Egy zsarolóvírus-támadásnál sokszor nem az első titkosított fájl okozza a legnagyobb kárt, hanem a következő fél óra kapkodása. A zsarolóvírus utáni adatmentés tapasztalatai azt mutatják, hogy a helyreállítás esélyét az dönti el leginkább, leállítják-e időben a fertőzés terjedését, és megmaradnak-e az eredeti adathordozók vizsgálható állapotban.
Magánszemélyként a családi fotók, dokumentumok és egy teljes számítógépnyi munkaanyag lehet veszélyben. Egy kisvállalkozásnál ugyanez már ügyféladatokat, számlákat, szerződéseket, közös mappákat, levelezést és akár a napi működést érintheti. Ilyenkor a cél nem az, hogy bármi áron gyorsan újra elinduljon a gép. Először azt kell tisztázni, mi történt, meddig jutott a fertőzés, és miből állítható vissza biztonságosan a működés.
Az első órák döntik el a zsarolóvírus utáni adatmentést
Ha a fájlok neve megváltozik, ismeretlen kiterjesztést kapnak, megnyitáskor hibát jeleznek, vagy váltságdíjas üzenet jelenik meg, az érintett eszközt azonnal le kell választani a hálózatról. Ez jelentheti a hálózati kábel kihúzását, a Wi-Fi kikapcsolását, illetve azt is, hogy a gép ne érje el a közös meghajtókat és a felhőtárhelyeket.
A számítógépet nem mindig érdemes azonnal kikapcsolni. Egyes esetekben a futó rendszerben olyan információk maradhatnak, amelyek segítik a vizsgálatot. Máskor a leállítás csökkenti a további károkozás esélyét. Ezért a biztonságos lépés az elkülönítés, majd szakértői döntés arról, hogyan folytatódjon a vizsgálat.
Ami szinte mindig rossz irány: többször újraindítani a gépet, találomra vírusirtókat futtatni, ismeretlen „visszafejtő” programokat letölteni, vagy az érintett meghajtóra új adatokat menteni. Ezek a lépések felülírhatnak olyan nyomokat és fájlmaradványokat, amelyekből később még adat menthető lenne.
Érdemes képernyőképet készíteni a váltságdíjas üzenetről, feljegyezni az észlelés idejét, valamint megőrizni egy-két titkosított fájlt és a támadók által hátrahagyott szöveges üzenetet. Ezek alapján gyakran pontosabban beazonosítható a támadás típusa. A bizonyítékok megőrzése különösen vállalkozásoknál fontos, ahol biztosítói, jogi vagy ügyfélértesítési kötelezettség is felmerülhet.
Mit lehet ténylegesen visszaállítani?
A válasz nem minden esetben ugyanaz. Van, amikor a fertőzés csak egy helyi felhasználói mappát érintett, miközben a külső meghajtón vagy egy leválasztott biztonsági mentésen megvannak az eredeti fájlok. Máskor a zsarolóvírus elérte a hálózati megosztásokat, a NAS-t és a folyamatosan szinkronizált felhőmappákat is. Ilyenkor a mentés megléte önmagában még nem garancia: azt is ellenőrizni kell, hogy a mentés mikori, ép-e, és nem került-e bele a titkosított állapot.
A legjobb helyzetet a több példányban, elkülönítve tárolt mentések adják. Ha egy mentés nincs folyamatosan elérhető hálózati meghajtóként csatlakoztatva, jóval kisebb eséllyel titkosítja le a támadás. Ugyanakkor a helyreállítás előtt ezt a mentést is vizsgálni kell. Nem célszerű egy fertőzött környezetbe visszamásolni az adatokat, mert ezzel a probléma újraindulhat.
Bizonyos zsarolóvírus-családok esetében előfordul, hogy elérhető megbízható visszafejtési lehetőség. Ez azonban nem általános szabály. A korszerű titkosítást használó támadásoknál sokszor nincs működő, ingyenes dekódoló eszköz. A reális adatmentési út ilyenkor a tiszta biztonsági mentés, korábbi fájlverziók, felhőszolgáltatási előzmények vagy a tároló szakértői vizsgálata lehet.
Fontos különbség, hogy az adat-visszaállítás nem azonos a teljes incidenskezeléssel. Attól, hogy néhány dokumentum újra megnyitható, a támadás oka még a rendszerben maradhat. Egy ellopott jelszó, egy frissítetlen távoli elérés, egy megtévesztő e-mail vagy egy gyenge jogosultsági beállítás később újabb fertőzést okozhat.
A felhő és a NAS sem automatikus védőháló
Sokan joggal gondolják, hogy a felhőben tárolt fájlok biztonságban vannak. A gond akkor kezdődik, amikor a titkosított fájlok a szinkronizálás miatt felkerülnek a felhőbe is. Ha van verziókövetés és elegendő megőrzési idő, korábbi állapotból gyakran visszaállíthatók a dokumentumok. Ha nincs, a felhő ugyanúgy csak a sérült állapot egy példányát őrizheti.
Hasonló a helyzet a NAS-eszközökkel. Egy hálózati tároló kiváló központi adattár lehet, de ha mindenki korlátlan írási jogosultsággal éri el, és a mentések ugyanazon a megosztáson vannak, a zsarolóvírus számára is könnyű célpont. A megfelelő védelemhez elkülönített mentési tárhely, korlátozott jogosultságok, verziózás és rendszeres visszaállítási próba szükséges.
A váltságdíj kifizetése kockázat, nem megoldás
A támadók gyakran rövid határidőt, emelkedő összeget és fenyegető hangnemet használnak. Ez tudatos nyomásgyakorlás. A fizetés után sincs garancia arra, hogy valóban megérkezik a működő visszafejtő kulcs, minden fájl helyreállítható, vagy a támadók törlik az esetlegesen ellopott adatokat.
Vállalati környezetben a helyzet még összetettebb. Egyre több támadás nemcsak titkosít, hanem adatokat is kiment. Ilyenkor az adatvédelem, az üzleti kár, az ügyfelek tájékoztatása és a jogi kötelezettségek is a vizsgálat részét képezik. A váltságdíj kifizetése nem helyettesíti sem a műszaki helyreállítást, sem az incidens dokumentálását.
Hogyan zajlik egy felelős helyreállítás?
A helyes folyamat első része a kárfelmérés. Meg kell nézni, mely eszközök érintettek, milyen fájltípusok sérültek, van-e hálózati terjedésre utaló jel, és hozzáférhettek-e a támadók levelezéshez, távoli asztalhoz vagy felhőfiókokhoz. Kisvállalkozásnál ezt nem szabad kizárólag azon a gépen vizsgálni, ahol elsőként megjelent az üzenet.
Ezután következik az adatok és mentések ellenőrzése. A mentésből való visszaállításnak ellenőrzött, tiszta környezetben kell történnie. A fertőzött operációs rendszer „megtisztítása” helyett sok esetben megbízhatóbb az újratelepítés, a szükséges frissítések telepítése, majd az adatok fokozatos visszatöltése. Ez több időnek tűnhet, de csökkenti annak esélyét, hogy a rejtve maradt kártevő újra aktiválódjon.
A helyreállítás része a jelszavak cseréje is, különösen az e-mail-, felhő-, távoli elérési és rendszergazdai fiókok esetében. A többtényezős azonosítás bevezetése, a frissítések rendbetétele és a jogosultságok átvizsgálása nem látványos feladat, de gyakran ezek zárják le azt a rést, amelyen a támadás bejutott.
A Precíz rendszergazda ilyen helyzetben nem előre gyártott ígéretet ad, hanem felméri az érintett gépeket, a mentések állapotát és a biztonságos visszaállítás lehetőségeit. Az ügyfélnek közérthetően kell látnia, mi menthető, mi bizonytalan, milyen lépések szükségesek, és milyen munkával jár a rendszer újbóli használatba vétele.
Amit a jövőre nézve érdemes megváltoztatni
A zsarolóvírus utáni adatmentés tapasztalatai alapján a legértékesebb tanulság nem egy új vírusirtó telepítése. A működő védelem több rétegből áll: rendszeres frissítésekből, megfelelő jogosultságokból, elkülönített mentésekből, többtényezős belépésből és abból, hogy a felhasználók felismerik a gyanús e-maileket.
A mentés értékét nem az bizonyítja, hogy valahol létezik, hanem az, hogy szükség esetén vissza is állítható. Érdemes időről időre próbavisszaállítást végezni legalább néhány fontos fájllal. Egy vállalkozásnál pedig előre rögzíteni kell, ki dönt incidens esetén, kit kell értesíteni, és mely rendszerek elsődlegesek a napi működéshez.
Ha a fájlok már titkosítva vannak, nincs ok a pánikra, de van ok a gyors, fegyelmezett lépésekre. Az érintett eszköz elkülönítése, a mentések megóvása és a szakértői vizsgálat gyakran többet számít, mint bármilyen elhamarkodott kísérlet a fájlok azonnali megnyitására.