Pliki na dysku sieciowym mają nowe rozszerzenia. W każdym folderze leży plik tekstowy z instrukcją, jak zapłacić. Ktoś w biurze mówi, że u niego wszystko działa normalnie — to znaczy, że jeszcze nie dotarło. Masz może kilkanaście minut, zanim dotrze. Poniżej procedura, nie straszak.
Pierwsze minuty
Celem nie jest jeszcze ratowanie danych. Celem jest zatrzymanie rozlewania się szyfrowania, bo zasięg ustalony w pierwszym kwadransie decyduje o tym, czy odbudowa potrwa dzień, czy dwa tygodnie.
- Odłącz zainfekowane maszyny od sieci — kabel z gniazdka, Wi-Fi wyłączone. Fizycznie, nie przez ustawienia systemu, który może być już poza kontrolą.
- Nie wyłączaj ich. Zostaw uruchomione, odcięte od świata.
- Odetnij dostęp do udziałów sieciowych i serwerów plików. Wyłączenie portu na przełączniku albo odpięcie serwera od sieci działa szybciej niż szukanie, które konto szyfruje.
- Odetnij kopie zapasowe. Serwer backupu, dysk USB, zamontowany zasób NAS — wszystko, co jest w tej chwili osiągalne z zaatakowanej sieci.
- Zablokuj konta, z których wyszło szyfrowanie, i konta administracyjne, których hasła mogły wyciec.
- Powiedz zespołowi, żeby przestali pracować na zasobach sieciowych i nie wyłączali komputerów samodzielnie.
Dlaczego nie wyłączać zainfekowanych maszyn
Wyłączenie komputera wygląda na najbardziej stanowczy ruch i bywa najbardziej kosztowny. W pamięci operacyjnej działającego systemu znajdują się procesy, połączenia sieciowe, czasem materiał kryptograficzny — jedyna szansa, żeby ustalić, co dokładnie się uruchomiło i którędy weszło. Przy niektórych rodzinach oprogramowania szyfrującego to również jedyna szansa na cokolwiek poza odtworzeniem z kopii. Odcięcie zasilania w trakcie zapisu dokłada do tego uszkodzone pliki, których nie odzyska żaden specjalista.
Odłączenie od sieci daje ten sam efekt obronny — proces nie sięgnie do kolejnych zasobów — bez niszczenia śladów. Maszyna stoi, świeci i czeka.
Ustal zasięg, zanim zaczniesz cokolwiek naprawiać
Trzy pytania, w tej kolejności. Które maszyny i które udziały mają zaszyfrowane pliki. Od kiedy — data modyfikacji pierwszego zaszyfrowanego pliku wyznacza moment, do którego cofniesz się przy odtwarzaniu. Którędy weszło: załącznik w poczcie, wystawiony na świat pulpit zdalny, luka w usłudze widocznej z internetu, przejęte konto dostawcy.
Odpowiedź na trzecie pytanie decyduje o powodzeniu całej reszty. Odtworzenie środowiska bez zamknięcia drogi wejścia oznacza powtórkę — czasem tego samego tygodnia, na świeżo odtworzonych serwerach.
Ratuj kopie zapasowe, zanim zaczniesz ratować dane
Nowoczesne kampanie nie zaczynają od szyfrowania. Zaczynają od backupu. Atakujący siedzi w sieci tygodniami, znajduje serwer kopii, kasuje repozytoria albo szyfruje je razem z resztą, a dopiero potem uruchamia właściwy ładunek. Dlatego pierwsze pytanie po odcięciu sieci brzmi: czy kopia w ogóle jest sprawna i czy nie została naruszona.
Ratuje wyłącznie kopia, do której zaatakowane środowisko nie miało jak sięgnąć — offline, w innej lokalizacji albo zapisana w trybie, w którym nie da się jej nadpisać ani skasować przed upływem ustalonego czasu. Kopia na dysku sieciowym zamontowanym jako litera dysku na serwerze to nie kopia zapasowa, tylko drugi zestaw plików do zaszyfrowania. To dokładnie różnica, o której pisałem przy okazji tego, dlaczego „jakiś backup” to za mało, i którą porządkuje reguła trzech kopii, dwóch nośników.
Zanim uznasz kopię za dobrą, sprawdź trzy rzeczy: czy zadanie kończyło się sukcesem w ostatnich dniach, czy w repozytorium są punkty przywracania sprzed daty pierwszego zaszyfrowanego pliku, i czy da się z nich odtworzyć testowy plik na maszynę odseparowaną od produkcji. Dopiero teraz masz plan odbudowy. Wcześniej masz nadzieję.
Zgłoszenia
Incydent zgłoś do CERT Polska — zespół przyjmuje zgłoszenia od firm, a informacja o kampanii bywa realnie użyteczna dla innych. Osobny wątek to dane osobowe: jeśli zaszyfrowane albo wykradzione zostały dane klientów, pacjentów czy pracowników, taka sytuacja ma własny reżim zgłoszeniowy do organu nadzorczego i termin liczony w godzinach. Nie jest to porada prawna, tylko przypomnienie, że ten zegar tyka równolegle do odbudowy i nikt go nie zatrzyma na czas przywracania serwerów.
Spisuj wszystko od pierwszej minuty: godziny, wykonane czynności, nazwiska, zrzuty ekranu z notatką o okupie. Ta notatka przyda się i przy zgłoszeniu, i przy rozmowie z ubezpieczycielem, jeśli firma ma polisę obejmującą incydenty.
Dlaczego nie płacić
Zapłata nie kupuje pewności. Kupuje obietnicę od kogoś, kto właśnie okradł twoją firmę. Zdarza się, że narzędzie deszyfrujące w ogóle nie przychodzi, a znacznie częściej — że przychodzi i działa wolno, częściowo, z błędami przy dużych plikach i bazach danych. Nawet po udanym odszyfrowaniu i tak zostaje środowisko, w którym ktoś obcy miał pełne prawa, więc i tak trzeba je odbudować i wymienić wszystkie hasła.
Do tego dochodzi rzecz mniej oczywista: firma, która zapłaciła, trafia na listę firm, które płacą. Powrót tej samej grupy albo jej partnerów po kilku miesiącach nie jest rzadkością. Płacenie finansuje kolejne kampanie, w tym tę, która trafi w twojego kontrahenta.
Okup kupuje klucz. Nie kupuje zaufania do środowiska, w którym ktoś obcy przez trzy tygodnie był administratorem.
Odtwarzanie — kolejność ma znaczenie
Odbudowę prowadzi się w odseparowanej sieci, bez połączenia z resztą środowiska, dopóki nie potwierdzisz, że odtwarzane systemy są czyste.
- Usługi katalogowe i uwierzytelnianie. Kontroler domeny albo serwer tożsamości idzie pierwszy, bo bez niego nie zalogujesz się nigdzie indziej.
- Serwery krytyczne dla działania firmy — bazy danych, systemy sprzedaży, księgowość. Reszta czeka.
- Weryfikacja daty obrazu. Każdy odtwarzany punkt musi pochodzić sprzed momentu wejścia atakującego, nie sprzed momentu szyfrowania. Między jednym a drugim bywają tygodnie.
- Wymiana wszystkich haseł — kont użytkowników, administracyjnych, usługowych, kluczy API, haseł do urządzeń sieciowych. Bez wyjątków.
- Zamknięcie drogi wejścia ustalonej wcześniej: łatka, wyłączona usługa, zablokowany zdalny dostęp.
- Stacje robocze — czysta instalacja, nie „wyczyszczenie” programem antywirusowym.
- Dopiero na końcu powrót do sieci i przywrócenie ruchu użytkowników, z włączonym podglądem tego, co się dzieje.
Ile to realnie trwa
Uczciwa odpowiedź: od dwóch dni do kilku tygodni, i różnicę robią trzy rzeczy. Sprawność kopii zapasowych — z przetestowanymi kopiami maszyn wirtualnych odtworzenie serwera to godziny, bez nich odbudowa od zera potrafi zająć tygodnie. Liczba systemów i ich wzajemne zależności. Oraz to, czy ktoś zna to środowisko, czy poznaje je w trakcie awarii.
Nie każdą sytuację da się rozwiązać odtworzeniem. Jeśli kopie były niesprawne albo objęte atakiem, część danych bywa bezpowrotnie stracona i lepiej powiedzieć to w pierwszej dobie niż w trzeciej. Gdy trzeba kogoś do pomocy przy takim incydencie, numer 22 379 26 26 jest czynny również w takich okolicznościach — dane kontaktowe tutaj.
Co zrobić w przyszłym tygodniu
- Kopia, do której produkcja nie ma zapisu. Nośnik offline albo repozytorium z blokadą nadpisywania. To jedyna warstwa, która realnie ratuje — wdrożenie takiego układu krok po kroku zajmuje kilka dni.
- Test odtworzenia raz na kwartał. Nie sprawdzenie, czy zadanie się wykonało — pełne przywrócenie serwera i zalogowanie się do aplikacji.
- Drugi składnik logowania na zdalnym dostępie, poczcie i panelach administracyjnych. Samo hasło już nie wystarcza.
- Koniec z pulpitem zdalnym wystawionym do internetu. Dostęp tylko przez tunel, z uwierzytelnianiem dwuskładnikowym.
- Podział sieci i ograniczenie uprawnień. Konto księgowej nie potrzebuje zapisu do udziału z obrazami maszyn wirtualnych.
- Alerty na nietypowe zachowania — masowe zmiany plików, logowania w nocy, zadania backupu, które nagle zaczęły się nie kończyć.
Firmy, które przechodzą przez to najlżej, nie mają lepszego szczęścia. Mają kopię, do której atakujący nie sięgnął, i kogoś, kto wie, w jakiej kolejności podnosić systemy.