Ataki oprogramowania wymuszającego okup a Odzyskiwanie danych: kompleksowy przegląd
Biorąc pod uwagę utratę danych i przestoje, jakie powodują, ataki oprogramowania wymuszającego okup stanowią poważne zagrożenie dla firm z każdej branży. Według firmy Sophos Średnia kwota okupu w 2023 roku wyniosła 1,54 mln dolarów . Niestety, intensywność ataków oprogramowania wymuszającego okup rośnie z roku na rok. Każdy jest narażony na ryzyko. Po zainstalowaniu na komputerze oprogramowanie wymuszające okup usuwa lub uszkadza dane, wykorzystując silne algorytmy szyfrowania.
Złośliwi aktorzy stojący za oprogramowaniem wymuszającym okup zazwyczaj żądają określonej kwoty pieniędzy (okupu) za wydanie danych i przywrócenie do nich dostępu. Jednak oprócz zachęcania przestępców do dalszych działań, takie wypłaty nie gwarantują, że odzyskasz pełny dostęp do użytecznych danych. W tym wpisie na blogu wyjaśniamy, jak skutecznie odzyskać dane po ataku oprogramowania wymuszającego okup, unikając jednocześnie transakcji z atakującymi.
Co zrobić po ataku oprogramowania wymuszającego okup
Pomimo wielu dostępnych środków zapobiegawczych nadal istnieje ryzyko, że Twoja organizacja padnie ofiarą ataku oprogramowania wymuszającego okup. Poniższe wskazówki pomogą zminimalizować skutki ataku oprogramowania wymuszającego okup, jeśli do niego dojdzie. Jeśli Twoje komputery zostaną zainfekowane oprogramowaniem wymuszającym okup, postępuj zgodnie z poniższymi zaleceniami przed odzyskaniem plików z oprogramowania wymuszającego okup.
-
Odłącz zainfekowane urządzenie . Gdy tylko wykryjesz, że komputer jest zainfekowany złośliwym oprogramowaniem, musisz natychmiast odłączyć urządzenie od sieci i zewnętrznych nośników danych. W ten sposób możesz zapewnić, że inne komputery i systemy w Twojej infrastrukturze również nie zostaną zainfekowane. Ten krok pozwala na zapisanie danych, które nie zostały zainfekowane, oraz zmniejszenie nakładu pracy potrzebnego do odzyskania plików z oprogramowania wymuszającego okup.
Następnie należy określić liczbę komputerów, które faktycznie zostały dotknięte atakiem oprogramowania wymuszającego okup, oraz poszukać podejrzanej aktywności w infrastrukturze.
-
Określ rodzaj oprogramowania wymuszającego okup . Porozmawiaj z osobą, która jako pierwsza wykryła problem. Zapytaj, co robiła przed incydentem, czy otrzymała e-maile z podejrzanymi załącznikami oraz jakie pliki ostatnio pobrała. Określenie rodzaju oprogramowania wymuszającego okup dostarcza cennych informacji, które można wykorzystać do zidentyfikowania luk w systemie ochrony danych i odpowiedniego jego zmodyfikowania.
Ponadto, jeśli uda się ustalić rodzaj oprogramowania wymuszającego okup, można dokładnie wiedzieć, w jaki sposób wpłynęło ono na pliki (tj. czy zostały poddane szyfrowaniu, czy zablokowane). Wówczas można zrozumieć potencjalne konsekwencje nieuiszczenia okupu oraz określić, jaką strategię należy zastosować, aby skutecznie odzyskać dane po ataku oprogramowania wymuszającego okup.
- Zgłoś problem . Podczas szkoleń dla pracowników należy wyjaśnić im, że ważne jest, aby powiadamiać zespół pomocy technicznej IT o wszelkich podejrzanych działaniach na ich komputerach. W ten sposób specjaliści IT mogą zareagować na atak oprogramowania wymuszającego okup na czas, zanim dojdzie do poważnych szkód. Następnie zgłoś atak oprogramowania wymuszającego okup władzom (na przykład FBI, jeśli jesteś w Stanach Zjednoczonych) i przekaż im wszystkie niezbędne informacje na temat zdarzenia. Zgłoszenie do władz może pomóc w zapobieganiu przyszłym atakom ze strony tych samych sprawców.
- Nie płacisz okupu . Funkcjonariusze organów ścigania odradzają spełnianie żądań atakujących, ponieważ zachęca to do jeszcze większej liczby ataków oprogramowania wymuszającego okup w przyszłości. Hakerzy pragnący szybko zarobić będą postrzegać Cię jako łatwy cel dla swoich przyszłych ataków. Co więcej, w większości przypadków zapłacenie okupu nie gwarantuje, że atakujący odblokują lub odszyfrują dane zgodnie z obietnicą. Pamiętaj, że masz do czynienia z przestępcami, których interesuje wyłącznie zysk.
- Oceń skutki ataku oprogramowania wymuszającego okup . Należy ustalić, ile danych zostało uszkodzonych, ile komputerów zostało zainfekowanych w wyniku ataku oraz ile czasu zajmie odzyskiwanie systemu do stanu sprzed ataku. Ponadto należy ocenić, jak krytyczne są dane, do których dostęp został zablokowany, i ustalić, czy można je odzyskać bez płacenia okupu.
- Przywróć system po ataku oprogramowania wymuszającego okup . Po usunięciu oprogramowania wymuszającego okup z komputerów można rozpocząć proces odzyskiwania systemu po ataku.
Opcje odzyskiwania plików zaszyfrowanych przez oprogramowanie wymuszające okup
Istnieje wiele metod odzyskiwania danych po ataku oprogramowania wymuszającego okup. Skuteczność tych metod różni się w zależności od sytuacji.
Korzystanie z wbudowanych narzędzi systemu operacyjnego
Jeśli korzystasz z systemu Windows 10, możesz spróbować użyć narzędzia Przywracanie systemu Windows, aby przywrócić ustawienia systemu i programów z punktu odzyskiwania utworzonego automatycznie. Nie wszystkie dane można przywrócić tą metodą. Nowoczesne oprogramowanie ransomware może wyłączyć funkcję przywracania systemu oraz usunąć lub uszkodzić punkty odzyskiwania systemu Windows. W takim przypadku ta metoda jest nieskuteczna.
Skorzystaj z narzędzia do odszyfrowywania oprogramowania ransomware
Jeśli zidentyfikowałeś typ i wersję oprogramowania ransomware, spróbuj znaleźć narzędzie do odszyfrowywania udostępnione przez badaczy bezpieczeństwa. Narzędzia do odszyfrowywania nie są dostępne dla każdej wersji oprogramowania ransomware. Obecnie coraz rzadziej udaje się znaleźć narzędzie do odszyfrowywania.
Skorzystaj z oprogramowania do odzyskiwania usuniętych plików
Jeśli oprogramowanie wymuszające okup nie nadpisało plików na dysku i nie wypełniło powierzchni dysku zerami lub losowymi danymi, istnieje szansa, że uda Ci się odzyskać niektóre krytyczne dane. Skanowanie powierzchni dysku wymaga dużo czasu. Nazwy plików po odzyskaniu mogą zostać utracone, a ich nazwy mogą wyglądać na przykład tak: RECOVER0001.JPG, RECOVER0002.JPGitp.
Odzyskaj dane z kopii zapasowej
Głównym założeniem tej metody jest to, że musisz przygotować się z wyprzedzeniem i nie czekać, aż oprogramowanie wymuszające okup zainfekuje Twoje urządzenia. Jeśli nie wykonałeś kopii zapasowej przed atakiem oprogramowania wymuszającego okup, ta metoda nie będzie miała zastosowania. Należy przygotować się z wyprzedzeniem i regularnie wykonać kopie zapasowe danych. Zgodnie z najlepszymi rozwiązaniami w zakresie tworzenia kopii zapasowych zaleca się postępowanie zgodnie z wytycznymi zawartymi na stronie Zasada wykonywania kopii zapasowej 3-2-1 oraz przechowywanie kopii zapasowych zdalnie i/lub w trybie offline, aby umożliwić odzyskiwanie danych po ataku oprogramowania wymuszającego okup. W tym celu można skorzystać z magazynu w chmurze, taśma i/lub niezmienna kopia zapasowa .
Najlepszym sposobem tworzenia kopii zapasowych jest użycie dedykowanych rozwiązań do ochrony danych, które obsługują różne typy obciążeń i infrastruktur oraz pozwalają wdrożyć zasadę tworzenia kopii zapasowych 3-2-1.
Jednym z takich rozwiązań jest NAKIVO Backup & Replication. Rozwiązanie firmy NAKIVO pozwala zwiększyć wydajność tworzenia kopii zapasowych, zapewnić możliwość odzyskania danych oraz usprawnić proces odzyskiwania po ataku oprogramowania wymuszającego okup. Rozwiązanie obsługuje ochronę danych dla serwerów fizycznych, maszyn wirtualnych (VMware vSphere, Microsoft Hyper-V, Nutanix AHV), instancji Amazon EC2 oraz Microsoft 365. Dzięki temu rozwiązaniu można:
- wykonywać kopie zapasowe i replikację przyrostową spójną z aplikacją.
- łatwo tworzyć kopie zapasowe bez angażowania hostów źródłowych lub maszyn wirtualnych (VM).
- Przechowywać kopie zapasowe w zdalnej lokalizacji, chmurze publicznej lub na taśmie.
- Włączyć niezmienność dla lokalnych repozytoriów opartych na systemie Linux lub w chmurze Amazon S3.
- Wybierać spośród wielu elastycznych opcji odzyskiwania, w tym natychmiastowego uruchamiania maszyn wirtualnych, odzyskiwanie danych z nośników fizycznych oraz odzyskiwania P2V maszyn fizycznych jako maszyn wirtualnych VMware vSphere.
- Tworzyć przepływy pracy związane z odzyskiwaniem awaryjnym, organizując różne działania i warunki w zautomatyzowaną sekwencję.
Jak długo trwa odzyskiwanie danych po ataku oprogramowania wymuszającego okup?
Czas potrzebny na odzyskanie plików zaszyfrowanych przez oprogramowanie wymuszające okup zależy od ilości uszkodzonych danych na zainfekowanych komputerach oraz metody zastosowanej do odzyskiwania danych po ataku oprogramowania wymuszającego okup. Szacując czas potrzebny na odzyskanie danych po ataku oprogramowania wymuszającego okup, mamy na myśli Odzyskiwanie danych oraz przywrócenie wszystkich systemów do stanu online wraz z przywróconymi obciążeniami.
Czas potrzebny na odzyskanie danych i przywrócenie obciążeń może wahać się od kilku dni do kilku miesięcy. Przyjrzyjmy się głównym czynnikom, które mają wpływ na czas odzyskiwania danych.
- Doświadczenie administratora systemu. Wykwalifikowani administratorzy systemów zazwyczaj dysponują wieloma planami odzyskiwania awaryjnego dla różnych scenariuszy i wiedzą, co należy zrobić w każdej sytuacji. Należy posiadać plan odzyskiwania po ataku oprogramowania wymuszającego okup, aby być przygotowanym na takie ataki.
- Odzyskiwanie danych przy użyciu narzędzia do odszyfrowywania (jeśli uda się znaleźć takie dla konkretnej wersji oprogramowania wymuszającego okup) może zająć dużo czasu. Jeśli po szyfrowaniu zmieniono również nazwy plików (np.
sLc6-fAl26m.nSeB2zamiastimage001.jpg), umieszczenie ich w odpowiednich katalogach po odzyskiwaniu zajmie jeszcze więcej czasu. Należy zachować prawidłową strukturę plików i katalogów, zwłaszcza jeśli pliki te są niezbędne do działania aplikacji.
- Wykonywanie kopii zapasowej danych skraca czas potrzebny na odzyskanie plików i serwera po ataku oprogramowania wymuszającego okup. Zaletą odzyskiwania plików z kopii zapasowej po ataku oprogramowania wymuszającego okup jest to, że odzyskuje się dane uporządkowane, w tym nazwy plików i folderów wraz z ich prawidłową ścieżką. Należy wybrać kopię zapasową z odpowiednią datą/godziną oraz miejsce docelowe, do którego mają zostać przywrócone dane. Następnie wystarczy poczekać, aż dane zostaną skopiowane i przywrócone.
Ponadto rozwiązania do tworzenia kopii zapasowych, takie jak NAKIVO Backup & Replication, opierają się na technologii obrazowej do tworzenia kopii zapasowych maszyn wirtualnych i fizycznych. Oznacza to, że kopia zapasowa obejmuje system operacyjny oraz inne pliki powiązane z systemem operacyjnym, takie jak pliki konfiguracyjne aplikacji i stan systemu, co pozwala zaoszczędzić czas potrzebny na przywrócenie systemów do działania.
- Niewystarczające przetestowanie planu odzyskiwania po ataku oprogramowania wymuszającego okup może prowadzić do dłuższego czasu odzyskiwania danych niż oczekiwano. Z tego powodu zawsze staraj się sprawdź swój plan odzyskiwania aby upewnić się, że możesz odzyskać wszystko, czego potrzebujesz, w odpowiednim czasie.
Pamiętaj, że podczas tworzenia strategii odzyskiwania awaryjnego, która obejmuje plan odzyskiwania po ataku oprogramowania wymuszającego okup, należy wziąć pod uwagę RTO i RPO wskaźniki.
Wnioski
Odzyskiwanie danych po ataku oprogramowania wymuszającego okup to złożony proces, który obejmuje odzyskiwanie danych i przywracanie obciążeń. Koszt i czas odzyskiwania danych po ataku oprogramowania wymuszającego okup zależą od stopnia przygotowania strategii tworzenia kopii zapasowych i odzyskiwania danych po atakach oprogramowania wymuszającego okup.
Głównym podejściem do ograniczania problemów spowodowanych atakami oprogramowania wymuszającego okup jest stosowanie środków zapobiegawczych i regularne wykonywanie kopii zapasowych danych. Należy przestrzegać zasady wykonywania kopii zapasowych 3-2-1 oraz korzystać z niezmiennego magazynu kopii zapasowych i niezawodnego rozwiązania do ochrony danych, które może zautomatyzować zadania.
