Odzyskiwanie i kasowanie danych

Ktoś sterował kursorem na moim ekranie — co właściwie stało się z komputerem?

Dzwoniący klienci bardzo często opisują to samo zdarzenie: na ekranie nagle pojawiło się obce okno, kursor myszy zaczął poruszać się samoczynnie, a po chwili otworzyły się foldery z dokumentami lub program pocztowy. Czasami cała sytuacja zaczyna się od telefonu rzekomego pracownika banku, pomocy technicznej lub instytucji finansowej, który nakłania do zainstalowania programu do pomocy zdalnej. W innych przypadkach przejęcie następuje po kliknięciu podejrzanego załącznika w poczcie elektronicznej bądź wejściu na spreparowaną stronę internetową.

Zdalne przejęcie kontroli nad systemem operacyjnym oznacza, że nieuprawniona osoba uzyskała dostęp do pulpitu oraz uprawnień zalogowanego użytkownika. W praktyce ma ona wówczas wgląd w otwarte aplikacje, zapisane hasła w przeglądarkach, historię korespondencji oraz wszystkie pliki znajdujące się na dyskach twardych i podłączonych nośnikach zewnętrznych. Po zakończeniu takiego połączenia użytkownicy często zauważają zmienione nazwy plików, brakujące dokumenty, nowe skróty na pulpicie lub komunikaty z żądaniem kontaktu w zamian za rzekome odblokowanie danych.

Jakie ślady pozostawia nieautoryzowany dostęp zdalny?

W zależności od celu osoby przejmującej kontrolę, skutki mogą być widoczne od razu lub ujawnić się dopiero po pewnym czasie. Klienci najczęściej zgłaszają następujące objawy:

• Nietypowe pliki tekstowe lub graficzne na pulpicie — krótkie notatki informujące o zaszyfrowaniu zawartości dysku lub zablokowaniu dostępu do poczty.
• Zablokowany dostęp do plików osobistych — dokumenty, zdjęcia lub arkusze kalkulacyjne nie chcą się otworzyć, a ich rozszerzenia zostały zmienione na ciąg losowych znaków.
• Wiadomości e-mail wysłane bez wiedzy właściciela — w folderze elementów wysłanych pojawia się masowa korespondencja rozsyłana do kontaktów z książki adresowej.
• Nowe ikony programów do obsługi zdalnej — narzędzia umożliwiające ponowne połączenie w tle, uruchamiające się automatycznie przy starcie systemu operacyjnego.
• Wylogowanie z kont internetowych — nagła utrata dostępu do portali społecznościowych, poczty elektronicznej lub komunikatorów w wyniku zmiany danych uwierzytelniających.
• Komunikaty o błędach zapory sieciowej — wyłączone oprogramowanie ochronne lub powiadomienia o zablokowaniu wbudowanych mechanizmów obronnych systemu.

Jak dochodzi do przejęcia kontroli nad urządzeniem i zaszyfrowania danych?

Mechanizm nieautoryzowanego dostępu rzadko wynika z bezpośredniej luki technicznej samego komputera. Najczęściej jest to sekwencja zdarzeń, w której kluczową rolę odgrywa manipulacja lub nieuwaga:

1. Socjotechnika i nakłonienie do instalacji oprogramowania — najczęstsza przyczyna. Rozmówca podszywający się pod konsultanta nakazuje pobranie legalnego programu do zdalnego pulpitu, a następnie prosi o podanie jednorazowego kodu dostępu. Po uzyskaniu połączenia instalowane są dodatkowe narzędzia działające w tle.
2. Złośliwe załączniki w korespondencji e-mail — wiadomości udające faktury, powiadomienia od firm kurierskich lub wezwania do zapłaty. Uruchomienie załącznika powoduje pobranie skryptu, który otwiera tak zwany backdoor — niewidoczne dla użytkownika wejście do systemu.
3. Skompromitowane hasła dostępowe — używanie tego samego hasła w wielu serwisach internetowych. Gdy baza danych jednego z portali wycieka do sieci, osoby trzecie próbują wykorzystać te same dane do logowania się przez usługi zdalnego pulpitu skonfigurowane na komputerze domowym lub firmowym.
4. Uruchomienie skryptu szyfrującego (ransomware) — program złośliwy zmienia strukturę plików za pomocą algorytmów kryptograficznych, uniemożliwiając ich odczytanie bez odpowiedniego klucza. Najczęściej celuje w dokumenty biurowe, bazy danych programów magazynowych oraz zdjęcia.

Jak przebiega profesjonalna diagnoza i neutralizacja zagrożenia?

Praca serwisu w przypadku incydentu bezpieczeństwa polega na metodycznym zabezpieczeniu danych, usunięciu złośliwego oprogramowania oraz przywróceniu stabilności systemu operacyjnego. Każde działanie jest poprzedzone wyceną, którą klient poznaje przed rozpoczęciem pracy. Proces obejmuje konkretne etapy techniczne:

• Izolacja środowiska pracy — natychmiastowe odcięcie urządzenia od wszelkich sieci bezprzewodowych oraz przewodowych w celu zablokowania komunikacji ze zdalnym serwerem kontrolnym.
• Kopia posektorowa nośnika — wykonanie wiernego obrazu dysku twardego na poziomie każdego pojedynczego sektora przed rozpoczęciem jakichkolwiek modyfikacji. Dzięki temu oryginalny stan nośnika pozostaje nienaruszony, a wszelkie próby analizy odbywają się na bezpiecznej kopii roboczej.
• Analiza procesów autostartu i harmonogramu zadań — szczegółowa weryfikacja usług uruchamiających się podczas ładowania systemu, rejestru systemowego oraz ukrytych zadań, które mogłyby pobrać złośliwe oprogramowanie po restarcie.
• Ekstrakcja i identyfikacja próbek kodu — sprawdzenie typu użytego oprogramowania szyfrującego lub szpiegującego pod kątem obecności publicznie dostępnych narzędzi deszyfrujących opracowanych przez zespoły do spraw bezpieczeństwa.
• Weryfikacja integralności kont i uprawnień — sprawdzenie, czy w systemie nie utworzono ukrytych kont z uprawnieniami administracyjnymi oraz usunięcie nieautoryzowanych certyfikatów bezpieczeństwa.
• Odzyskiwanie danych z kopii w tle i migawek systemu — próba wydobycia nienaruszonych wersji plików z mechanizmów kopii w tle (Volume Shadow Copy) lub punktów przywracania, o ile nie zostały one skasowane przez skrypt ataku.
• Audyt programów pocztowych i reguł przekierowań — sprawdzenie konfiguracji skrzynek pocztowych pod kątem dodanych przez intruza reguł, które mogą automatycznie przesyłać przychodzącą korespondencję na zewnętrzny serwer.

Czego kategorycznie nie wolno robić po przejęciu komputera?

W sytuacji silnego stresu łatwo podjąć pochopne kroki, które mogą bezpowrotnie zniszczyć szanse na odzyskanie danych lub utrudnić identyfikację zagrożenia. Należy unikać następujących działań:

• Nie wolno płacić za rzekome odblokowanie danych — wpłata środków nie daje żadnej pewności odzyskania dostępu do plików, a jedynie potwierdza aktywność ofiary i zachęca do ponownych ataków.
• Nie należy uruchamiać przypadkowych programów czyszczących z internetu — automatyczne narzędzia pobrane na szybko mogą bezpowrotnie usunąć logi systemowe, pliki tymczasowe zawierające klucze szyfrowania oraz punkty przywracania systemu.
• Nie wolno podłączać sprawnych dysków zewnętrznych ani pendrive'ów — jeśli w systemie wciąż działa aktywny proces szyfrujący, natychmiast zaatakuje on nowo podłączony nośnik, niszcząc kopie zapasowe.
• Nie należy restartować komputera wielokrotnie — niektóre złośliwe procesy dokańczają procedurę szyfrowania dopiero podczas zamykania lub ponownego uruchamiania systemu.
• Nie wolno logować się do bankowości elektronicznej z tego samego urządzenia — dopóki system nie zostanie w pełni sprawdzony i oczyszczony, każde wpisane hasło może trafić bezpośrednio do osób nieupoważnionych.

Co można zrobić samodzielnie przed przyjazdem serwisu?

Zanim na miejscu pojawi się technik, warto wykonać kilka prostych kroków ograniczających dalsze straty:

• Odłączyć komputer od internetu — wyciągnąć kabel sieciowy z gniazda karty sieciowej lub wyłączyć przełącznik Wi-Fi w laptopie. W przypadku braku fizycznego wyłącznika można tymczasowo wyłączyć domowy router.
• Zmienić hasła do najważniejszych kont z innego, bezpiecznego urządzenia — używając telefonu komórkowego połączonego z siecią komórkową (nie domowym Wi-Fi), należy zmienić hasła do bankowości, poczty głównej oraz portali społecznościowych, włączając weryfikację dwuetapową.
• Zapisać treść wyświetlanych komunikatów — zrobić zdjęcie ekranu telefonem, uwieczniając treść notatki z żądaniem kontaktu, zmienione nazwy plików lub pojawiające się błędy.
• Poinformować bank — jeżeli doszło do logowania na konto bankowe w trakcie obecności obcej osoby na pulpicie, należy natychmiast skontaktować się z infolinią banku w celu zablokowania kart i dostępu do kanałów elektronicznych.

Co przygotować przed przyjazdem serwisu?

Aby diagnostyka na miejscu przebiegła sprawnie, warto przygotować następujące elementy i informacje:

• Zasilacz do laptopa — praca diagnostyczna oraz tworzenie kopii posektorowej wymaga stabilnego zasilania sieciowego przez cały czas trwania procedury.
• Nośniki z wcześniejszymi kopiami zapasowymi — jeśli istnieją jakiekolwiek starsze dyski zewnętrzne, płyty lub pamięci przenośne z dokumentami, warto położyć je obok, informując serwisanta o ich zawartości (bez podłączania do zainfekowanego komputera).
• Zanotowaną kolejność zdarzeń — krótka informacja o tym, kiedy kursor zaczął się poruszać, jaki program był instalowany, z jakiego numeru telefonu dzwonił rzekomy konsultant oraz czy pobierano jakiekolwiek pliki z poczty.
• Wolne miejsce przy biurku lub stole — przestrzeń umożliwiająca bezpieczne rozłożenie sprzętu diagnostycznego oraz podłączenie stacji dokujących do nośników.

Jak wygląda pomoc techniczna z dojazdem?

Działamy na terenie Warszawy oraz okolicznych powiatów, dojeżdżając bezpośrednio do domu lub biura klienta o każdej porze doby, przez siedem dni w tygodniu. W przypadku pilnych awarii i incydentów bezpieczeństwa pomoc realizowana jest również w weekendy i święta, bez naliczania dodatkowych dopłat za porę przyjazdu.

Po dotarciu na miejsce technik przeprowadza wstępną weryfikację stanu komputera i przedstawia zakres prac oraz dokładną wycenę przed przystąpieniem do jakichkolwiek działań. Zdecydowana większość procedur związanych z izolacją zagrożeń, usuwaniem złośliwego oprogramowania oraz konfiguracją zabezpieczeń wykonywana jest na miejscu u klienta. W sytuacjach wymagających wielogodzinnego skanowania, zaawansowanej analizy laboratoryjnej lub mechanicznego zabezpieczenia uszkodzonych nośników, sprzęt jest odbierany do warsztatu i odwożony po zakończonej naprawie przez naszych pracowników. Do wszelkich napraw sprzętowych wykorzystywane są wyłącznie fabrycznie nowe podzespoły, a na wykonane usługi udzielana jest gwarancja do 12 miesięcy. Na życzenie klienta bezpłatnie podpisywana jest umowa o zachowaniu poufności (NDA).

W przypadku podejrzenia przejęcia kontroli nad komputerem lub zablokowania dostępu do ważnych plików zapraszamy do kontaktu telefonicznego pod numerem 22 257 87 54.