Izspiedējvīruss: rīcība pēc failu šifrēšanas

Fiksēt pazīmes un iesaistīt atbildīgos

Pierakstiet pamanīšanas laiku, skartās ierīces un pakalpojumus, failu nosaukumu izmaiņas un redzamo prasību. Saglabājiet ziņojuma oriģinālu un ekrānattēlu, ja to var izdarīt bez aizdomīgu failu atvēršanas. Nepiešķiriet uzbrucējam konkrētu identitāti tikai pēc logotipa vai izpirkuma teksta. Līdzīga noformējuma ziņojumus var izmantot dažādi uzbrucēji.

Informējiet IT atbildīgo un organizācijas lēmumu pieņēmēju. Sākotnējā secība ir tāda pati kā citos incidentos: pirmās 30 minūtes.

Turpinot rīcību, precizējiet arī tvērumu. Nosakiet, kuri pakalpojumi ir kritiski, kuri kolēģi var vadīt to apturēšanu un kā turpināsiet nepieciešamo darbu manuāli. Ja rodas aizdomas par piekļuvi uzņēmuma saziņas sistēmai, pārejiet uz iepriekš saskaņotu uzticamu kanālu. Ziņas par ierobežošanas darbībām nav jāizplata plašai saņēmēju grupai.

Ierobežot izplatīšanos un aizsargāt kopijas

Pilnvarots administrators izvērtē skarto ierīču tīkla izolēšanu un kompromitētu kontu piekļuves ierobežošanu. Tās ir dažādas darbības: datora atvienošana pati neatsauc piekļuvi mākoņpakalpojumam. Pirms kritiskas infrastruktūras izolēšanas novērtējiet ietekmi uz cilvēku drošību un pakalpojumu. Dokumentējiet lēmumu un tā izpildes laiku.

Skartās ierīces stāvoklis un tā cena

Darbība	Kad to apsver	Ko tas maksā
Atvienot no tīkla	Ierīce ir sasniedzama un izplatīšanos vajag apturēt nekavējoties.	Saglabā operatīvo atmiņu un vietējos žurnālus; piekļuve mākoņkontam ar to netiek atsaukta.
Izolēt tīkla segmentu	Skartas vairākas ierīces vai pilnais tvērums vēl nav zināms.	Aptur arī neskartus pakalpojumus; vajadzīgs pakalpojuma īpašnieka lēmums.
Izslēgt ierīci	Atvienot no tīkla nav iespējams, bet kaitējums turpinās.	Zaudē operatīvajā atmiņā esošos datus, tostarp iespējamās atslēgas un procesu pēdas.
Atstāt darbībā ar pastiprinātu novērošanu	Apturēšana apdraudētu cilvēku drošību vai kritisku procesu.	Risks turpināties; prasa rakstisku lēmumu, atbildīgo un pārbaudes laiku.

Piemērs. Piektdienas vakarā koplietojamā mapē parādās šifrēti faili un izpirkuma ziņojums. Dežurējošais administrators atvieno divus failu serverus no tīkla, bet neizslēdz tos, jo izmeklēšanai var būt vajadzīgi atmiņā esošie dati. Koordinators pieraksta laikus, informē vadību un rezerves kopiju krātuvē atsauc administratora sesijas. Atjaunošanu sāk tikai pēc tam, kad ir zināms, kā uzbrucējs ieguva piekļuvi.

Rezerves kopijas nepieslēdziet aizdomīgai videi, lai ātri pārbaudītu, vai tās “strādā”. Kopā ar atbildīgo pārbaudiet, vai uzbrucējs var piekļūt kopiju pārvaldībai, krātuvei vai atjaunošanas kontiem. Saglabājiet pieejamās kopiju versijas un to metadatus. Rezerves kopijas esamība vēl nenozīmē, ka tā ir atjaunojama, tīra vai aptver visus nepieciešamos datus.

Nesajaukt šifrēšanu ar pilnu incidenta ainu

Izspiešana var būt saistīta arī ar datu iznešanu, tomēr draudu teksts viens pats to nepierāda. Izmeklēšanā pārbauda sākotnējās piekļuves ceļu, izmantotos kontus, kustību starp sistēmām un iespējamu datu pārsūtīšanu. Atsevišķi fiksējiet apstiprinātu novērojumu un vēl nepārbaudītu uzbrucēja apgalvojumu. Tas palīdz pieņemt samērīgus lēmumus par klientu informēšanu.

• Neparasti liels izejošais datu apjoms uz saņēmējiem, kas ikdienā netiek izmantoti.
• Arhivēšanas vai sinhronizācijas rīki, kas parādījušies īsi pirms šifrēšanas.
• Piekļuve datu krātuvēm ar kontu, kuram tā ikdienas darbā nav vajadzīga.
• Uzbrucēja publicēts paraugs, kura izcelsmi var pārbaudīt neatkarīgi.

Neizdzēsiet aizdomīgus kontus, failus vai sistēmas tikai tādēļ, lai notīrītu redzamās pazīmes. Par to, ko un kādā secībā saglabāt, skatiet pierādījumu saglabāšanas ceļvedi.

Nepārstartējiet visas ierīces pēc vienas universālas instrukcijas. Speciālists izvērtē, kuri īslaicīgie dati jāsaglabā un kā to savienot ar kaitējuma apturēšanu. Par katru jau veikto izmaiņu ierakstiet īsu piezīmi, arī ja tā notikusi pirms izmeklētāja iesaistes.

Atjaunot pēc iepriekš saskaņotiem kritērijiem

• Nosakiet biznesa prioritāti: kuri pakalpojumi jāatjauno pirmie un no kā tie ir atkarīgi.
• Pārbaudiet atjaunošanas avotu un saskaņojiet tā izmantošanu no kompromitētās vides atdalītā vidē.
• Novērsiet zināmo piekļuves ceļu un pārskatiet skartās identitātes, pilnvaras un sesijas.
• Pirms pieslēgšanas darbam pārbaudiet pakalpojuma funkcijas, piekļuves kontroli un novērošanas iespējas.
• Fiksējiet, kurš atļauj atgriešanos darbā un kā rīkosieties, ja parādās jaunas incidenta pazīmes.

Atjaunošanas plānā atdaliet biznesa pieejamību no izmeklēšanas pabeigšanas. Daļu pakalpojumu var atgriezt darbā, kamēr vēl tiek noskaidrots pilnais tvērums. Šādu lēmumu pieņem ar skaidri aprakstītiem ierobežojumiem, uzraudzību un atbildīgo, nevis tikai tādēļ, ka faili atkal atveras.

Pastiprinātai novērošanai pēc atgriešanās darbā vajag atbildīgo un rīkus, ar kuriem jaunas pazīmes tiešām pamana. Ja organizācijā tādas iespējas nav, to risina atsevišķi no incidenta – piemēram, ar OffSeq proaktīvo uzraudzību.

Saskaņot ziņošanu un ārējo palīdzību

Izvērtējiet iestāžu, klientu un apdrošinātāja informēšanas pienākumus ar atbildīgajiem kolēģiem. Ziņošanas ceļvedis palīdz nošķirt dažādos saņēmējus. Lēmumu par saziņu ar izspiedēju nepieņemiet vienpersoniski; iesaistiet vadību, juridisko pārstāvi un kompetento iestādi. Maksājums negarantē datu atgūšanu, neizpaušanu vai turpmāku uzbrukumu pārtraukšanu. Publisks padoms nevar aizstāt konkrētās situācijas izvērtējumu.

Vadības situācijas apspriedē nošķiriet trīs jautājumus: vai kaitējums vēl turpinās, ko iespējams droši atjaunot un kādi fakti vēl vajadzīgi. Katrai atbildei pievienojiet atbildīgo un nākamo pārbaudes laiku, lai progress būtu saprotams arī ārpus IT komandas.