Ransomware ataka įmonėje: ką daryti dabar

Kaip atpažinti ransomware ataką

• Failai nebeatsidaro, jų plėtiniai pasikeitę į nežinomus.
• Aplankuose atsirado tekstiniai failai su instrukcijomis, kaip sumokėti.
• Darbalaukio fonas pakeistas pranešimu apie užšifravimą.
• Serveris ar bendri diskai staiga labai lėti, o EDR praneša apie masinius failų pakeitimus.

Ką daryti: 7 žingsniai

1. Izoliuokite

   Atjunkite pažeistus kompiuterius ir serverius nuo tinklo. Jei nežinote, kurie pažeisti – atjunkite interneto ryšį visam biurui.

2. Apsaugokite atsargines kopijas

   Atjunkite kopijų diskus ir sistemas, kad virusas jų nepasiektų. Nepradėkite atkūrimo, kol nežinoma, kaip įsilaužta.

3. Neišjunkite ir netrinkite

   Atmintyje gali būti šifravimo raktų ir įrodymų. Nufotografuokite išpirkos raštelį.

4. Kreipkitės į specialistus

   +370 5 276 0125. Nustatysime atmainą, įsilaužimo kelią ir ar nebuvo pavogta duomenų.

5. Pakeiskite slaptažodžius iš švaraus įrenginio

   Pirmiausia – administratorių, el. pašto ir nuotolinės prieigos paskyras. Įjunkite MFA.

6. Praneškite

   VDAI – jei paveikti asmens duomenys (72 val.), NKSC – jei esate NIS 2 subjektas (24 val.), policijai – kaip apie nusikalstamą veiką.

7. Atkurkite ir sustiprinkite

   Atkurkite iš patikrintų kopijų į išvalytą aplinką, pašalinkite įsilaužimo priežastį ir įdiekite priemones, kad ataka nepasikartotų.

Ar mokėti išpirką?

Kibernetinio saugumo institucijos ir teisėsauga rekomenduoja nemokėti. Sumokėjus nėra garantijos, kad gausite veikiantį raktą ar kad pavogti duomenys bus sunaikinti; sumokėjusios organizacijos dažnai atakuojamos pakartotinai, o pinigai finansuoja tolesnes atakas. Kai kurioms atmainoms egzistuoja nemokami iššifravimo įrankiai – juos rasite No More Ransom projekte.