Ανατομία ενός Ransomware: κρυπτογράφηση αρχείων και κανάλι C2

Τα βασικά σε ένα λεπτό

Το ransomware δεν είναι «ένα κακό αρχείο που κλειδώνει τον δίσκο». Είναι επιχείρηση: αρχική πρόσβαση, παραμονή, χαρτογράφηση δικτύου, κλοπή δεδομένων, καταστροφή αντιγράφων ασφαλείας, μαζική κρυπτογράφηση και διαπραγμάτευση. Το τεχνικό κομμάτι που τρομάζει περισσότερο —η κρυπτογράφηση— είναι συχνά το τελευταίο στάδιο. Μέχρι τότε ο δράστης έχει ήδη περάσει μέρες ή εβδομάδες μέσα στο περιβάλλον.

Η κρυπτογράφηση στα ώριμα στελέχη ακολουθεί υβριδικό μοντέλο: συμμετρικός αλγόριθμος για τα αρχεία (γρήγορος σε terabytes) και ασύμμετρο wrapping του συμμετρικού κλειδιού ώστε μόνο ο δράστης να μπορεί να το ξεκλειδώσει. Το κανάλι Command-and-Control (C2) δεν είναι πάντα απαραίτητο για το «κλείδωμα»· χρησιμεύει για πολιτικές, στατιστικά, δημόσια κλειδιά, kill-switch και συντονισμό πολλαπλών hosts.

Τι εννοούμε σήμερα «ransomware»

Στις αρχές της δεκαετίας του 2010 το μοντέλο ήταν απλό: μαζική διανομή, τοπικό κλείδωμα, σημείωμα με διεύθυνση bitcoin. Από το 2019 και μετά κυριαρχεί το Ransomware-as-a-Service (RaaS): μια ομάδα αναπτύσσει το «προϊόν», affiliates εισέρχονται σε δίκτυα και μοιράζονται τα λύτρα. Παράλληλα εμφανίστηκε ο διπλός εκβιασμός (κρυπτογράφηση + διαρροή) και μετά ο τριπλός (DDoS, πίεση σε πελάτες, κλήσεις σε δημοσιογράφους).

Για τον defender η ταξινόμηση που μετράει δεν είναι το όνομα της οικογένειας, αλλά τι μπορεί να κάνει το payload στο δικό σου περιβάλλον:

• Crypto-ransomware: αλλοιώνει δεδομένα με κρυπτογράφηση. Το κλασικό «λουκέτο».
• Locker: κλειδώνει την πρόσβαση στο λειτουργικό χωρίς να πειράξει κάθε αρχείο. Πιο σπάνιο σε εταιρικά δίκτυα.
• Wiper μεταμφιεσμένο: καταστροφή χωρίς πραγματικό κλειδί ανάκτησης. Στόχος η διακοπή, όχι τα λύτρα.
• Data-theft extortion: κλέβει και απειλεί διαρροή χωρίς καν να κρυπτογραφήσει. Φτηνότερο, ταχύτερο, πιο δύσκολο να «διορθωθεί» με restore.

Στην Ελλάδα το ρίσκο δεν είναι θεωρητικό: νοσοκομεία, δήμοι, λογιστικά γραφεία, ξενοδοχεία και μικρές βιομηχανίες έχουν το ίδιο προφίλ με τα διεθνή θύματα — Windows domain, παλιά VPN, backups που «κάθονται» στο ίδιο δίκτυο, και λίγοι άνθρωποι να κοιτάζουν logs το Σαββατοκύριακο.

RaaS ως αγορά, όχι ως σκιώδες ρομάντζο

Το affiliate μοντέλο εξηγεί γιατί βλέπεις το ίδιο locker σε εντελώς διαφορετικά θύματα: ο «πελάτης» της υπηρεσίας αγοράζει πρόσβαση σε panel, ανεβάζει δείγματα, παίρνει ποσοστό. Οι leak sites λειτουργούν ως βιτρίνα αξιοπιστίας προς άλλα affiliates («αυτοί πληρώνουν / αυτοί δημοσιεύουν»). Από αμυντική γωνία αυτό σημαίνει βιομηχανική επανάληψη: οι τεχνικές δεν είναι μοναδικές ιδιοφυΐες κάθε φορά. Είναι playbooks που αντιγράφονται. Γι’ αυτό οι δημόσιες αναλύσεις της Microsoft για human-operated ransomware μοιάζουν μεταξύ τους — όχι επειδή οι συγγραφείς βαριούνται, αλλά επειδή οι επιτιθέμενοι ακολουθούν το ίδιο οικονομικό κίνητρο.

Μην ανθρωποποιείς τις ομάδες. Μην αναπαράγεις τα brand τους ως αισθητική. Κατάγραψε τι κάνουν στα δικά σου controls: κλέβουν ταυτότητα, σβήνουν σκιές, κρυπτογραφούν shares, πιέζουν GDPR. Αυτό είναι αρκετό για να σχεδιάσεις άμυνα.

Η αλυσίδα, όπως τη βλέπει το SOC — όχι ο δράστης

Το MITRE ATT&CK χαρτογραφεί τα ίδια στάδια με διαφορετικά ονόματα. Για περιστατικό ransomware μια πρακτική γραμμή είναι αυτή:

Το κρίσιμο insight: αν περιμένεις το σημείωμα λύτρων για να αντιδράσεις, έχεις ήδη χάσει το φθηνό παράθυρο. Τα στάδια Discovery και Inhibit recovery αφήνουν θόρυβο που EDR, Sysmon και backup consoles βλέπουν μέρες νωρίτερα — εφόσον κάποιος τα κοιτάει.

Αρχική πρόσβαση χωρίς «μαγικό exploit»

Στα περισσότερα δημοσιευμένα post-mortems η είσοδος είναι βαρετή: κλεμμένα credentials από infostealer, RDP εκτεθειμένο στο ίντερνετ, VPN appliance χωρίς patch, ή macro/HTML smuggling σε λογιστικό τμήμα. Το ransomware affiliate συχνά αγοράζει την πρόσβαση από initial-access brokers. Αυτό σημαίνει ότι η άμυνα ξεκινά από identity: MFA, conditional access, κλείσιμο RDP, monitoring αποτυχημένων logins, και γρήγορη ανάκληση sessions.

Γιατί καθυστερεί το «λουκέτο»

Η κρυπτογράφηση πριν χαρτογραφηθεί το Active Directory είναι κακή «επιχείρηση»: κλειδώνει ένα laptop και ξυπνάει το SOC, ενώ ο domain controller και τα backups μένουν άθικτα. Γι’ αυτό βλέπεις dwell time. Από αμυντική σκοπιά, κάθε ώρα dwell είναι ευκαιρία: ανωμαλία σε lsass access, ασυνήθιστο RDP από helpdesk account τη νύχτα, νέο service, απενεργοποίηση Microsoft Defender μέσω GPO.

Πώς κρυπτογραφούνται τα αρχεία — εννοιολογικά

Η δημοφιλής παρεξήγηση είναι ότι το malware «σπάει τον δίσκο με AES». Στην πράξη ένα ώριμο στέλεχος πρέπει να λύσει τρία μηχανικά προβλήματα: ταχύτητα (εκατομμύρια αρχεία), αδυναμία ανάκτησης χωρίς τον δράστη, και επιβίωση σε διακοπή (reboot στη μέση της διαδικασίας).

Γιατί υβριδικό σχήμα

Η συμμετρική κρυπτογράφηση (οικογένεια AES, ChaCha και παραλλαγές που εμφανίζονται σε δημόσιες αναλύσεις) είναι γρήγορη: μπορεί να τρέξει με hardware acceleration στο CPU. Η ασύμμετρη (RSA, καμπύλες) είναι αργή για μεγάλα αρχεία, αλλά ιδανική για να τυλίξει μικρά μυστικά — δηλαδή τα συμμετρικά κλειδιά.

Αυτό εξηγεί γιατί τα «decryptors του internet» δουλεύουν μόνο όταν οι ερευνητές βρουν λάθος υλοποίηση (επαναχρησιμοποίηση κλειδιού, κακή γεννήτρια τυχαιότητας, κλειδί που μένει στη μνήμη/δίσκο, master key που διέρρευσε από leak της ίδιας της συμμορίας). Δεν «σπάνε το AES». Εκμεταλλεύονται αστοχία μηχανικής.

Enumeration: τι διαλέγεται για κλείδωμα

Πριν την εγγραφή, το payload συνήθως χαρτογραφεί τόμους και μερίδια. Από δημόσιες αναλύσεις οικογενειών (LockBit, BlackCat/ALPHV, Conti leaks) επαναλαμβάνονται μοτίβα που ο defender μπορεί να μεταφράσει σε detections:

• Προτεραιότητα σε file servers και databases — εκεί πονάει η επιχείρηση.
• Αποφυγή φακέλων λειτουργικού ώστε τα Windows να μείνουν αρκετά ζωντανά για να δείξουν το σημείωμα.
• Φίλτρα επεκτάσεων (έγγραφα, εικόνες, backups, VMDK/VHDX) αντί για τυφλό πέρασμα από κάθε DLL του System32.
• Παράλληλοι workers για ταχύτητα· στο EDR φαίνεται ως έκρηξη file-rename / write σε πολλά directories.
• Network shares: αν ο μολυσμένος λογαριασμός βλέπει το \\fileserver\finance, το «ένα PC» γίνεται όλο το τμήμα.

Αλλαγή ονόματος, headers και σημειώματα

Πολλά στελέχη προσθέτουν επέκταση ή αλλάζουν το magic header ώστε τα εργαλεία recovery να καταλαβαίνουν «αυτό είναι θύμα της οικογένειας Χ». Το σημείωμα λύτρων (README, HOW_TO_DECRYPT και παραλλαγές) εμφανίζεται σε κάθε επηρεαζόμενο φάκελο ή στην επιφάνεια εργασίας μέσω πολιτικής. Για το SOC αυτά είναι late indicators: χρήσιμα για ταξινόμηση οικογένειας, άχρηστα για πρόληψη.

Inhibit recovery: το πραγματικό μαχαίρι

Πριν ή κατά την κρυπτογράφηση, τα στελέχη επιχειρούν να αφαιρέσουν τις εύκολες διεξόδους. Σε Windows περιβάλλοντα οι δημόσιες αναφορές επαναλαμβάνουν:

• Διαγραφή Volume Shadow Copies — γι’ αυτό κανόνες σε vssadmin, wmic shadowcopy, wbadmin είναι κλασικά detections.
• Επίθεση σε backup agents, NAS admin consoles, Veeam/Hyper-V/vCenter αν βρέθηκαν credentials.
• Απενεργοποίηση recovery features ή boot σε ασφαλή λειτουργία όπου το EDR είναι τυφλό — εξαρτάται από την οικογένεια και την έκδοση.

Partial encryption και ταχύτητα

Ορισμένες οικογένειες κρυπτογραφούν μόνο τμήματα μεγάλων αρχείων (headers / intermittent blocks). Στόχος: να καταστρέψουν τη χρηστικότητα ενός VMDK πολλών δεκάδων GB σε λεπτά, όχι σε ώρες. Για τον forensic analyst αυτό αλλάζει την εικόνα στο δίσκο (μικρότερο entropy footprint ανά αρχείο)· για το θύμα το αποτέλεσμα είναι το ίδιο: το VM δεν σηκώνει.

Γιατί το «κρατάω το PC ανοιχτό» σπάνια σώζει

Σε παλιά, κακογραμμένα δείγματα το συμμετρικό κλειδί έμενε στη μνήμη και ερευνητές το ανέσυραν. Στα σύγχρονα affiliate builds αυτό είναι σπάνιο δώρο. Η πρακτική συμβουλή παραμένει: απομόνωσε το host από το δίκτυο για να σταματήσει το lateral και το C2, αλλά μην περιμένεις RAM dump ως στρατηγική ανάκτησης δεδομένων εταιρείας. Η στρατηγική ανάκτησης είναι backup που ο δράστης δεν μπορούσε να δει.

Πώς επικοινωνεί με τον C2 — και πότε δεν χρειάζεται

C2 σημαίνει ότι ένα μολυσμένο host ανοίγει κανάλι προς υποδομή που ελέγχει ο δράστης για να πάρει εντολές ή να στείλει κατάσταση. Στο ransomware το κανάλι παίζει διαφορετικούς ρόλους ανά αρχιτεκτονική:

Σε πολλά commodity δείγματα το locker είναι «offline»: το δημόσιο κλειδί είναι embedded, δεν υπάρχει callback, και η μόνη επικοινωνία είναι το σημείωμα με διεύθυνση Tor. Στα affiliate operations της μεγάλης κατηγορίας, το locker είναι το τελικό στάδιο ενός broader C2 ecosystem (hands-on-keyboard framework) που προϋπήρχε μέρες.

Κανάλια που βλέπουμε ξανά και ξανά

Χωρίς να μπαίνουμε σε πρωτόκολλα υλοποίησης, τα μοτίβα υποδομής είναι γνωστά στις ομάδες threat intel:

• HTTPS προς VPS / CDN: μοιάζει με κανονικό web traffic. Το TLS κρύβει το περιεχόμενο· μένει metadata (SNI, συχνότητα, μέγεθος).
• Domain generation / fast-flux: ανθεκτικότητα σε takedown. Στο DNS φαίνεται ως ροή αποτυχημένων ή σπάνιων lookups.
• Κατάχρηση νόμιμων cloud APIs: Discord, Telegram, Paste sites, object storage. Δύσκολο μπλοκάρισμα χωρίς CASB / egress policy.
• Tor / I2P: συχνά για leak sites και chat πληρωμής, όχι πάντα για κάθε infected endpoint.
• Blockchain / smart contracts: όπως στο EtherHiding που έχουμε καλύψει στο ChainFix — ανθεκτικό CDN για ρυθμίσεις, όχι μαγική κρυπτογράφηση.
• DNS tunneling: όταν το HTTP κόβεται. Υψηλό NXDOMAIN / μεγάλα TXT είναι κλασικό κυνήγι.

Handshake με απλά λόγια (χωρίς recipe)

Ένα τυπικό beacon, όπως το περιγράφουν δημόσιες αναλύσεις C2 frameworks, μοιάζει με ρουτίνα υγείας: το implant ξυπνά, συλλέγει αθώα φαινομενικά στοιχεία συστήματος (hostname, user, OS build), τα στέλνει, παίρνει πίσω «κοιμήσου Χ δευτερόλεπτα» ή «τρέξε module». Στο ransomware module το «τρέξε» μπορεί να σημαίνει «ξεκίνα enumeration τώρα». Ο defender δεν χρειάζεται το binary του implant για να δει το μοτίβο: νέα διαδικασία με δίκτυο προς rare destination, ακολουθούμενη από mass file I/O.

Encryption keys και C2: τρεις αρχιτεκτονικές

1. Embedded public key: κάθε θύμα χρησιμοποιεί το ίδιο ζεύγος της καμπάνιας. Απλό, αλλά αν το ιδιωτικό διαρρεύσει (leak συμμορίας, σύλληψη), βγαίνει decryptor για όλους.
2. Per-victim key issued at callback: το C2 δίνει μοναδικό υλικό. Πιο ανθεκτικό σε μαζικά decryptors· αφήνει δίκτυο-ίχνος πριν το impact.
3. Affiliate panel: ο human operator βλέπει dashboard με IDs θυμάτων. Το endpoint μιλά σε panel, όχι «σε ένα IP που βρήκαμε στο malware.bazaar και τελείωσε η ιστορία».

Γι’ αυτό η αποκοπή C2 μπορεί να σταματήσει συντονισμένο κύμα σε εξέλιξη, αλλά δεν ξεκλειδώνει ήδη κρυπτογραφημένα αρχεία. Firewall block ≠ recovery.

Beaconing: ο ρυθμός που προδίδει

Ακόμα κι όταν το TLS είναι σωστό και το domain μοιάζει αθώο, το χρονικό μοτίβο μένει. Τα implants συχνά χτυπούν με σταθερό διάστημα συν jitter (τυχαία απόκλιση για να μην φαίνεται μετρονόμος). Σε δίκτυο με λίγους σταθμούς αυτό χάνεται στον θόρυβο του SaaS. Σε δίκτυο όπου έχεις netflow, ένα host που μιλά κάθε 60±20 δευτερόλεπτα σε IP που κανείς άλλος δεν επισκέπτεται, αξίζει investigation — ιδιαίτερα αν ο ίδιος host μετά ανοίγει SMB προς όλους τους file servers.

Οι ομάδες threat intel δημοσιεύουν JA3/JA4 fingerprints, user-agents και certificate anomalies. Αυτά λήγουν γρήγορα. Γι’ αυτό η ανθεκτική στρατηγική είναι allow-list κατευθύνσεων για servers (ενημερώσεις, backup cloud, ταυτοποίηση) και συναγερμός στο υπόλοιπο, όχι ατέρμονη λίστα IoCs από χθεσινό tweet.

Living-off-the-land πριν το locker

Το hands-on-keyboard στάδιο σπάνια φέρνει αμέσως το binary με το λουκέτο. Φέρνει εργαλεία διαχείρισης: απομακρυσμένο PowerShell, αντιγραφή με BITS, χρήση ήδη εγκατεστημένων remote support apps, ή abuse του ίδιου του backup software. Το C2 εδώ μπορεί να είναι το framework, ενώ το ransomware executable να κατέβει μόνο την ώρα μηδέν. Αν το playbook σου αρχίζει με «ψάξε για γνωστό hash locker», έχεις χάσει όλη την εβδομάδα που ο άνθρωπος ήταν μέσα ως «κακός sysadmin».

Τι βλέπει το SOC ενώ συμβαίνει

Παρακάτω μια εκπαιδευτική αναπαραγωγή από τη σκοπιά του αναλυτή: γεγονότα που δημοσιεύονται ξανά και ξανά σε IR reports. Δεν είναι playbook επίθεσης.

Κυνήγι που αξίζει περισσότερο από antivirus popup

• Απενεργοποίηση ή tamper σε EDR / Microsoft Defender.
• Mass deletion of shadow copies και backup jobs που αποτυγχάνουν ξαφνικά.
• Account που δεν είναι backup-admin αλλά ανοίγει το backup console.
• SMB enumeration ακολουθούμενο από writes σε δεκάδες shares.
• Outbound προς rare ASN αμέσως πριν την έκρηξη I/O.
• Νέα scheduled tasks / services με ονόματα που μιμούνται Windows updates.

# Παραδείγματα ΕΛΕΓΧΟΥ, όχι exploit. Τρέξε σε lab ή με αρμοδιότητα IR.
# 1) Πρόσφατες αποτυχίες backup / VSS από Event Log
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=8193,13; StartTime=(Get-Date).AddDays(-2)} -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message -First 20

# 2) Ασυνήθιστες συνδέσεις SMB από ένα workstation
Get-SmbSession | Sort-Object ClientComputerName

# 3) Υπηρεσίες που εμφανίστηκαν τις τελευταίες 48 ώρες
Get-CimInstance Win32_Service |
  Where-Object { $_.InstallDate -and ([datetime]::ParseExact($_.InstallDate.Substring(0,8),'yyyyMMdd',$null) -gt (Get-Date).AddDays(-2)) } |
  Select-Object Name, State, StartName

Αν δεν έχεις εμπορικό EDR, έστω Sysmon + κεντρικά logs. Χωρίς ιστορικό διαδικασιών, μετά το lock μένεις με εικασίες.

Μετά το λουκέτο: διαπραγμάτευση, leak sites, πίεση

Το τεχνικό payload τελειώνει· αρχίζει το business process. Leak sites στο Tor δημοσιεύουν ονόματα θυμάτων, δείγματα αρχείων, μετρητές αντίστροφης μέτρησης. Οι διαπραγματευτές μιλούν αγγλικά, δίνουν «proof of decryption» σε δύο αρχεία, και σπρώχνουν προθεσμίες. Αυτό είναι κοινωνική μηχανική πάνω σε κρίση.

Ο διπλός εκβιασμός αλλάζει την εξίσωση backups: ακόμα κι αν επαναφέρεις ERP σε 12 ώρες, τα κλεμμένα συμβόλαια, ιατρικά ή προσωπικά δεδομένα μπορεί να παραβιάζουν GDPR. Στην ΕΕ αυτό τραβάει ΔΠΑ, γνωστοποίηση, και πιθανά πρόστιμα — ανεξάρτητα από το αν πλήρωσες.

Οικογένειες που δίδαξαν την αγορά — χωρίς λατρεία του δράστη

• 2017 — WANNACRYWorm + locker + kill-switch domain. Έδειξε ότι τυχαίο scanning plus leaked exploit (EternalBlue) ισοπεδώνει αμάζευτα Windows. Το «ακούσιο» kill-switch υπενθύμισε ότι οι δράστες κάνουν λάθη — και ότι το patching είναι φθηνότερο από εθνικό περιστατικό.
• 2019–2022 — RYUK / CONTiBig-game hunting. Χειροκίνητη κίνηση στο AD, κλοπή πριν το lock. Τα Conti leaks έδωσαν στην κοινότητα εγχειρίδια affiliates: γι’ αυτό ξέρουμε τόσο καλά τη «ρουτίνα» χωρίς να την αναπαράγουμε.
• 2020+ — LOCKBITΤαχύτητα κρυπτογράφησης και RaaS UX. Δημόσιες αναλύσεις εστιάζουν σε πολυνηματική I/O και αυτοματοποίηση. Μετά από διαδοχικές διαταραχές της υποδομής, τα στελέχη και τα rebrands συνεχίζουν το μοντέλο.
• 2021+ — BLACKCAT / ALPHVRust, πολλαπλά OS, ευέλικτο config. Υπενθύμισε ότι το «Windows only» μοντέλο τελείωσε· Linux ESXi lockers χτυπούν εκεί που ζουν τα VMs.
• 2023–2026 — DATA-THEFT FIRSTΜερικές ομάδες παραλείπουν το crypto. Λιγότερος θόρυβος στο δίσκο, ίδιος GDPR πόνος. Το EDR που ψάχνει μόνο entropy spikes τα χάνει.

Το μάθημα δεν είναι η μυθολογία των ονομάτων. Είναι ότι το εργαλείο αλλάζει, η φυσική του επιχειρησιακού πόνου μένει: identity, backups, υπερεξουσία admin, αργή ανίχνευση.

Windows, Linux, NAS και hypervisors: το ίδιο έργο, άλλο σκηνικό

Στα Windows το δράμα παίζεται γύρω από το Active Directory. Ένας λογαριασμός με ευρεία πρόσβαση σε DFS namespaces μετατρέπει ένα endpoint σε καταλύτη. Group Policy μπορεί να χρησιμοποιηθεί από τον εισβολέα — αφού έχει domain privilege — για να απενεργοποιήσει προστασίες ή να μοιράσει payload. Αυτό δεν σημαίνει ότι «η GPO είναι ευπάθεια»· σημαίνει ότι όποιος κατέχει το δάσος κατέχει τους διακόπτες. Οι defenders μετράνε αλλαγές GPO, νέους scheduled tasks σε κλίμακα, και logon από σταθμούς που δεν είναι privileged access workstations.

Στα Linux η εικόνα αλλάζει: systemd units, cron, SSH keys, containers. Τα lockers που στοχεύουν ESXi μπήκαν στο προσκήνιο γιατί εκεί ζει η πεμπτουσία της εταιρείας — δεκάδες μηχανές σε έναν hypervisor. Δημόσιες συμβουλές της CISA για ESXi ransomware επαναλαμβάνουν τα ίδια βαρετά και σωστά: SSH κλειστό όταν δεν χρειάζεται, lockdown mode, ξεχωριστά credentials από το Windows domain, patched ESXi, backups που δεν κρέμονται από το ίδιο vCenter που μόλις καταλήφθηκε. Αν το snapshot σου κάθεται στο ίδιο datastore που κρυπτογραφείται, το snapshot είναι διακοσμητικό.

Τα NAS είναι ο σιωπηλός τάφος των μικρομεσαίων. Άπειρα γραφεία στην Ελλάδα έχουν Synology/Qnap στο ράφι, με admin «password1» και QuickConnect ανοιχτό. Ο δράστης δεν χρειάζεται zero-day όταν το management interface βλέπει το ίντερνετ. Από την οπτική recovery, το NAS είναι ταυτόχρονα παραγωγή και backup — η χειρότερη σύμπτωση. Χώρισε τα δύο: replication προς immutable bucket ή προς δίσκο που δεν είναι μόνιμα mounted στο ίδιο LAN με write access από τον file server.

Mutex, unique ID θύματος και «μην κρυπτογραφήσεις δύο φορές»

Αναλύσεις binaries αναφέρουν συχνά μηχανισμούς αποφυγής διπλής κρυπτογράφησης: ένα marker στο αρχείο, μια επέκταση, ένα named mutex στο λειτουργικό ώστε δύο instances να μην πατήσουν τα ίδια δεδομένα. Για τον forensic αυτό είναι fingerprint οικογένειας. Για την άμυνα είναι δευτερεύον. Το πρωτεύον παραμένει: πιάσε την κίνηση πριν τους workers.

Γλώσσες υλοποίησης (χωρίς να σε νοιάζει για reverse από το μηδέν)

C/C++ παραμένει κοινό. Rust εμφανίστηκε σε οικογένειες όπως το BlackCat, με αφήγημα «πιο δύσκολο reverse». Go χρησιμοποιείται σε loaders και cross-compile. Από SOC σκοπιά η γλώσσα μετράει κυρίως για το packing, τα telemetry artifacts (runtime folders) και το αν το EDR έχει visibility σε unmanaged code. Μην οργανώσεις την άμυνά σου γύρω από «αν είναι Rust είμαστε χαμένοι». Οργάνωσέ την γύρω από συμπεριφορά.

Ψευδώς θετικά, ψευδώς αρνητικά και η ζωή του αναλυτή βάρδιας

Ένας κανόνας «alert αν τρέξει vssadmin» θα ξυπνήσει και τον backup admin που καθαρίζει σκιές νόμιμα. Γι’ αυτό τα detections θέλουν context: ποιος χρήστης, από ποιο parent process, σε ποια ώρα, σε πόσα μηχανήματα ταυτόχρονα. Το ransomware σε εταιρικό δίκτυο σπάνια είναι ένα event. Είναι συστάδα.

Αντίστροφα, το «περίμενα entropy spike στα αρχεία» αποτυγχάνει όταν ο δράστης κλέβει δεδομένα και φεύγει χωρίς crypto, ή όταν κρυπτογραφεί μόνο headers. Γι’ αυτό οι ομάδες ώριμου SOC δένουν identity alerts (impossible travel, new MFA device, DCSync-like patterns) με data-movement (unusual volume προς cloud) και με inventory αλλαγών σε backup jobs. Τρία αδύναμα σήματα μαζί νικούν ένα «τέλειο» signature που ο affiliate άλλαξε χθες.

Στην ελληνική πραγματικότητα πολλές εταιρείες έχουν έναν εξωτερικό IT που κοιτάει tickets, όχι SIEM. Εκεί το minimum viable defense είναι: MFA παντού, κλειστό RDP, δοκιμασμένο backup εκτός δικτύου, και ένα EDR με τηλεφωνική κλήση όταν γίνει isolation. Δεν είναι «σοφιστικέ threat intel». Είναι να μην είσαι το χαμηλότερο μήλο.

Ασφάλιση και NIS2 χωρίς ψευδαισθήσεις

Τα cyber insurance questionnaires ρωτούν ακριβώς αυτά που βαριόμαστε: MFA, EDR, immutable backups, incident plan. Μετά από ένα περιστατικό, ο ασφαλιστής θα ψάξει αν οι απαντήσεις ήταν αληθινές. Το NIS2, όπου εφαρμόζεται, προσθέτει υποχρεώσεις αναφοράς και διακυβέρνησης. Κανένας κανονισμός δεν decryptάρει αρχεία. Όλοι όμως τιμωρούν την αμέλεια της ίδιας λίστας ελέγχου.

Τι κάνεις τις πρώτες ώρες (λειτουργικά, όχι κινηματογραφικά)

1. Απομόνωσε επηρεαζόμενα hosts από το δίκτυο (isolation button στο EDR, όχι «κλείσε το firewall όλης της εταιρείας» χωρίς σχέδιο τηλεφωνίας/πληρωμών).
2. Μην αρχίσεις μαζικά reimage πριν πάρεις forensic τεκμήρια από 2–3 δείγματα και memory αν γίνεται. Θα σβήσεις την απάντηση στο «πώς μπήκαν».
3. Άλλαξε προτεραιότητα identity: krbtgt, domain admins, VPN, cloud break-glass, backup consoles. Υπόθεσε ότι τα passwords διέρρευσαν.
4. Σταμάτα την αιμορραγία shares / hypervisors. Κλείσε SMB εκεί που πονάει, βγάλε snapshot σε αποθηκευτικό που ο δράστης δεν ελέγχει ήδη.
5. Επικοινώνησε: διοίκηση, ΔΠΑ αν υπάρχουν δεδομένα υποκειμένων, ασφαλιστής cyber, πάροχος IR. Στην Ελλάδα ενημέρωσε και την Εθνική Αρχή Κυβερνοασφάλειας σύμφωνα με τις υποχρεώσεις σου (NIS2 όπου εφαρμόζεται).
6. Restore από immutable/offline αντίγραφο αφού καθαρίσεις το μονοπάτι εισόδου. Restore πάνω σε ακόμα μολυσμένο AD ξανακλειδώνει σε 24 ώρες — κλασική παγίδα.

Η επαναφορά χωρίς root-cause είναι θέατρο. Η ρίζα είναι σχεδόν πάντα ένα identity ή ένα unpatched edge device, όχι «το AES».

Επικοινωνία προς προσωπικό χωρίς πανικό

Οι εργαζόμενοι θα προσπαθήσουν να «διορθώσουν» μόνοι τους: θα τρέξουν τυχαία tools από το ίντερνετ, θα συνδέσουν εξωτερικούς δίσκους στο μολυσμένο PC «για να σώσουν αρχεία», θα πληρώσουν από προσωπικό πορτοφόλι. Ένα σύντομο μήνυμα από IT — αποσυνδέστε καλώδιο δικτύου αν σας το ζητήσουμε, μην ανοίγετε τα σημειώματα ως οδηγίες, μην πληρώνετε, μην κάνετε restore μόνοι — σώζει περισσότερα από οποιοδήποτε δελτίο τύπου. Κρατήστε κανάλι εκτός του πιθανώς μολυσμένου email: τηλέφωνο, SMS από γνωστό αριθμό, έντυπο στην είσοδο.

Forensics στο ελάχιστο που αξίζει

Δεν χρειάζεσαι πλήρες memory forensics σε 200 μηχανήματα την πρώτη νύχτα. Χρειάζεσαι: disk image ή τουλάχιστον το δείγμα του locker + ransom note από ένα θύμα, export logs EDR, λίστα λογαριασμών που κινήθηκαν lateral, και το firewall/VPN log της αρχικής εισόδου. Η ταυτοποίηση οικογένειας βοηθά για No More Ransom και για νομική αφήγηση· σπάνια αλλάζει το restore plan. Μην καθυστερείς την απομόνωση για να «κάνεις τέλειο autopsy».

Checklist που μειώνει την πιθανότητα να χρειαστείς decryptor

• Backups 3-2-1 με τουλάχιστον ένα offline ή immutability lock. Δοκίμασε restore ανά τρίμηνο. Αν δεν έχεις δοκιμάσει, δεν έχεις backup — έχεις ελπίδα. Δες τον οδηγό home-lab 3-2-1.
• MFA σε VPN, email, RDP gateways, cloud. Κλείσε raw RDP στο ίντερνετ.
• Least privilege: χωριστά admin workstations, κανένα daily browsing ως Domain Admin.
• EDR με isolation + tamper protection. Alert σε VSS deletion και disable of security tools.
• Patch edge (VPN, firewalls, file-transfer appliances). Αυτό είναι το αγαπημένο αρχικό access του 2023–2026.
• Egress filtering: workstations δεν χρειάζονται ελεύθερο 443 προς όλο το IPv4. Proxy με TLS inspection όπου είναι νόμιμο/εφικτό.
• Προστασία backup console με ξεχωριστό identity store. Ο domain admin δεν πρέπει να είναι αυτόματα backup god.
• Email hardening + εκπαίδευση, αλλά μην στηρίζεσαι μόνο εκεί· τα stolen creds παρακάμπτουν το phishing του μήνα.
• Σχέδιο επικοινωνίας και tabletop μια φορά τον χρόνο. Το ransomware είναι και κρίση φήμης.
• Inventory: ξέρεις πού είναι τα ESXi, τα NAS, τα Raspberry που «κάποιος έστησε»; Ο δράστης θα τα βρει με scan.

Συχνές ερωτήσεις

Η ανατομία σε μία πρόταση

Το ransomware κρυπτογραφεί γρήγορα με συμμετρικά κλειδιά, κλειδώνει αυτά τα κλειδιά με μαθηματικά που δεν σπας στο γόνατο, μιλά σε C2 όταν θέλει συντονισμό ή μοναδικά κλειδιά, και κερδίζει όταν τα αντίγραφά σου κάθονται στο ίδιο βασίλειο δικαιωμάτων με τον domain admin. Η απάντηση είναι βαρετή και ακριβή σε πειθαρχία: ταυτότητες, ορατότητα, απομονωμένα backups, πατσαρισμένο edge. Ό,τι λάμπει ως «νέος αλγόριθμος του μήνα» είναι συνήθως το λιγότερο ενδιαφέρον μέρος της νεκροψίας.