Ransomware i zaszyfrowane pliki: co zrobić po ataku

Ogranicz dalsze szkody

1. Odłącz kabel sieciowy oraz Wi-Fi podejrzanego urządzenia. Sprawdź z administratorem, czy problem obejmuje także współdzielone zasoby i inne stanowiska.
2. Nie podłączaj dysku z backupem ani dodatkowych udziałów. Nie uruchamiaj kopii w środowisku, którego bezpieczeństwo nie zostało ocenione.
3. Z innego zaufanego urządzenia przekaż informację o objawach, czasie i nazwach dotkniętych systemów. Nie rozsyłaj podejrzanych plików do wszystkich pracowników.

Zachowaj informacje przed naprawą

Zapisz treść komunikatu i przykładowe nazwy lub rozszerzenia plików. Nie kasuj losowo katalogów i nie testuj wielu deszyfratorów na jedynych danych. Decyzja o wyłączeniu zasilania wymaga uwzględnienia przebiegu zdarzenia; nie ma jednego nakazu odpowiedniego dla każdej sytuacji. Specjalista może potrzebować informacji, które znikną po restarcie lub reinstalacji. Jeżeli nie możesz odłączyć zainfekowanego urządzenia od sieci, wyłączenie może ograniczyć rozprzestrzenianie ataku, ale powoduje utratę danych ulotnych. W firmie stosuj procedurę administratora.

Odzyskiwanie zacznij od planu

Najpierw trzeba ocenić zakres incydentu i dostępne kopie. Następnie ustala się, z jakiego momentu można bezpiecznie odtworzyć dane i na jakim środowisku. Projekt No More Ransom udostępnia informacje o rozpoznawaniu zagrożeń oraz narzędzia dla wybranych rodzin ransomware. Brak odpowiedniego narzędzia oznacza, że nie należy obiecywać deszyfracji.

Rozdziel ograniczenie incydentu od odzyskiwania danych

Pierwszym zadaniem jest zatrzymanie dalszego oddziaływania, a dopiero kolejnym przywrócenie pracy. Nie zaczynaj od podpinania wszystkich dysków w poszukiwaniu „dobrej kopii”. Przygotuj informację, gdzie znajdują się kopie, kto ma do nich dostęp i kiedy ostatnio sprawdzano odtworzenie. Osoba prowadząca reakcję dobierze bezpieczny sposób ich oceny.

W małej firmie wyznacz jedną osobę zbierającą informacje. Dwie osoby równocześnie restartujące komputer, zmieniające konta i podłączające nośniki mogą utrudnić ustalenie, co zadziałało. Krótka lista wykonanych czynności z godzinami jest przydatniejsza niż kilkanaście nieskoordynowanych prób. Do kontaktu używaj kanału dostępnego niezależnie od dotkniętego systemu.

Co przygotować do rozmowy o zaszyfrowanych plikach

• Określ, które stanowiska i zasoby przestały działać. Oddziel to, co sprawdzono, od przypuszczenia, że problem dotyczy całej firmy.
• Zapisz, jakie zadania są pilne: wystawienie dokumentów, realizacja zamówień czy dostęp do terminarza. Ułatwia to ustalenie kolejności odtwarzania.
• Podaj informacje o istniejących kopiach i odpowiedzialnych za nie osobach. Nie przesyłaj haseł ani archiwów zawierających dane klientów zwykłym formularzem.
• Zachowaj komunikat o okupie i przykładowe rozszerzenia plików. Nie publikuj wszystkich materiałów, zwłaszcza gdy zawierają dane firmy lub osób.

Dlaczego kopia zapasowa wymaga sprawdzenia przed powrotem do pracy

Obecność pliku z datą wczorajszą nie mówi jeszcze, czy można z niego odtworzyć potrzebny program. Ustal, jakie dane zawiera kopia i jaki okres pracy trzeba będzie uzupełnić. Test wykonuje się w przygotowanym środowisku. Dopiero sprawdzenie otwierania dokumentów i działania konkretnej aplikacji daje podstawę do decyzji o przywróceniu jej użytkownikom.

Czy darmowy deszyfrator rozwiąże każdy atak ransomware?

Nie. Narzędzia dotyczą określonych zagrożeń i sytuacji. Przypadkowy program z obietnicą naprawy wszystkich plików może pogorszyć stan danych. Sprawdź oficjalne źródło narzędzia i zgodność z rozpoznanym przypadkiem; nie eksperymentuj na jedynej kopii. Brak możliwości odszyfrowania nie powinien być maskowany obietnicą pewnego wyniku za dodatkową opłatą.

Przywrócenie plików nie kończy incydentu

Po odtworzeniu sprawdź aplikacje, uprawnienia i drogę, którą mogło dojść do zdarzenia. Zapłata nie daje gwarancji zwrotu danych ani usunięcia ich skradzionej kopii. Zgłoszenie techniczne do serwisu nie zastępuje oceny obowiązków organizacji. Ustal właściciela decyzji oraz sposób kontaktu z właściwymi instytucjami.