. To klasyczny przykład ataku na łańcuch dostaw: zamiast włamywać się do każdej firmy osobno, przestępcy infekują narzędzie, z którego korzystają wszyscy.
NotPetya błyskawicznie rozlała się poza Ukrainę i uderzyła w międzynarodowe koncerny. Skutki były spektakularne: zatrzymane linie produkcyjne, zablokowane terminale portowe, problemy z logistyką. W wielu przypadkach odbudowa infrastruktury IT trwała tygodniami, a firmy musiały instalować systemy „od zera”, bo nie miały już czego odszyfrowywać.
Ten incydent pokazał, że ransomware może być też przykrywką dla sabotażu. Komunikat z żądaniem okupu staje się wtedy dekoracją: prawdziwym celem jest chaos gospodarczy, paraliż państwa lub uderzenie w konkretne sektory.
Ryuk, Conti i spółka: era „polowania na grube ryby”
Po fali masowych infekcji przeglądarek i pojedynczych komputerów domowych rozpoczął się kolejny etap: ataki ukierunkowane na duże organizacje, z wysokimi żądaniami okupu. Symbolem tej zmiany stały się m.in. Ryuk oraz późniejszy Conti.
Zamiast wysyłać miliony losowych e-maili, grupy stojące za tymi kampaniami zaczęły starannie wybierać ofiary. Szukały firm o wysokich przychodach, z rozproszoną infrastrukturą, często działających globalnie. Przed samym zaszyfrowaniem sieci:
wykradały najwrażliwsze dane, które później służyły jako dodatkowa dźwignia nacisku,
wyłączały lub sabotowały backupy, aby organizacja nie miała do czego wrócić.
Kwoty żądanych okupów przestały być „symboliczne”. Pojawiały się żądania liczonych w milionach dolarów, a negocjacje prowadzone były przez wyspecjalizowanych „rozmówców”, którzy na chłodno kalkulowali, jaki przestój może kosztować firmę więcej niż okup.
W praktyce wyglądało to tak, że średniej wielkości szpital czy urząd miejski budził się rano i odkrywał, że wszystkie serwery są zaszyfrowane, a na ekranach widnieje komunikat: „Twoje dane zostały skradzione i zaszyfrowane. Jeśli nie zapłacisz, opublikujemy je i zniszczymy kopie”. W tle działał już zegar odliczający czas do „podwojenia” okupu.
Miasta jako zakładnicy: Atlanta, Baltimore i europejskie gminy
Szczególny rozgłos zyskały ataki na miasta i samorządy. Infrastruktura publiczna bywa technicznie przestarzała, a budżety na cyberbezpieczeństwo – ograniczone. To połączenie stworzyło łatwy cel dla gangów ransomware.
W Stanach Zjednoczonych głośne były ataki na miasta takie jak Atlanta czy Baltimore. Skutki nie ograniczały się do kilku komputerów w urzędzie. Zablokowane bywały:
systemy obsługi mandatów i opłat komunalnych,
rejestry nieruchomości i działek,
część systemów używanych przez służby miejskie.
Przez długi czas mieszkańcy nie mogli np. zarejestrować nieruchomości, opłacić rachunków on-line czy załatwić sprawy urzędowej bez długich opóźnień. Koszt odtworzenia systemów i „sprzątania” po incydencie kilkakrotnie przekraczał początkowe żądania napastników.
Podobne scenariusze pojawiły się w Europie. Niewielkie gminy, które outsourcowały usługi IT do zewnętrznych firm, często dzieliły jedną infrastrukturę. Gdy w jednej z nich pojawiał się ransomware, „zarażał” także pozostałe miasta korzystające z tych samych serwerów. W praktyce kilka samorządów jednocześnie traciło dostęp do kluczowych rejestrów lub systemów pocztowych.
Szpitale i systemy ochrony zdrowia pod ostrzałem
Najbardziej wstrząsające konsekwencje ataków ransomware widać w służbie zdrowia. Gdy celem jest fabryka, w najgorszym razie nie wyprodukuje towaru. Gdy celem jest szpital, skutkiem mogą być realne zagrożenia dla życia pacjentów.
Ataki na placówki medyczne i całe sieci szpitali pojawiały się już przed 2020 rokiem, ale pandemia COVID-19 tylko przyspieszyła ten trend. Zwiększone obciążenie systemów, szybkie wdrażanie nowych rozwiązań zdalnych i presja czasu sprzyjały pomijaniu zabezpieczeń. Grupy ransomware bardzo szybko to wyczuły.
Typowy scenariusz wyglądał tak: w nocy, gdy w IT jest mniejsza obsada, dochodziło do aktywacji ransomware. Nad ranem okazywało się, że:
system rejestracji pacjentów nie działa,
dokumentacja medyczna jest niedostępna,
laboratoria nie mogą wysyłać ani odbierać wyników badań,
część aparatury połączonej z siecią (np. systemy obrazowania) nie jest w stanie pracować.
Personel przechodził na „tryb papierowy”: formularze, ręczne wypisywanie skierowań, komunikacja telefoniczna. Dla pacjentów oznaczało to odwołane zabiegi, przekierowania do innych placówek, opóźnione diagnozy. Nawet jeśli bezpośrednio nie dochodziło do tragedii, skala ryzyka była oczywista.
Przestępcy świadomie wykorzystywali to, że szpitale nie mogą pozwolić sobie na długie przestoje. W negocjacjach argumentowali: „Jeśli nie zapłacicie, system będzie stał tygodniami, a pacjenci ucierpią”. Pojawił się wręcz cyniczny motyw wykorzystywania etycznego dylematu – czy zapłacić okup, aby jak najszybciej przywrócić usługi dla chorych, czy odmówić i liczyć się z konsekwencjami?
Infrastruktura krytyczna i łańcuchy dostaw: Colonial Pipeline i inne incydenty
Ostatnie lata przyniosły także ataki na to, co zwykle kojarzy się z działaniem państwa i „twardą” infrastrukturą: rurociągi, firmy energetyczne, operatorów usług komunalnych. Jednym z najbardziej komentowanych incydentów był atak na Colonial Pipeline w USA, który doprowadził do czasowego wstrzymania pracy kluczowego ropociągu i lokalnych niedoborów paliwa.
W tym przypadku ransomware dotknęło głównie systemy IT (obsługa rozliczeń, planowanie), ale firma – działając ostrożnie – zdecydowała się prewencyjnie zatrzymać operacje fizyczne. Zwłaszcza że w sektorze przemysłowym sieci IT (biurowe) i OT (sterujące urządzeniami) często są powiązane bardziej, niż by się chciało.
Ten incydent pokazał, że skutki ransomware mogą być widoczne „na ulicy”: kolejki na stacjach benzynowych, panika zakupowa, polityczne wystąpienia na najwyższym szczeblu. Atak na jedną firmę nagle stał się problemem całego regionu.
Podobne zagrożenia dotyczą:
dostawców energii elektrycznej i gazu,
firm logistycznych odpowiadających za transport żywności i leków,
operatorów wodociągów i kanalizacji.
Nawet jeśli ransomware bezpośrednio nie uderza w systemy sterujące pompami czy transformatorami, paraliż „zwykłych” systemów IT – magazynowych, rozliczeniowych, planistycznych – może zatrzymać fizyczne procesy. W świecie just-in-time, gdzie magazyny są minimalizowane, a wszystko działa „na styk”, kilkudniowy przestój jednego ogniwa łańcucha potrafi wywołać efekt domina.
Od „jednorazowych strzałów” do kampanii długoterminowych
Ransomware zmieniło się nie tylko pod względem technicznym, ale także „taktycznie”. Wczesne kampanie przypominały jednorazowe naloty: wysyłka fali e-maili, szybkie infekcje, masowe żądania okupu. Obecnie coraz częściej mamy do czynienia z długoterminowymi operacjami, w których ten sam gang prowadzi serię przemyślanych ataków, budując wręcz „portfolio” ofiar.
Niektóre grupy utrzymują stałą obecność w sieciach – jeśli ofiara nie zapłaci, atakują ją ponownie po kilku miesiącach, korzystając z wcześniej założonych kont lub tylnej furtki w systemie. Bywa, że sprzedają innym przestępcom informacje o „opornych” firmach, aby ci spróbowali jeszcze raz z innym oprogramowaniem.
Pojawiło się też zjawisko „brandingowania” kampanii: nazwy grup, logotypy na stronach wycieków, charakterystyczny styl komunikacji z ofiarami. Ma to budować rozpoznawalność – tak, aby kolejne ofiary, słysząc nazwę konkretnej grupy, od razu wiedziały, że negocjują z kimś „skutecznym” i zorganizowanym.
Ransomware a geopolityka i służby państwowe
Granica między czysto kryminalnym ransomware a działaniami inspirowanymi politycznie jest coraz bardziej rozmyta. W niektórych przypadkach te same narzędzia i te same grupy współpracują zarówno z klasycznym podziemiem, jak i ze służbami państwowymi albo „patriotycznymi” hakerami.
W praktyce może to wyglądać tak, że gang ransomware działa „dla zysku”, ale:
ma ciche przyzwolenie w swoim kraju, o ile nie atakuje „swoich”,
jest wykorzystywany do wywiadu – przy okazji ataków komercyjnych zbiera informacje przydatne politycznie,
w określonych momentach realizuje „zamówienia” wymierzone w infrastrukturę państwa przeciwnika.
Elementem tej gry stała się także propaganda. Po głośnych atakach na szpitale czy infrastrukturę krytyczną pojawiają się oświadczenia grup, w których zapewniają, że „nie celują w służbę zdrowia” albo że incydent był „błędem operatora”. Nierzadko deklarują, że odszyfrują szpital „za darmo”, gdy sprawa trafi do mediów. Ma to ograniczać presję polityczną i wizerunkową.
Ransomware w erze zdalnej pracy i chmury
Upowszechnienie pracy zdalnej i usług chmurowych otworzyło dla ransomware nowe możliwości. Punktami wejścia stały się nie tylko stare serwery w piwnicach firm, ale też:
niestrzeżone kontrolery dostępu zdalnego (RDP, VPN) z prostymi hasłami lub bez uwierzytelniania wieloskładnikowego,
źle skonfigurowane usługi w chmurze – np. otwarte magazyny plików bez odpowiednich reguł dostępu,
komputery pracowników, którzy korzystają z prywatnych urządzeń do celów służbowych.
Co istotne, ransomware przestało być wyłącznie „programem, który szyfruje dysk”. Coraz częściej mówimy o kampaniach wielowektorowych, łączących różne elementy:
kradzież danych z systemów chmurowych (np. backupów, skrzynek pocztowych),
paraliż lokalnej infrastruktury w biurach i serwerowniach,
szantaż z wykorzystaniem danych osobowych pracowników i klientów.
Z perspektywy zwykłego użytkownika objawy wyglądają podobnie – nagły brak dostępu do usług, komunikat z żądaniem okupu – ale „pod maską” działa skomplikowany mechanizm logistyczny, który objemuje wiele technologii naraz.
Nowe narzędzia obrony i rosnąca „odporność” ofiar
Równolegle do dojrzewania ekosystemu przestępczego rozwijają się narzędzia obronne. Coraz więcej organizacji posiada:
systemy monitoringu zachowania (EDR/XDR), które analizują nietypowe działania – np. masowe szyfrowanie plików czy nagłe zmiany w kopiach zapasowych,
segmentację sieci, ograniczającą możliwość „przeskakiwania” ransomware z jednego działu do całej organizacji,
strategie kopii zapasowych offline, odłączonych od sieci na co dzień.
W odpowiedzi na to przestępcy zmieniają techniki – starają się działać wolniej, ostrożniej, często wyłączając systemy bezpieczeństwa przed uruchomieniem szyfrowania. To swoisty „wyścig zbrojeń”: każda strona obserwuje drugą i dostosowuje swoje metody.
Pojawiły się także wyspecjalizowane firmy i zespoły policyjne, które:
Najczęściej zadawane pytania (FAQ)
Skąd wzięło się ransomware i na czym polega jego działanie?
Ransomware wyrosło z połączenia dwóch pomysłów: technicznego szyfrowania danych i tradycyjnego szantażu. Program blokuje dostęp do plików lub całego systemu, a następnie wyświetla żądanie okupu w zamian za „odblokowanie” zasobów.
W przeciwieństwie do dawnych wirusów, które często były formą „psikusa” lub demonstracją umiejętności, ransomware od samego początku nastawione jest na zysk finansowy. Przestępca nie musi kraść danych ani szukać kupca – wystarczy, że unieruchomi ofiarę i poczeka, aż sama przyjdzie z pieniędzmi.
Jaki był pierwszy przypadek ransomware w historii?
Za jedno z pierwszych ransomware uznaje się AIDS Trojan (PC Cyborg) z końca lat 80. Rozsyłano go na dyskietkach jako „program do analizy ryzyka zarażenia AIDS”. Po określonej liczbie uruchomień komputera trojan blokował dostęp do danych, zmieniając nazwy plików i szyfrując strukturę katalogów.
Na ekranie pojawiał się komunikat o konieczności opłacenia „licencji” przekazem pocztowym na konto w Panamie. Z dzisiejszej perspektywy szyfrowanie było słabe i szybko powstały narzędzia do odzyskiwania danych, ale sam mechanizm: blokada + żądanie okupu, stał się wzorcem dla późniejszych kampanii.
Czym różni się dawne ransomware z lat 90. od współczesnych ataków?
Ransomware z lat 90. i początku 2000 r. często nie szyfrowało danych. Były to raczej „blokery ekranu” i scareware: programy zajmowały cały ekran, zmieniały hasło systemu czy BIOS-u i wyświetlały groźnie wyglądające komunikaty o rzekomych karach lub mandatach.
Dzisiejsze ransomware wykorzystuje silną kryptografię – algorytmy, których bez klucza praktycznie nie da się odwrócić. Oznacza to, że utrata klucza deszyfrującego bardzo często oznacza realną, całkowitą utratę danych. Współczesne ataki są też lepiej zorganizowane: obejmują całe sieci firm, szpitale czy miasta, a nie tylko pojedyncze komputery domowe.
Jak Bitcoin i kryptowaluty zmieniły historię ransomware?
Największym problemem dawnych twórców ransomware był bezpieczny odbiór pieniędzy. Przelewy bankowe, przekazy pocztowe czy SMS-y premium zostawiały wyraźne ślady, łatwe do prześledzenia przez służby. To mocno ograniczało skalę akcji i podnosiło ryzyko dla przestępców.
Pojawienie się Bitcoina po 2009 r. wszystko przyspieszyło. Kryptowaluty pozwoliły przyjmować płatności z całego świata bez pośredników, z dużą pseudonimowością. Ransomware zaczęło generować dla każdej ofiary unikalny adres portfela i automatyczne instrukcje: jak kupić kryptowalutę, gdzie ją wysłać, jak potem pobrać narzędzie deszyfrujące. To otworzyło drogę do masowych, zautomatyzowanych kampanii.
Dlaczego celem ransomware stały się szpitale i miasta?
Szpitale, administracja miejska czy inne instytucje publiczne są szczególnie wrażliwe na przerwy w działaniu systemów. Zablokowanie rejestracji pacjentów, systemów laboratoryjnych czy obsługi mieszkańców oznacza realny paraliż codziennego życia. Dla przestępców to idealna dźwignia nacisku – rośnie szansa, że ofiara zapłaci, by jak najszybciej wznowić działanie.
Dodatkowo wiele takich instytucji przez lata niedoinwestowywało cyberbezpieczeństwo: korzystały ze starych systemów, miały braki w aktualizacjach czy kopiach zapasowych. To czyniło je łatwym celem w porównaniu z dobrze zabezpieczonymi korporacjami finansowymi.
Dlaczego ransomware tak szybko się upowszechniło w świecie przestępczym?
Z perspektywy przestępcy model biznesowy ransomware jest atrakcyjny. Nie trzeba budować skomplikowanych sieci do sprzedaży skradzionych danych ani szukać kupców na czarnym rynku. Wystarczy zablokować ofiarę, a sama będzie zainteresowana „wykupem” swoich plików.
Do tego doszła większa automatyzacja ataków, rozwój Internetu (łatwa dystrybucja złośliwego oprogramowania) i rosnąca wartość danych cyfrowych w życiu prywatnym i zawodowym. Dla zwykłego użytkownika utrata zdjęć z wielu lat, a dla firmy – utrata dokumentów czy systemów produkcyjnych – to często wystarczający powód, by rozważyć zapłatę okupu.
Najważniejsze wnioski
Ransomware łączy technikę szyfrowania danych z klasycznym szantażem: przestępca blokuje dostęp do systemu lub plików i żąda okupu za ich odblokowanie.
W odróżnieniu od dawnych wirusów tworzonych często „dla zabawy”, ransomware od początku było projektowane jako narzędzie do zarabiania pieniędzy, z jasno zaplanowanym modelem wymuszenia.
AIDS Trojan z końca lat 80. pokazał kluczową ideę: zaszyfrować dane ofiary i zażądać pieniędzy za przywrócenie dostępu, mimo że jego szyfrowanie i model płatności były technicznie niedoskonałe.
Rozwój Internetu, silnej kryptografii i anonimowych form płatności (np. kryptowalut) pozwolił przestępcom udoskonalić koncepcję AIDS Trojana i przenieść wymuszenia na zupełnie inną skalę.
W latach 90. i na początku 2000 r. dominowały prymitywne blokery ekranu i hasła do systemu: nie szyfrowały danych, ale skutecznie paraliżowały pracę przeciętnego użytkownika.
Dystrybucja wczesnego ransomware opierała się na fizycznych nośnikach, pirackim oprogramowaniu, załącznikach e-mail i prostych stronach WWW, co ograniczało zasięg ataków w porównaniu z dzisiejszymi masowymi kampaniami.
Głównym hamulcem rozwoju wymuszeń były dawniej niewygodne i łatwe do prześledzenia metody płatności (przekazy, przelewy, SMS premium), które wymagały udziału pośredników i zwiększały ryzyko dla przestępców.
