Egy reggel a dokumentumok nevei megváltoznak, a megnyitásuk hibát ad, a képernyőn pedig váltságdíjat követelő üzenet jelenik meg. Ilyenkor a ransomware titkosított fájlok helyreállítása nem azzal kezdődik, hogy sorra próbálgatjuk az interneten talált programokat. Az első percek döntései határozhatják meg, marad-e esély az adatok visszaszerzésére, és megfertőződnek-e a hálózat további gépei vagy a mentések.
A legfontosabb üzenet megnyugtató, de egyenes: a titkosítás nem minden esetben visszafordítható, viszont sok esetben van menthető adat, használható biztonsági másolat vagy biztonságosan helyreállítható rendszer. A helyes sorrend számít.
Az első óra: állítsa meg a terjedést
Ha zsarolóvírusra gyanakszik, az érintett számítógépet azonnal válassza le a hálózatról. Húzza ki a hálózati kábelt, kapcsolja ki a Wi-Fi-t, és szüntesse meg a VPN-kapcsolatot is. Ne csatlakoztasson külső merevlemezt, pendrive-ot vagy hálózati meghajtót, mert a kártevő ezeket is elérheti.
Vállalkozásnál ne csak az egyetlen hibásnak tűnő gépre gondoljon. Ellenőrizni kell a fájlszervert, a közös mappákat, a felhőtárhely szinkronizálását, a távoli asztali kapcsolatokat és azokat a munkaállomásokat, amelyek ugyanazokat a megosztásokat használják. Egyetlen fertőzött felhasználói fiók is képes sok ezer közös fájlt titkosítani, ha túl széles jogosultságokkal rendelkezik.
A gépet nem mindig jó ötlet rögtön kikapcsolni. Egyes esetekben a futó rendszer memóriájában vagy ideiglenes állományaiban lehetnek a vizsgálathoz értékes nyomok. Ha azonban a fájlok láthatóan tovább titkosítódnak, vagy a fertőzés a hálózaton terjed, a kapcsolat megszakítása az elsődleges. A cél nem az, hogy laikusként nyomozzon, hanem hogy korlátozza a kárt.
Ne törölje a váltságdíjas üzenetet, és ne nevezze át a titkosított fájlokat. Készítsen fényképet a képernyőről, jegyezze fel a fájlkiterjesztést, a megjelenő azonosítókat és a támadás hozzávetőleges időpontját. Ezek segíthetnek annak azonosításában, milyen ransomware-családról van szó.
Ransomware titkosított fájlok helyreállítása: mi lehetséges?
A helyreállítás esélye attól függ, milyen kártevő támadott, mennyire volt teljes a titkosítás, elérte-e a mentéseket, és rendelkezésre áll-e tiszta adatforrás. A zsarolóvírusok egy része hibásan működik, vagy ismert a titkosítási megoldása, ezért létezhet hozzá használható visszafejtő eszköz. Más esetekben a titkosítás jelenlegi tudásunk szerint nem törhető fel életszerű idő alatt.
Ezért veszélyes az a gyors ígéret, hogy „minden fájlt biztosan vissza lehet hozni”. A korrekt szakmai válasz az, hogy először azonosítani és fel kell mérni a helyzetet. Meg kell vizsgálni néhány titkosított fájlt, a váltságdíjas üzenetet, a rendszer naplóit, a mentések állapotát és a fertőzés lehetséges belépési pontját.
A legjobb helyreállítási forrás jellemzően egy olyan biztonsági mentés, amely a fertőzés előtt készült, és a támadó nem tudta módosítani vagy törölni. Ez lehet leválasztott külső meghajtó, elkülönített mentési tárhely, korábbi felhőverzió vagy geográfiailag elkülönített vállalati mentés. A mentés azonban csak akkor ér valamit, ha előbb megtisztítottuk a környezetet. Fertőzött gépre visszaállítani az adatokat kockázatos, mert a kártevő újra titkosíthatja őket.
Előfordulhat, hogy egy felhőtárhely verziókövetése megmenti a korábbi dokumentumokat. Ez különösen akkor hasznos, ha a zsarolóvírus a szinkronizált mappát érte el, de a szolgáltató még őrzi a fertőzés előtti állapotokat. Itt az időablak és a jogosultságok sokat számítanak: a tömeges törlést vagy átnevezést követően a verziók megőrzése korlátozott lehet.
Néha a Windows árnyékmásolatai vagy az alkalmazások saját ideiglenes mentései is tartalmazhatnak visszaállítható adatot. A komolyabb zsarolóvírusok gyakran ezeket is törlik, ezért erre nem szabad teljes mentési stratégiát építeni. Mégis érdemes szakemberrel ellenőriztetni, mielőtt bárki újratelepíti a rendszert vagy kapkodva törölni kezd.
Miért ne fizessen és ne telepítsen találomra programokat?
A váltságdíj kifizetése üzleti és emberi szempontból is érthető kísértés lehet, különösen akkor, ha számlák, ügyféladatok, tervrajzok vagy évek óta gyűjtött fényképek váltak elérhetetlenné. A fizetés ugyanakkor nem garancia sem a visszafejtő kulcsra, sem a teljes körű helyreállításra. Előfordulhat, hogy a kapott eszköz hibás, lassú, csak az adatok egy részén működik, vagy a támadók később ismét próbálkoznak.
Ráadásul sok mai támadás nem csupán titkosít. A támadók előbb adatokat másolnak ki, majd a kiszivárogtatással is fenyegetnek. Ilyenkor a fájlok visszaállítása önmagában nem oldja meg a problémát: vizsgálni kell, milyen adatokhoz férhettek hozzá, érintettek-e személyes adatok, és szükséges-e jogi vagy adatvédelmi intézkedés.
Az interneten található „csodás” dekódolóprogramokkal is érdemes óvatosnak lenni. Egy rosszindulatú vagy hozzá nem értő eszköz felülírhatja az eredeti titkosított állományokat, további kártevőt telepíthet, vagy megnehezítheti a későbbi vizsgálatot. Az eredeti fájlokat változatlanul meg kell őrizni, és csak másolaton szabad kísérletezni.
A biztonságos helyreállítás sorrendje
A helyreállítás nem pusztán adatvisszamásolás. Először fel kell mérni az érintett eszközöket és fiókokat, majd meg kell szüntetni a fertőzés okát. Ez lehet ellopott jelszó, adathalász e-mail melléklete, elavult távoli asztali szolgáltatás, javítatlan szoftverhiba vagy túl széles hálózati jogosultság.
Ezután következik a rendszer tisztítása vagy – sok esetben biztonságosabb megoldásként – a teljes újratelepítése. A használt fiókok jelszavait cserélni kell, külön figyelemmel az e-mailre, a rendszergazdai fiókokra, a VPN-re és a felhőszolgáltatásokra. A többtényezős hitelesítés bevezetése jelentősen csökkenti annak esélyét, hogy egy megszerzett jelszó önmagában elegendő legyen a következő támadáshoz.
Csak ezután érdemes ellenőrzött mentésből visszaállítani az adatokat. Vállalati környezetben célszerű először egy elkülönített tesztkörnyezetben megnyitni a fontos állományokat. Így kiderülhet, hogy a mentés valóban sértetlen-e, és a munka újraindítása nem okoz-e újabb fennakadást.
A Precíz rendszergazda ilyen helyzetben a hiba felmérésében, az érintett gépek elkülönítésében, a mentések ellenőrzésében és a biztonságos visszaállítás megtervezésében tud gyakorlati segítséget adni. Magánszemélynél ez gyakran egyetlen számítógép és a rajta lévő pótolhatatlan fájlok megmentését jelenti. KKV-nál a működés folytonossága, a közös adatok, a levelezés, a hozzáférések és a későbbi megelőzés is része a feladatnak.
A következő támadás ellen a mentés a legerősebb védelem
A vírusirtó és a frissítések szükségesek, de önmagukban nem elegendők. A zsarolóvírusok gyakran emberi hibát, megtévesztő e-mailt vagy feltört fiókot használnak ki. A jó védelem több rétegből áll: rendszeres frissítésekből, korlátozott jogosultságokból, többtényezős belépésből, felhasználói oktatásból és ellenőrzött mentésekből.
A mentésnél az a kérdés, hogy egy támadó eléri-e ugyanazzal a jogosultsággal, amellyel a napi munka zajlik. Ha igen, akkor a mentés is veszélyben van. Érdemes több példányt tartani, eltérő helyeken, és legalább az egyik példányt elkülönítve vagy módosítás ellen védetten tárolni. A mentésről pedig nem elég tudni, hogy „lefutott”: időnként vissza is kell állítani belőle néhány fájlt próbaként.
Ha most csak annyit tesz, hogy ellenőrzi, honnan és mikor lehetne valóban visszaállítani a legfontosabb dokumentumait, már sokkal felkészültebb lesz. Zsarolóvírus-támadáskor a nyugodt, gyors elkülönítés és a szakmailag ellenőrzött helyreállítás gyakran többet ér, mint bármilyen pánikszerű megoldás.