Co robić w pierwszych minutach
Jeśli pytasz, co robić po ataku ransomware, odpowiedź w skrócie brzmi: odizoluj zainfekowane urządzenia, nie kasuj niczego, powiadom osobę decyzyjną i specjalistów, a dopiero potem zajmuj się odtwarzaniem. Najgorsze, co można zrobić, to w panice formatować dyski albo przywracać kopię na maszyny, na których atakujący wciąż ma dostęp.
Pierwsze minuty są na zatrzymanie rozprzestrzeniania:
- Odłącz zainfekowany komputer od sieci: wyjmij kabel, wyłącz Wi-Fi. Nie wyłączaj go z przycisku, bo w pamięci mogą być ślady przydatne do analizy. Wyjątek: jeśli widzisz, że szyfrowanie trwa, a nie da się odciąć sieci, wyłączenie jest mniejszym złem.
- Jeśli podobne objawy widać na kilku stanowiskach lub na serwerze plików, odetnij połączenie z internetem na routerze i rozłącz VPN dla pracowników zdalnych.
- Zrób zdjęcie ekranu z żądaniem okupu telefonem, zapisz nazwę pliku z instrukcją i rozszerzenie zaszyfrowanych plików.
- Nie loguj się na zainfekowane maszyny kontem administratora domeny. Atakujący może tylko na to czekać.
Pierwsza godzina: decyzje i komunikacja
W małej firmie to zwykle właściciel lub dyrektor decyduje, czy firma wstrzymuje pracę. Tę osobę trzeba powiadomić natychmiast, nawet jeśli jest na urlopie. Równolegle uruchom kontakt z osobą odpowiedzialną za IT, wewnętrzną lub zewnętrzną.
Ustal kanał komunikacji poza firmową pocztą i Teams. Jeśli atakujący siedzi w sieci od tygodni, może czytać Waszą korespondencję. Wystarczy grupa w komunikatorze na prywatnych telefonach, założona dla kilku kluczowych osób.
W tej godzinie zdecyduj też, kogo zawiadomić z zewnątrz:
- CERT Polska przyjmuje zgłoszenia incydentów przez formularz na swojej stronie i pomaga w ocenie sytuacji, także małym firmom,
- Prezesa UODO musisz powiadomić w ciągu 72 godzin od stwierdzenia naruszenia, jeśli zaszyfrowane lub wykradzione dane obejmują dane osobowe i istnieje ryzyko dla osób, których dotyczą; oceń to z IOD lub prawnikiem,
- policję, bo atak to przestępstwo, a zgłoszenie bywa potrzebne ubezpieczycielowi,
- ubezpieczyciela, jeśli masz polisę cyber; warunki polis bywają różne, często przewidują termin zgłoszenia i zasady wyboru specjalistów, więc sprawdź je w swojej umowie.
Jeśli Twoja firma podlega przepisom NIS2 i znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa, dochodzą osobne obowiązki raportowe. Zakres i terminy sprawdź wcześniej z prawnikiem, a nie w dniu ataku.
Pierwsza doba: zakres szkód i kopie
Kiedy rozprzestrzenianie jest zatrzymane, trzeba ustalić, co dokładnie się stało. Kluczowe pytania:
- które komputery, serwery i udziały sieciowe są zaszyfrowane,
- którędy atakujący wszedł: phishing, wykradzione hasło do VPN, niezałatany serwer, pulpit zdalny wystawiony do internetu,
- czy dane zostały tylko zaszyfrowane, czy także wyniesione (dziś to częsty model „podwójnego wymuszenia”),
- czy kopie zapasowe przetrwały i z którego dnia są czyste.
Ostatni punkt decyduje o całym dalszym scenariuszu. Sprawdź kopie z osobnego, niezainfekowanego komputera. Jeśli NAS z backupem był podłączony jako dysk sieciowy, prawdopodobnie też jest zaszyfrowany. Kopie w chmurze z włączoną niezmiennością lub na nośniku odłączonym od sieci mają największą szansę przetrwania.
Zabezpiecz też logi: z zapory, z serwera, z Microsoft 365, z oprogramowania EDR. Wiele z nich nadpisuje się po kilku dniach, a bez nich nie ustalisz drogi wejścia i atak może się powtórzyć po odtworzeniu.
Sprawdź również, czy dla rodziny ransomware, która Cię zaatakowała, nie istnieje darmowy dekryptor. Projekt No More Ransom zbiera takie narzędzia. Szansa nie jest duża przy nowych odmianach, ale sprawdzenie zajmuje kilka minut.
Dni 2-7: odbudowa w dobrej kolejności
Odtwarzanie zaczynaj od tego, co blokuje pracę całej firmy, a nie od tego, kto najgłośniej prosi. Typowa kolejność wygląda tak:
| Etap | Co odtwarzasz | Dlaczego w tej kolejności |
|---|---|---|
| 1 | kontroler domeny lub Entra ID, zmiana wszystkich haseł | bez czystej tożsamości każdy kolejny system można przejąć ponownie |
| 2 | zapora, VPN, dostęp zdalny z MFA | zamykasz drogę, którą atakujący wszedł |
| 3 | system księgowy lub ERP, baza klientów | od tego zależą faktury, KSeF i wypłaty |
| 4 | serwer plików, poczta, drukowanie | przywracasz codzienną pracę zespołu |
| 5 | stacje robocze | najlepiej z czystego obrazu, nie przez „czyszczenie” |
Każdą maszynę odtwarzaj na czysto lub z kopii sprzed momentu włamania, a nie sprzed momentu szyfrowania. To ważna różnica: atakujący bywa w sieci kilka tygodni przed uruchomieniem szyfrowania, więc kopia z wczoraj może zawierać jego narzędzia.
Przykład: hurtownia zatrudniająca 30 osób, atak wychodzi na jaw w piątek wieczorem. Kopie na NAS-ie są zaszyfrowane, ale przetrwała kopia w chmurze z blokadą usuwania. Rozsądny plan to najpierw serwer ERP, potem pliki, a stanowiska na końcu, stopniowo, dział po dziale. W takim scenariuszu najwięcej czasu często zajmuje nie samo odtwarzanie, lecz ustalenie, które hasła atakujący zdążył wykraść.
Czy płacić okup
Instytucje zajmujące się cyberbezpieczeństwem co do zasady odradzają płacenie. Zapłata nie gwarantuje otrzymania działającego klucza, nie gwarantuje, że wykradzione dane nie wypłyną, i oznacza, że firma trafia na listę tych, którzy płacą. Decyzja należy jednak do zarządu i warto ją skonsultować z prawnikiem, bo w niektórych przypadkach płatność może naruszać przepisy o sankcjach.
Najważniejsze: plan reagowania na ransomware pisze się przed atakiem. W dniu incydentu nie ma czasu na szukanie haseł do routera, ustalanie, kto decyduje, i sprawdzanie, czy kopie w ogóle istnieją.
Po incydencie: żeby nie powtórzyć
W ciągu dwóch tygodni po odtworzeniu zrób krótkie podsumowanie: co zadziałało, co opóźniło powrót, co trzeba zmienić. Zwykle lista obejmuje MFA na wszystkich kontach, wyłączenie pulpitu zdalnego wystawionego do sieci, EDR na stanowiskach i serwerach, kopie niedostępne z poziomu domeny oraz szkolenie pracowników z rozpoznawania phishingu.
Nie pomijaj rozmowy z zespołem. Pracownik, który otworzył złośliwy załącznik, powinien usłyszeć, że zgłoszenie było dobrą decyzją, a nie powodem do kary. Firmy, w których ludzie boją się przyznać do kliknięcia, dowiadują się o kolejnym ataku dopiero wtedy, gdy ekrany zaczynają wyświetlać żądanie okupu. Warto też raz na pół roku przejść cały scenariusz na sucho: kto co robi, gdzie są hasła awaryjne i ile trwa odtworzenie jednego serwera.
Przygotuj plan, zanim będzie potrzebny
Jednostronicowy plan wystarczy na start: lista osób i ich ról, kanał awaryjny, kontakty do CERT Polska, IOD i ubezpieczyciela, kolejność odtwarzania systemów oraz miejsce, gdzie leżą hasła awaryjne. O tym, jak ułożyć kopie, żeby przetrwały atak, pisaliśmy przy okazji kopii zapasowej Microsoft 365.
Jeśli chcesz mieć pewność, że ktoś zauważy włamanie, zanim zacznie się szyfrowanie, zobacz, jak działa monitoring SOC. Kopie odporne na atak konfigurujemy w ramach usługi kopie zapasowe i odtwarzanie, a cały plan ciągłości pracy, razem z testem na sucho, pomagamy przygotować w ramach rozwiązania ochrona przed przestojami.
Redakcja Apply
Cyberbezpieczeństwo