După un atac cibernetic sau ransomware: recuperarea fără a vă reinfecta

Modulul 8: Când lucrurile merg prost · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea parcurge etapa de recuperare după un atac cibernetic sau ransomware: limitarea pagubelor, stabilirea cauzei, recuperarea curată, depunerea plângerii, comunicarea și învățarea din incident.

Noțiuni cheie: limitarea pagubelor, izolare, acces inițial, persistență, investigație criminalistică, reinstalare curată, ordinea recuperării, plângere, No More Ransom, răscumpărare, asigurare cibernetică, evaluare

Cea mai mare greșeală: a "restaura totul" prea repede

Un dezvoltator web primește marți o notificare: site-ul WordPress al unui client redirecționează vizitatorii către un magazin fals. Acesta restaurează copia de siguranță din săptămâna anterioară, site-ul funcționează din nou, gata. Joi, problema reapare. Atacatorul intrase printr-un plugin învechit și lăsase în urmă un cont de administrator suplimentar și un fișier ascuns. Copia de siguranță din săptămâna anterioară le conținea deja. Restaurarea fără a ști cum a intrat cineva înseamnă să lăsați din nou ușa deschisă.

Același lucru se întâmplă în cazul ransomware-ului dintr-o rețea de birou. Infractorii stau adesea deja zile sau săptămâni în interior înainte de a cripta datele. În acest timp, creează conturi suplimentare, instalează software pentru acces de la distanță și caută copiile de siguranță. Cine restaurează doar fișierele criptate, păstrează atacatorul în interior.

De aceea, recuperarea se desfășoară în cinci etape, în această ordine.

Etapa 1: limitarea pagubelor

Limitarea pagubelor înseamnă: să vă asigurați că lucrurile nu se agravează. Primele minute sunt descrise în fișa dumneavoastră de incident (lecția 8.1).

• Izolați dispozitivele afectate: scoateți cablul de rețea, opriți wifi și rețeaua mobilă, sau activați modul avion. NCSC-ul olandez recomandă ca sistemele afectate să nu fie oprite, ci deconectate; modul de repaus este permis. Astfel se păstrează urmele din memoria de lucru și se oprește răspândirea.
• Deconectați discurile externe și suporturile de copii de siguranță și nu le conectați la un dispozitiv care ar putea fi infectat.
• Dacă nu puteți izola un sistem, întrerupeți conexiunea cu discul de rețea. Dacă întreaga rețea a fost afectată, deconectați-o de la internet (de exemplu, oprind conexiunea la internet sau firewall-ul).
• Schimbați parolele de pe un dispozitiv curat, începând cu cele mai importante: conturile de administrator, e-mailul, managerul de parole, banca. Deconectați-vă din toate sesiunile, peste tot. Nu faceți acest lucru de pe un calculator care ar putea conține un infostealer sau un keylogger (lecția 1.4), deoarece în acest caz veți dezvălui imediat noua parolă atacatorului.
• Păstrați dovezile: fotografia mesajului de răscumpărare, e-mailurile, cererile de plată, adresele crypto, orele. Nu aruncați nimic.

În cazul unui site web compromis, limitarea pagubelor înseamnă: scoaterea temporară a site-ului din funcțiune sau activarea modului de mentenanță, schimbarea tuturor parolelor (administrare, FTP, bază de date, găzduire) și contactarea furnizorului dumneavoastră de găzduire.

Etapa 2: stabilirea a ce s-a întâmplat

Trebuie să aflați trei lucruri:

1. Cum au intrat? Accesul inițial: un e-mail de tip phishing, o parolă furată fără 2FA, un server VPN sau un plugin învechit, o conexiune deschisă pentru administrare de la distanță.
2. Ce au lăsat în urmă? Persistența: conturi suplimentare, sarcini programate, software pentru administrare de la distanță, reguli de redirecționare în căsuțele de e-mail, fișiere suplimentare pe serverul web.
3. Ce au luat cu ei? În cazul ransomware-ului modern, infractorii copiază adesea mai întâi datele și amenință cu publicarea lor (extorcare dublă, lecția 1.3). În acest caz, aveți și o încălcare a securității datelor (lecția 8.2).

Pentru o afacere mică, acest lucru rareori poate fi realizat intern. Apelați la furnizorul dumneavoastră IT sau la o companie specializată în răspunsul la incidente. Multe asigurări cibernetice au un număr fix pentru o astfel de echipă. Întrebați o companie externă ce experiență are cu tipul dumneavoastră de incident și stabiliți dinainte ce acoperă investigația.

Pentru un site web, vă ajută jurnalul de acces și jurnalul de erori al serverului web, o scanare antimalware a fișierelor și o comparație cu o copie curată a CMS-ului și a pluginurilor.

Etapa 3: recuperarea curată

Abia după ce știți cum a intrat atacatorul și acea cale este blocată, începeți recuperarea.

Recuperați în ordinea stabilită în planul dumneavoastră (lecțiile 8.1 și 6.3): mai întâi ce are nevoie afacerea pentru a funcționa. Păstrați partea recuperată separat de ceea ce nu a fost încă verificat.

Aici se arată dacă copia dumneavoastră de siguranță este bună. O copie de siguranță care era conectată la rețea este adesea criptată sau ștearsă odată cu restul. O copie de siguranță offline sau imuabilă (lecția 6.2) și o procedură de restaurare testată (lecția 6.3) fac diferența între zile și săptămâni de inactivitate.

Etapa 4: plângere, notificare și răscumpărare

Plângere. Depuneți plângere la poliție. Informați-vă cu privire la modalitatea de depunere a plângerii pentru companii. Luați dovezile cu dumneavoastră (mesajul de răscumpărare, e-mailurile, datele de plată). Plângerea este necesară pentru investigație, ajută poliția să identifice legături, iar asigurătorii o solicită adesea.

No More Ransom. Pe https://www.nomoreransom.org (o inițiativă la care participă, printre altele, Europol și poliția olandeză) puteți încerca identificarea unui fișier criptat sau a mesajului de răscumpărare. Pentru unele familii de ransomware există un decriptor gratuit. Pentru majoritatea variantelor noi, nu, dar verificarea nu necesită mult timp.

Notificare. Stabiliți ce notificări sunt necesare: o încălcare a securității datelor trebuie notificată către ANSPDCP în 72 de ore (lecția 8.2), un incident semnificativ către autoritatea națională de securitate cibernetică dacă intrați sub incidența transpunerii NIS2 (lecția 9.1), și ce ați convenit cu clienții sau beneficiarii dumneavoastră.

Răscumpărare. NCSC-ul olandez recomandă să nu se plătească răscumpărare, iar autoritățile spun în general "de preferință, nu plătiți". Motivele:

• Nu aveți nicio garanție că veți primi o cheie funcțională sau că datele nu vor fi totuși publicate.
• Datele pe care le recuperați pot fi deteriorate sau modificate.
• Cine plătește devine cunoscut drept cineva care plătește. Victimele sunt uneori șantajate din nou sau atacate din nou mai târziu.
• Finanțați următorul atac.

Dacă totuși vă gândiți să plătiți, sau ați plătit deja, raportați acest lucru întotdeauna poliției: datele de plată pot ajuta investigația. Această decizie îi revine factorului de decizie din planul dumneavoastră de incident, nu persoanei care vede prima mesajul.

Asigurare cibernetică. O asigurare cibernetică poate acoperi costurile investigației, recuperării și pagubelor aduse afacerii și oferă adesea acces la o echipă de intervenție în caz de incident. Citiți condițiile: multe polițe impun măsuri de bază precum 2FA și copii de siguranță și solicită notificare rapidă. NCSC-ul olandez a scris în aprilie 2025, pe baza unei cercetări privind peste 500 de incidente de ransomware la întreprinderi mici și mijlocii, că atacatorii caută, după pătrundere, fișiere cu denumiri precum "asigurare" sau "poliță" pentru a-și consolida poziția de negociere. Verificați deci cât de ușor ar găsi un intrus polița dumneavoastră și, de preferință, nu o păstrați pe un disc partajat. O asigurare nu înlocuiește măsurile de securitate: plătește paguba, dar nu o previne.

Etapa 5: comunicare și învățare

Lăsați comunicatorul desemnat în planul dumneavoastră să transmită o singură poveste clară personalului, clienților și furnizorilor: ce s-a întâmplat, ce înseamnă pentru ei, ce trebuie să facă (de exemplu: fiți atenți la e-mailuri care par să vină de la noi) și când vor mai primi informații de la dumneavoastră. Onestitatea și rapiditatea funcționează mai bine decât tăcerea până la scurgerea informației.

Planificați, în câteva săptămâni, o evaluare: ce a mers bine, ce a mers prost, ce schimbați? Aproape întotdeauna apar aceleași probleme: lipsea 2FA undeva, un sistem nu era actualizat, copia de siguranță nu fusese testată sau nimeni nu știa cine are dreptul să decidă. Includeți aceste puncte în planul din lecția 9.3, cu un responsabil și o dată.

În practică: cum arată

Pentru un site web compromis pe un pachet de găzduire, de obicei lucrați cu mijloacele puse la dispoziție de furnizorul dumneavoastră de găzduire. La WebOké, acestea sunt, de exemplu, o scanare antimalware (Imunify360), fișierele jurnal din DirectAdmin, restaurarea unei copii de siguranță din WebOké Backups și un plan de pași în ghidul DirectAdmin. La alți furnizori de găzduire există instrumente similare; întrebați furnizorul dumneavoastră ce este disponibil și până la ce dată se păstrează copiile de siguranță, înainte de a avea nevoie de ele.

Rezumat

• Recuperarea în cinci etape: limitarea pagubelor, investigarea, recuperarea curată, plângere și notificare, comunicare și învățare.
• Izolați, nu opriți dispozitivele, și schimbați parolele doar de pe un dispozitiv curat.
• Nu restaurați nimic înainte de a ști cum a intrat atacatorul; altfel lăsați din nou ușa deschisă.
• Reinstalați dispozitivele infectate și recuperați dintr-o copie de siguranță dinainte de intruziune.
• Depuneți plângere, verificați No More Ransom și, de preferință, nu plătiți răscumpărare.

Test

Exercițiu

Exercițiul A8.3: Puneți recuperarea în ordinea corectă. Primiți o situație ipotetică și zece pași separați (de exemplu "restaurarea unei copii de siguranță", "scoaterea cablului de rețea", "stabilirea modului în care a intrat atacatorul", "depunerea plângerii"). Puneți-i în ordinea corectă. Programul verifică dacă regulile fixe de ordine sunt respectate (de exemplu: izolarea înainte de restaurare, stabilirea cauzei înainte de restaurare, reinstalarea înainte de restaurarea datelor) și explică motivul fiecărei greșeli.

Lecturi suplimentare

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 18.2: Site-ul meu a fost spart (hackuit): plan de acțiune
• Ajutor! Site-ul meu a fost spart. Cum pot rezolva sau preveni acest lucru?
• Scanerul Imunify360
• WebOké Backups: vizualizarea, restaurarea sau descărcarea unei copii de rezervă
• NCSC (Țările de Jos), Ce trebuie făcut în cazul unui atac ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC (Țările de Jos), Ransomware la întreprinderi mici și mijlocii: infractorii cibernetici cresc răscumpărarea în funcție de asigurarea cibernetică: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org