Väčšina ľudí si ransomvér predstavuje ako program, ktorý jednoducho zašifruje súbory a zobrazí výkupné. Nová analýza ransomvéru Beast ukazuje, že moderní útočníci postupujú oveľa premyslenejšie: skôr než sa pustia do šifrovania, systematicky odstraňujú všetko, čo by obeti umožnilo dáta obnoviť bez platenia. Bezpečnostná firma AttackIQ rozobrala vzorku tohto škodlivého kódu a jej zistenia, o ktorých tento týždeň informovali viaceré odborné weby, sú poučné pre každú firmu aj domácnosť.

Čo je Beast a odkiaľ pochádza

Beast funguje ako takzvaný ransomvér ako služba (RaaS). Jeho autori ho neprevádzkujú sami, ale prenajímajú ho ďalším zločincom, ktorí s ním útočia na konkrétne obete. Podľa AttackIQ sa ponuka objavila na undergroundovom fóre RAMP v júni 2024 a Beast je považovaný za nástupcu staršieho ransomvéru Monster. Bezpečnostné tímy spoločností Symantec a Carbon Black ho spájajú s vývojárom, ktorý v roku 2026 pokračoval pod novou značkou GodDamn. Posledná zaznamenaná aktivita skupiny Beast pochádza z konca augusta 2026, jej stránka so zverejňovanými dátami obetí je však podľa správ stále aktívna. Je teda pravdepodobné, že rovnaké postupy sa budú objavovať ďalej, hoci aj pod iným menom.

Podľa správ prevádzkovatelia v minulosti propagovali aj verziu pre sieťové úložiská NAS a virtualizačné servery VMware ESXi. Analyzovaná vzorka je však určená pre Windows.

Najprv zničiť cestu späť, potom šifrovať

Najzaujímavejšia časť analýzy sa týka krokov, ktoré Beast vykoná ešte pred samotným šifrovaním. Práve tie rozhodujú o tom, či má obeť šancu dostať sa k dátam aj bez útočníkov.

Vypnutie zálohovacích a bezpečnostných programov

Ransomvér má v sebe zoznam približne päťdesiatich procesov a vyše sedemdesiatich služieb, ktoré násilne ukončí. Patria medzi ne zálohovacie programy, databázy, kancelárske aplikácie aj bezpečnostný softvér. Zastavením databáz a kancelárskych programov sa uvoľnia otvorené súbory, takže ich môže zašifrovať, a vypnutím zálohovania zabráni, aby sa počas útoku vytvorila čerstvá kópia.

Zmazanie tieňových kópií a vyprázdnenie koša

Windows si pomocou funkcie tieňových kópií (Volume Shadow Copy) uchováva staršie verzie súborov, z ktorých sa dá niekedy obnoviť predchádzajúci stav. Beast tieto kópie cielene maže, ak má na to administrátorské oprávnenia. Okrem toho vyprázdni aj Kôš, aby neostali ani nedávno zmazané súbory. Pre mnohých používateľov tak zmiznú práve tie „záchranné siete“, na ktoré sa nevedomky spoliehali.

Hľadanie diskov v sieti

Beast sa neobmedzuje na jeden počítač. Prehľadáva lokálnu sieť, vyhľadáva zdieľané priečinky dostupné cez protokol SMB a pripája aj skryté zväzky, ktoré nemajú priradené písmeno jednotky. Zdieľané disky na serveri alebo NAS-e, ktoré sú z napadnutého počítača dostupné, sa tak môžu stať ďalšou obeťou.

Prečo šifruje len časť súboru

Ďalšou zaujímavosťou je takzvané čiastočné (intermitentné) šifrovanie. Analyzovaná verzia nešifruje celé súbory, ale iba ich časti – štandardne zhruba štvrtinu obsahu po blokoch s veľkosťou 128 KiB. Pri veľkých súboroch nad 1 GiB šifruje striedavé bloky od začiatku súboru. Útočníkom to výrazne skracuje čas útoku, takže stihnú zasiahnuť viac dát, kým si niekto niečo všimne. Zašifrované súbory dostanú príponu .moon a v priečinkoch sa objaví súbor s požiadavkou na výkupné README.TXT.

Laik by mohol nadobudnúť dojem, že ak je zašifrovaná „iba“ štvrtina súboru, zvyšok sa dá jednoducho zachrániť. V praxi však poškodenie hlavičky a vnútornej štruktúry obvykle znemožní otvoriť dokument, databázu či virtuálny disk bežným spôsobom. Použité šifrovanie (ChaCha20 s kľúčmi Curve25519) je moderné a bez kľúča ho nemožno prelomiť. Čiastočné šifrovanie preto neznamená, že sa dáta dajú obnoviť automaticky – každý prípad treba posúdiť individuálne.

Čo to znamená pre bezpečnosť a obnovu dát

Prípad Beast znovu potvrdzuje pravidlo, ktoré pri ransomvéri platí už roky: záloha, ku ktorej má prístup napadnutý počítač, nie je skutočnou ochranou. Tieňové kópie, Kôš, zdieľaný sieťový disk či NAS trvalo pripojený ako jednotka môžu útočníci zničiť alebo zašifrovať rovnako ako samotné dáta.

Praktické rady

• Dodržujte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych typoch médií, z toho jedna mimo firmy alebo domácnosti.
• Majte aspoň jednu zálohu offline alebo nemennú (immutable). Externý disk po zálohovaní odpojte, v cloude či na NAS-e využite verzionovanie a ochranu snapshotov pred zmazaním.
• Obmedzte administrátorské oprávnenia. Bežná práca pod účtom bez administrátorských práv sťažuje mazanie tieňových kópií aj vypínanie služieb.
• Nesprístupňujte zálohy cez bežné zdieľanie. Úložisko záloh by nemalo byť pripojené ako sieťová jednotka na pracovných staniciach.
• Pravidelne skúšajte obnovu. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad.

Varovné príznaky a čo nerobiť pri útoku

Medzi typické príznaky patria náhle spomalenie systému a vysoká aktivita diskov, súbory s neznámou príponou (napríklad .moon), textové súbory s požiadavkou na výkupné alebo nečakane vypnuté antivírusové a zálohovacie programy. Ak niečo také spozorujete:

• okamžite odpojte zariadenie od siete (kábel, Wi-Fi), ale počítač zbytočne nereštartujte ani nepreinštalujte,
• nepripájajte k napadnutému systému zálohovacie disky,
• nemažte zašifrované súbory ani odkazy s výkupným – môžu byť dôležité pre analýzu a prípadnú obnovu,
• nespúšťajte náhodné „dešifrovacie“ nástroje z internetu ani programy na obnovu dát priamo na postihnutom disku, pretože môžu prepísať stopy, z ktorých by sa ešte dalo niečo zachrániť,
• incident nahláste správcovi IT a pri firmách zvážte aj nahlásenie príslušným orgánom.

Záver

Beast nie je najväčšou ani najznámejšou ransomvérovou skupinou, no jeho rozbor názorne ukazuje, na čo sa útočníci zameriavajú: na zálohy a všetky ďalšie možnosti obnovy. Najlepšou obranou je preto záloha, na ktorú sa útočník jednoducho nedostane.

Ak ste prišli o dáta pre ransomvér, poruchu disku alebo inú nehodu, obráťte sa na odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy – nesprávny zásah môže poškodenie zhoršiť a zmenšiť šancu na úspešnú záchranu.

Zdroj: GBHackers – Hackers Deploy Beast Ransomware to Disable Backup Services, Delete Shadow Copies, and Encrypt Network Drives; Cyber Security News