To jedno z niewielu zgłoszeń, w których liczą się minuty, a nie godziny. Oprogramowanie szyfrujące działa etapami i im wcześniej przerwie się jego pracę, tym więcej danych zostaje nietkniętych. Jednocześnie to sytuacja, w której najłatwiej pogorszyć sprawę pośpiesznymi decyzjami.

Pierwsze trzy rzeczy

Odłączyć komputer od sieci — wyciągnąć kabel albo wyłączyć łączność bezprzewodową. To zatrzymuje rozprzestrzenianie się na dyski sieciowe i na inne komputery w firmie. Odłączyć dyski zewnętrzne i nośniki, jeżeli są podpięte, bo one też są szyfrowane. Nie wyłączać komputera przyciskiem, dopóki nie ma pewności co do sytuacji — w części przypadków w pamięci znajdują się dane, które ułatwiają późniejszą analizę.

Czwarta rzecz dotyczy firmy: sprawdzić, czy inne stanowiska nie mają tych samych objawów, i odłączyć od sieci wszystko, co wygląda podejrzanie. Szyfrowanie rozpełza się przez udziały sieciowe i przez konta z szerokimi uprawnieniami.

Czego nie robić

Nie płacić. To nie jest kwestia moralna, tylko praktyczna: płatność nie daje żadnej gwarancji odzyskania danych, a potwierdza, że u tego klienta opłaca się wracać. Nie usuwać zaszyfrowanych plików — bywają odzyskiwalne później, gdy pojawi się narzędzie do konkretnej odmiany. Nie instalować przypadkowych programów obiecujących odszyfrowanie, bo znaczna ich część sama jest złośliwa.

Nie formatować dysku w odruchu porządkowania. Póki nośnik jest nietknięty, istnieje szansa na odzyskanie części plików z kopii cieniowych albo z obszarów, do których szyfrowanie nie dotarło.

Skąd to się bierze

Najczęściej z załącznika w poczcie, który wygląda jak faktura albo list przewozowy. Drugą drogą jest zdalny pulpit wystawiony do internetu ze słabym hasłem — to szczególnie częste w małych firmach, w których ktoś kiedyś skonfigurował dostęp z domu i nikt o nim nie pamiętał. Trzecią są nieaktualne systemy z niezałatanymi lukami.

Ta wiedza ma znaczenie praktyczne: po odtworzeniu danych trzeba zamknąć drogę wejścia, bo inaczej historia powtórzy się za kilka tygodni.

Jak wygląda odzyskiwanie

Zaczynamy od wykonania obrazu dysku, zanim cokolwiek zmienimy. Potem ustalamy, z jaką odmianą mamy do czynienia — dla części z nich istnieją publicznie dostępne narzędzia odszyfrowujące i wtedy sprawa kończy się szybko. Jeśli takiego narzędzia nie ma, sprawdzamy kopie cieniowe systemu, zawartość kosza, wersje plików w usługach chmurowych oraz nośniki, które nie były podłączone w momencie ataku.

Równolegle patrzymy na kopię zapasową. To ona zwykle decyduje o wyniku — nie umiejętności serwisu. Firma z działającą, sprawdzoną kopią wraca do pracy tego samego dnia. Firma, której kopia leżała na dysku podpiętym do zaatakowanego komputera, traci wszystko razem z nim.

Odbudowa stanowiska

Zaatakowanego systemu nie leczymy. Instalujemy go od nowa na czystym nośniku albo po pełnym wyczyszczeniu, a dane przywracamy z kopii lub z tego, co udało się odzyskać. To jedyna droga, przy której można powiedzieć klientowi, że sprzęt jest czysty.

Po odbudowie zamykamy drogę wejścia: wyłączamy niepotrzebny dostęp zdalny albo zabezpieczamy go poprawnie, porządkujemy uprawnienia kont, ustawiamy kopię zapasową w miejscu, którego nie da się zaszyfrować z zainfekowanego komputera.

Rozmowa, którą warto odbyć wcześniej

Najlepszy moment na przygotowanie się do tej sytuacji jest wtedy, gdy jeszcze nic się nie stało. Wystarczy odpowiedzieć na trzy pytania: gdzie jest kopia, kiedy ostatnio ktoś sprawdził, czy da się z niej odtworzyć dane, i czy jest odłączona od sieci. Firmy, które znają odpowiedzi, przechodzą przez taki incydent jako niedogodność. Pozostałe — jako katastrofę.

Jak rozpoznać, że to właśnie to

Objawy są charakterystyczne: pliki mają zmienione rozszerzenia albo dopisane obce nazwy, w katalogach pojawia się plik tekstowy z żądaniem zapłaty, dokumenty nie otwierają się w programach, w których dotąd działały. Czasem na ekranie wyświetla się komunikat na pełnym ekranie.

Bywają też objawy wcześniejsze, przed pełnym zaszyfrowaniem: nagły wzrost obciążenia dysku, wentylator pracujący na wysokich obrotach bez powodu i spowolnienie komputera. Reakcja na tym etapie ratuje znacznie więcej danych.

Zakres, który trzeba sprawdzić

Sprawdzamy nie tylko zaatakowany komputer, ale wszystko, do czego miał dostęp: zasoby sieciowe, dyski zewnętrzne, foldery synchronizowane z chmurą, komputery innych pracowników. Szyfrowanie idzie tam, gdzie sięgają uprawnienia konta, na którym pracował użytkownik.

To dlatego ograniczanie uprawnień ma tak duże znaczenie. Konto zwykłego użytkownika, bez praw administratora i bez dostępu do wszystkich udziałów, ogranicza szkodę do ułamka tego, co przy koncie z pełnym dostępem.

Kopie, które przetrwały

W wielu przypadkach udaje się odzyskać dane nie z narzędzi odszyfrowujących, tylko z miejsc, do których szyfrowanie nie dosięgło. Kopie cieniowe systemu, o ile nie zostały usunięte. Wersje plików w usługach chmurowych, które przechowują historię zmian. Dyski, które akurat nie były podłączone. Kopia na urządzeniu sieciowym z osobnymi uprawnieniami.

Sprawdzamy wszystkie te źródła po kolei, zanim uznamy sprawę za przegraną. Zaskakująco często wystarcza jedno z nich, żeby odtworzyć zdecydowaną większość pracy.

Odbudowa i zamknięcie drogi wejścia

Zaatakowanego systemu nie leczymy — instalujemy go od nowa na czystym nośniku albo po pełnym wyczyszczeniu. Dopiero na czysty system wracają dane. To jedyny sposób, żeby powiedzieć klientowi, że sprzęt jest bezpieczny.

Potem zamykamy drogę, którą przyszło: wyłączamy niepotrzebny dostęp zdalny albo zabezpieczamy go tunelem, porządkujemy uprawnienia kont, wprowadzamy kopię w miejscu niedostępnym z zaatakowanego komputera i włączamy drugi składnik logowania tam, gdzie to możliwe.

Zgłoszenie i konsekwencje

Przy firmie przetwarzającej dane osobowe incydent bywa zdarzeniem wymagającym zgłoszenia i firma powinna to ocenić z osobą odpowiedzialną za ochronę danych. Naszą rolą jest przekazanie rzetelnej informacji o tym, co się stało, do czego intruz mógł mieć dostęp i co zostało odtworzone.

Nie doradzamy w sprawach prawnych i nie wystawiamy opinii mających zastąpić ocenę prawnika, ale dokumentujemy przebieg prac, żeby firma miała na czym się oprzeć.

Kopie, których nie da się zaszyfrować

Najskuteczniejszym zabezpieczeniem jest kopia, do której zaatakowany komputer nie ma dostępu zapisu. W praktyce oznacza to dysk podłączany wyłącznie na czas kopii i odłączany po niej, kopię na urządzeniu sieciowym z osobnym kontem o innych uprawnieniach albo usługę przechowującą historię wersji.

Kopia na dysku podłączonym na stałe do komputera nie jest zabezpieczeniem przed tym zagrożeniem — zostanie zaszyfrowana razem z oryginałem. To najczęstsza przyczyna, dla której firmy z „kopią zapasową” tracą jednak wszystko.

Szkolenie zespołu ma większe znaczenie niż program

Większość incydentów zaczyna się od kliknięcia w załącznik, który wyglądał jak faktura albo list przewozowy. Żaden program nie zatrzyma wszystkiego, ale zespół, który wie, czego się spodziewać, zatrzymuje bardzo wiele.

Przy firmach objętych stałą opieką omawiamy to przy przeglądach: jak wygląda typowa próba, dlaczego nie otwiera się faktur od nieznanych nadawców i co robić, gdy coś już zostało otwarte. Zgłoszenie w pierwszych minutach ratuje dane, których po godzinie już nie będzie.

Powiązane teksty