Zaszyfrowane pliki (ransomware) w biurze rachunkowym — pierwsze kroki po ataku
Pliki nagle mają dziwne rozszerzenie, a na pulpicie pojawia się żądanie okupu? To, co zrobisz w pierwszych minutach, ma większe znaczenie niż w kolejnych godzinach.
Objawy
Pliki na komputerze lub dysku sieciowym nagle zmieniają rozszerzenie na nieznane, przestają się otwierać, a na pulpicie lub w folderach pojawia się plik tekstowy z żądaniem okupu za odszyfrowanie danych.
Przyczyna
Ransomware to złośliwe oprogramowanie, które najczęściej trafia do firmy przez złośliwy załącznik e-mail, zainfekowaną stronę albo lukę w nieaktualnym oprogramowaniu — po uruchomieniu szyfruje pliki na zainfekowanym komputerze i wszystkich dostępnych dyskach sieciowych, żeby wymusić zapłatę za klucz odszyfrowujący.
Rozwiązanie krok po kroku
- Natychmiast odłącz zainfekowany komputer od sieci (wyciągnij kabel sieciowy, wyłącz Wi-Fi) — ogranicza to rozprzestrzenianie się ransomware na inne komputery i dyski sieciowe w biurze.
- Nie wyłączaj komputera całkowicie, jeśli nie musisz — w pewnych przypadkach dalsza analiza pamięci może pomóc specjalistom w ocenie rodzaju ataku, choć priorytetem zawsze jest odcięcie od sieci.
- Sprawdź, czy backup danych (jeśli istnieje) jest fizycznie odłączony od zainfekowanej sieci w momencie ataku — backup podłączony na stałe do tej samej sieci mógł zostać zaszyfrowany razem z resztą danych.
- Nie płać okupu w pierwszym odruchu — nie ma gwarancji otrzymania działającego klucza odszyfrowującego, a część odmian ransomware ma już publicznie dostępne narzędzia deszyfrujące.
- Zgłoś incydent (CERT Polska, lokalna jednostka policji ds. cyberprzestępczości) — pomaga to nie tylko formalnie, ale czasem prowadzi do wskazania dostępnego narzędzia deszyfrującego dla danej odmiany ataku.
- Jeśli istnieje aktualny, nienaruszony backup, odtwórz dane z niego na czystym, sprawdzonym antywirusowo komputerze, zamiast przywracać je na zainfekowanej maszynie.
- Po opanowaniu sytuacji zmień wszystkie hasła dostępowe (w tym do poczty i programu księgowego) i sprawdź, czy w systemie nie zostały żadne pozostałości złośliwego oprogramowania, zanim wrócisz do normalnej pracy.
Jedynym realnym zabezpieczeniem przed ransomware jest backup fizycznie odłączony od sieci firmowej (dysk zewnętrzny odpinany po kopii, albo chmura z historią wersji plików) — backup podłączony na stałe do tej samej sieci co reszta komputerów może zostać zaszyfrowany razem z oryginalnymi danymi.