Atac ransomware: ce să faci în primele ore

Luni dimineață contabila pornește calculatorul, iar în locul bazei 1C găsește fișiere cu o extensie ciudată și un fișier text în care cineva cere bani. Cam așa arată un atac ransomware la o firmă de 10–200 de oameni, fără departament propriu de securitate și fără un plan scris pentru o asemenea zi.

Pe scurt, dacă nu aveți timp de citit: scoateți din rețea calculatoarele infectate, dar nu le opriți. Deconectați tot ce ține copiile de rezervă. Sunați de pe mobil omul care se va ocupa de incident, nu-i scrieți pe e-mailul corporativ. În prima oră nu reinstalați nimic și nu plătiți nimic. Mai jos, pas cu pas.

Primele 15 minute: tăiați rețeaua, nu curentul

Ransomware-ul intră pe un singur calculator și de acolo se întinde pe folderele partajate și pe serverele vecine. Cât timp mașina infectată rămâne în rețea, pe discul comun se criptează fișiere noi. Primul gest e banal: scoateți cablul de rețea și opriți Wi-Fi-ul. Nu știți care calculatoare sunt atinse? Opriți switch-ul cu totul sau scoateți internetul. O oră de birou oprit costă mai puțin decât un server de fișiere criptat.

Curentul nu-l tăiați, cu o singură excepție. În memoria unui calculator pornit rămân procesele, conexiunile de rețea și uneori chiar cheile de criptare, iar cine face investigația are nevoie de ele. Dacă însă vedeți că serverul cu date se criptează chiar acum și nu reușiți să-l izolați, opriți-l. Datele contează mai mult decât urmele.

Unde sunt acum copiile de rezervă

De răspunsul la întrebarea asta depinde tot restul. Atacatorii caută backup-urile intenționat, iar o copie ținută pe un disc de rețea sau pe același server pleacă de obicei odată cu datele. Aveți un hard disk extern cu backup? Nu-l conectați la niciun calculator din rețeaua asta până nu e clar că infecția a fost curățată. O singură conectare și ultima copie curată e criptată și ea.

Dacă backup-urile stăteau într-un spațiu de stocare immutable (unde copia nu poate fi rescrisă sau ștearsă până expiră termenul de păstrare) sau în afara biroului, fără acces permanent din rețea, sunteți într-o poziție bună. Recuperarea datelor după ransomware devine atunci o chestiune de muncă tehnică, fără negocieri cu nimeni.

Prima oră: un singur om la decizii și telefoane în loc de e-mail

Stabiliți cine decide. Directorul, șeful IT sau firma externă, nu contează, dar să fie unul singur. Când cinci oameni repornesc servere în paralel, „încearcă să recupereze” și îl sună pe un prieten programator, urmele se șterg, iar infecția uneori merge mai departe.

Porniți de la ideea că e-mailul corporativ și tot ce depinde de domeniu sunt compromise, până se dovedește contrariul. Dacă atacatorul e în rețea de câteva zile, vă poate citi corespondența despre cum vă luptați cu el. Treceți pe telefoanele mobile. Lista de numere (furnizorul IT, directorul, contabilul-șef, banca, juristul) trebuie să existe pe hârtie: un fișier cu contacte pe serverul criptat nu vă ajută cu nimic.

Banca merită un apel separat. Dacă pe calculatoarele infectate era instalat client-bank-ul sau cheile de semnătură electronică, considerați-le furate și cereți băncii să blocheze plățile de ieșire până se lămurește situația.

Ce notați cât e proaspăt

Un jurnal al incidentului pare birocrație, însă mai târziu îl cer toți: cine investighează, juristul, autoritatea de supraveghere, chiar și dvs. la analiza de după. Notați ora fiecărui eveniment și a fiecărei acțiuni. Cine a observat primul, ce extensie au fișierele, cum se numește mesajul cu cererea de răscumpărare, ce calculatoare ați deconectat și la ce oră. Fotografiați mesajul cu telefonul și nu-l ștergeți. După text și extensie, specialiștii identifică familia de ransomware, iar pentru unele familii mai vechi există decriptoare gratuite în proiectul No More Ransom.

Ce nu faceți

• Nu reinstalați totul pe loc. Un Windows curat îi întoarce pe oameni la birou, dar șterge urmele după care se caută punctul de intrare. Dacă nu-l găsiți, atacul se repetă pe aceeași ușă.
• Nu rulați „decriptoare” găsite pe forumuri. Unele sunt ele însele malware, altele strică fișierele atât de tare încât nu le mai deschide nici cheia corectă.
• Nu restaurați backup-ul în aceeași rețea până nu e închisă intrarea și nu sunt schimbate parolele. Ce ați restaurat va fi criptat a doua oară.
• Nu le scrieți singuri atacatorilor. Primul mesaj le spune că ați citit biletul și că vă grăbiți.
• Nu căutați vinovatul în ședință. Colegul care ieri a deschis un atașament dubios trebuie să poată spune asta liniștit azi. Mărturisirea lui scurtează căutarea cu ore bune.

Parolele se schimbă de pe un calculator curat

Într-o rețea de firmă, ransomware-ul lucrează aproape mereu în numele unui cont real, deseori al unui administrator. De aceea, după izolare, se schimbă parolele pentru administratorii de domeniu, VPN, accesul la distanță, serverul de backup, e-mail și serviciile cloud. Să le schimbați de pe o mașină infectată n-are rost: parola nouă pleacă exact unde a plecat și cea veche. Folosiți un calculator despre care știți sigur că e curat, ideal din afara rețelei. Unde încă nu aveți MFA, activați-o acum, începând cu e-mailul, VPN-ul și backup-ul.

Plătiți răscumpărarea sau nu

Noi recomandăm să nu plătiți, și nu din motive morale. Plata nu garantează nimic: decriptorul poate să nu vină deloc, poate merge zile întregi sau poate strica o parte din fișiere. Datele, dacă au fost copiate, rămân oricum la atacatori. O firmă care a plătit o dată ajunge cunoscută drept firma care plătește. Mai e și riscul juridic: dacă grupul se află sub sancțiuni, transferul poate încălca regimul de sancțiuni.

Decizia rămâne a proprietarului. Doar că ea se ia după ce știți în ce stare sunt backup-urile, nu în prima oră. Dacă aveți o copie curată, întrebarea de obicei dispare singură.

Date cu caracter personal și CNPDCP

Pe serverele criptate erau aproape sigur date personale ale clienților sau ale angajaților, pentru că în contabilitate ele există întotdeauna. Unele variante actuale de ransomware copiază mai întâi datele la ele și abia apoi criptează. Deci „au criptat, dar n-au furat” trebuie demonstrat, nu presupus.

Conform Legii Republicii Moldova nr. 195/2024 privind protecția datelor cu caracter personal, la fel ca în GDPR, încălcarea se notifică la CNPDCP în cel mult 72 de ore din momentul în care ați aflat de ea. Dacă detaliile sunt încă puține, notificarea se trimite cu ce se știe și se completează ulterior. Chemați juristul în prima zi, nu în a treia.

Cum a fost la unul dintre clienții noștri

O fabrică de panificație și patiserie din Moldova a venit la noi în plină criză. Sursa a fost găsită destul de repede: un e-mail de phishing pe o căsuță corporativă. Erau criptate stațiile de lucru și o parte din serverele Windows, activitatea se oprise, mai multe sectoare fuseseră afectate.

Sistemul de evidență a scăpat. UNA rula pe Oracle sub Linux, într-un segment separat de rețea, iar ransomware-ul, care se răspândea prin segmentul Windows, nu a ajuns la el. Nu a fost noroc. Așa fusese gândită arhitectura, și în ziua aceea și-a făcut treaba.

Mai departe am lucrat după aceeași logică de mai sus. Stațiile infectate au fost curățate, o parte reinstalate de pe imagini etalon. Datele criptate au fost recuperate din copiile existente, în măsura în care s-a putut. Am făcut inventarul: ce conturi sunt compromise, ce parole trebuie schimbate obligatoriu, ce servicii trebuie reconfigurate. Apoi am închis intrarea: rețea refăcută cu VLAN-uri separate și FortiGate pe perimetru, XDR pe toate stațiile și serverele, un server de e-mail nou cu verificarea atașamentelor în sandbox și SPF/DKIM/DMARC. Toate detaliile sunt în descrierea cazului.

Ce faceți înainte de atac

La o firmă pregătită, recuperarea după ransomware merge după plan. La una nepregătită se transformă în căutarea a ce se mai poate salva. Pregătirea e mai scurtă decât pare:

• Backup după regula 3-2-1: trei copii, pe două tipuri diferite de suport, una dintre ele în afara biroului. Măcar o copie immutable sau fără acces permanent din rețea.
• Restaurare de test, programată. Până nu ați restaurat niciodată dintr-un backup, nu știți dacă îl aveți.
• MFA pe e-mail, pe VPN și mai ales pe serverul de backup.
• Rețea împărțită pe segmente: contabilitatea, producția, serverele și Wi-Fi-ul pentru oaspeți separat. Cazul de mai sus arată de ce.
• O pagină de plan, tipărită: cine decide, pe cine sunați, unde stau copiile și cum le verificați.

Cu asta ne ocupăm zi de zi. În serviciul de backup și Disaster Recovery lucrăm cu Veeam și Proxmox Backup Server, stocare immutable, copii off-site și verificăm lunar restaurarea sistemelor critice, cu raport. În securitatea informației intră FortiGate, EDR pe stații, MFA și investigarea incidentelor, cu raport și recomandări.

Dacă la dvs. totul e deja criptat, izolați calculatoarele ca în prima secțiune și sunați-ne sau scrieți-ne. Dacă deocamdată totul merge, haideți să verificăm dacă backup-urile dvs. ar rezista unui asemenea atac. Prima întâlnire durează 30 de minute și nu vă obligă la nimic.