Вас зашифровали! Что делать?

Возможно ли минимизировать последствия атаки шифровальщика? Постараемся разъяснить в нашей статье. 

Проблема заражения шифровальщиком приобретает все большие масштабы. Это может стать просто колоссальной проблемой для компании, если вовремя не принять меры. Вместо паники, необходимо, наоборот, сохранять трезвый рассудок и действовать молниеносно.

Шаг первый. Найти и изолировать

Первым делом необходимо найти источник проникновения зловреда в вашу сеть. К слову, зараженным может оказаться не одна машина, а сразу несколько. В любом случае, необходимо пройтись по всем машинам (если их не очень много) и проверить логи антивирусов, EDR и файрволы.  Но при этом важно беречь логи и малейшие следы зловреда, чтобы не потерять концы. Если вы их удалите, то потом будет очень сложно отследить откуда взялся зловред. 

После изолирования зараженных машины от сети, лучше всего снять с них образы дисков. И  постарайтесь их больше не трогать до окончания расследования.

Шаг второй. Защита и действие 

После первого шага у вас  будет список машин с дисками, полными зашифрованных файлов, а также образы этих дисков. Теперь машины машины отключены от сети и больше не представляют угрозы для окружения. 

Теперь настало время охоты. Начинаем анализировать шифровальщика. Каким образом он к вам попал и какие группировки обычно им пользуются. 

Скорее всего, шифровальщик появился не сам собою. Его что-то скачало — дроппер, RAT, троян-загрузчик и т.д.. Это «что-то» нужно локализовать в рамках сети и удалять.

Рекомендуем провести внутреннее расследование. Предстоит покопаться в логах и попытайтесь понять, на каком компьютере шифровальщик появился в первую очередь и почему его там ничто не остановило. 

Итогами этой охоты должно стать:

• Зачистка сети от сложных и особо скрытных зловредов и, если возможно, заново запустите работу бизнеса

• Разбор полетом, чего не хватило в плане имеющихся программ обеспечения безопасности

• Обучение сотрудников. Максимально донести полученную информацию и что необходимо делать (или не делать), чтобы ситуация не повторилась вновь

• Установка своевременных обновлений и патчей — пусть это будет приоритетом для IT-администраторов

Шаг третий. Работа с последствиями

Все дыры через которые могли пролезть зловреды устранены. Теперь вы имеете целый парк неработающих компьютеров. Их лучше отформатировать. Все данные можно восстановить из бэкапа. Надеемся они у вас делаются регулярно. Если нет, то рекомендуем прочитать нашу статью посвященную этому. 

А вот если резервной копии нет, то придется расшифровывать то, что имеется. Для расшифровывания рекомендуем обратиться в службу поддержки компании, которая предоставляет вам услуги в сфере кибербезопасности. 

Что делать вообще не стоит?

Платить вымогателям. Не забывайте, что, прежде всего, это спонсирование криминальной деятельности. Есть еще одна проблема - нет уверенности, что после “выкупа” мошенники все расшифруют. 

Зашифрованные файлы, кстати, все равно не удаляйте: если декриптора нет сейчас, то есть шанс, что его сделают позже — так тоже уже бывало.

Шаг четвертый. Не доводите до всего этого 

Всегда лучше  заранее продумать, что может пойти не так, и подстраховаться:

• Сегментируйте сеть и имейте в ней хорошо настроенные файрволы

• Ставьте хорошую защиту на все конечные точки в сети 
• Не ограничиваться антивирусами, благо в современном мире полно различных средств для охоты на серьезные угрозы

• Если компания большая, то разверните SIEM-систему, чтобы быстрее понимать, когда что-то идет не так

• Обучайте сотрудников кибербезопасности. И обучайте регулярно!

На этом шаге, лучше обратиться к профессионалам, которые специализируются на предоставлении комплексной защиты. Даже если вы уверены, что следуете всем правилам - всегда есть форс-мажор, который точно не случиться, если вы доверите этот вопрос специалистам. 

Источник: www.b2b34.ru