Рансъмуер атака: какво да направи фирмата в първите часове

Конкретни стъпки при рансъмуер атака: изолиране на засегнатите системи, запазване на доказателства, проверка на резервните копия и задължителните уведомления.

OfSec 3 мин. четене

Рансъмуер е зловреден софтуер, който криптира файловете на компютрите и сървърите и спира работата на фирмата. Нападателите искат откуп срещу ключ за декриптиране, а все по-често заплашват и да публикуват откраднатите данни. Решенията, взети в първите часове, определят колко данни ще се загубят и колко време фирмата ще бъде спряна.

Как се разпознава атаката

Най-честите признаци са:

  • файловете не се отварят и имат ново разширение, например .locked или .encrypted;
  • в папките има текстов файл с инструкции за плащане;
  • антивирусната програма е изключена или не стартира;
  • сървърът и споделените папки стават изключително бавни.

Първите 30 минути

  1. Изолирайте засегнатите устройства от мрежата: извадете мрежовия кабел и изключете Wi-Fi. Не изключвайте устройствата от захранването, ако не е необходимо, защото в паметта може да има информация, полезна за разследването.
  2. Прекъснете връзката към споделените папки, облачната синхронизация и резервните копия, за да не бъдат криптирани и те.
  3. Не изтривайте бележката за откуп и криптираните файлове. Снимайте екрана и запишете часа на откриване.
  4. Сменете паролите на администраторските акаунти от устройство, което не е засегнато.
  5. Уведомете ръководството и определете един човек, който координира действията и комуникацията.

Плащане на откуп

Правоохранителните органи в ЕС препоръчват откупът да не се плаща. Плащането не гарантира работещ ключ, не гарантира изтриване на откраднатите данни и финансира следващи атаки. Преди каквото и да е решение проверете дали за съответния вид рансъмуер няма безплатен инструмент за декриптиране в проекта No More Ransom (nomoreransom.org), поддържан от Европол и партньори.

Резервни копия

Проверете дали има резервни копия, които не са били свързани към засегнатата мрежа по време на атаката. Не ги свързвайте към заразените системи, преди да е установено как е станало проникването, иначе и те могат да бъдат криптирани. Възстановяването започва от чисти, преинсталирани системи.

Задължителни уведомления

  • Рансъмуер атаката обикновено е нарушение на сигурността на личните данни, дори когато не е ясно дали данни са изнесени. Ако са засегнати лични данни, фирмата уведомява Комисията за защита на личните данни (КЗЛД) до 72 часа, след като е разбрала за нарушението.
  • Организациите в обхвата на Закона за киберсигурността (NIS2) докладват значимите инциденти на секторния екип за реагиране (СЕРИКС) с ранно предупреждение до 24 часа и уведомление до 72 часа.
  • Сигнал за престъплението се подава до Главна дирекция „Борба с организираната престъпност“ (ГДБОП).

Как се намалява рискът от нова атака

Повечето атаки започват с откраднати пароли, фишинг писмо или необновен сървър, достъпен от интернет. Многофакторната автентикация, редовните обновления и резервните копия, които се пазят извън мрежата, премахват най-честите входни точки. Тест за проникване показва кои от тях са открити във вашата среда.

ИнцидентиРансъмуер