Ransomware

Ransomware е malware/attack model, при който нападателят прави данни или системи недостъпни, обикновено чрез encryption, и иска откуп. Съвременният ransomware почти винаги трябва да се разглежда като network intrusion plus extortion, а не просто като „вирус, който криптира файлове“. NIST Rev. 1 от 2026 г. изрично включва както encryption, така и theft/extortion. Verizon DBIR 2026 отчита ransomware involvement в 48% от анализираните breaches.

Initial access може да е vulnerability exploitation, stolen credentials, phishing, remote services, third-party compromise или existing malware. След достъп attacker-ът извършва discovery, credential theft, privilege escalation и lateral movement, опитва се да достигне domain/identity infrastructure, hypervisors и backup systems, exfiltrate-ва данни и подготвя mass encryption. Modern operators често унищожават recovery options преди encryption. Mandiant отчита, че 77% от анализираните ransomware intrusions през 2025 г. са включвали suspected data theft, а virtualization infrastructure е била цел в значителна част от случаите.

Приоритизирайте internet-facing patching, phishing-resistant MFA, hardening на VPN/RDP/remote services, EDR, PAM, segmentation и application control. Изолирайте backup management plane, използвайте immutable/offline backups и отделни credentials, и редовно prove-вайте restore. Monitor-вайте mass file changes, backup deletion, abnormal admin activity, lateral movement и new remote-management tools. Incident plan трябва да включва legal, communications, forensics, business continuity и regulator/law-enforcement considerations. CISA и NIST препоръчват layered preparation, detection, response и recovery, не „купете backup и се надявайте“.