Az első órák teendői
- Válassza le a hálózatról a fertőzött gépeket: húzza ki a hálózati kábelt, kapcsolja ki a Wi-Fit, és válassza le a csatlakoztatott külső meghajtókat, NAS-okat is.
- Ha a titkosítás még folyamatban van – a fájlok sorra megváltoznak –, áramtalanítsa a gépet, ezzel megállítja a további károkat.
- Ne töröljön semmit: se a titkosított fájlokat, se a váltságdíjat követelő üzenetet, se a naplófájlokat. Ezek segítenek azonosítani a kártevőt.
- Ne telepítse újra a rendszert, és ne formázza a meghajtókat – ezzel felülírhatja azokat az adatmaradványokat, amelyekből még menthető lenne.
- Értesítse informatikai partnerét, és ha személyes adatok is érintettek, mérje fel a GDPR szerinti bejelentési kötelezettségét.
Mi menthető egy támadás után?
Őszintén: a titkosított fájlok visszafejtése a kulcs nélkül a legtöbb modern zsarolóvírusnál nem lehetséges. Az adatmentés esélyét más források adják:
- Törölt eredeti fájlok. Sok kártevő a fájl titkosított másolatát hozza létre, majd az eredetit törli. Ezek a törölt eredetik – főként merevlemezen – sokszor még visszaállíthatók.
- Részlegesen titkosított fájlok. A gyorsaság érdekében egyes kártevők csak a fájlok egy részét titkosítják. Nagy fájloknál, adatbázisoknál, virtuális gépek lemezképeinél a tartalom jelentős része kinyerhető lehet.
- Ismert kártevők visszafejtői. Egyes zsarolóvírus-családokhoz nyilvános visszafejtő eszközök is elérhetők, például a No More Ransom kezdeményezés oldalán.
- Korábbi mentések, árnyékmásolatok maradványai, ha a kártevő nem törölte őket teljesen.
Fizessen váltságdíjat?
A hatóságok és a szakma egyöntetűen azt javasolja, hogy ne. A fizetés nem garantálja a visszafejtést, finanszírozza a további támadásokat, és a kapott visszafejtő sokszor hibás vagy lassú. Mielőtt bármilyen döntést hozna, vizsgáltassa meg, mi menthető a meglévő adathordozókról.
Más vírusok okozta adatvesztés
Nem minden kártevő zsaroló: egyes vírusok fájlokat törölnek, rejtenek el, vagy a partíciós táblát rongálják meg. Ezekben az esetekben az adatok jó eséllyel visszaállíthatók – feltéve, hogy a meghajtót a fertőzés után nem formázták le, és nem írták felül. A törölt adatok mentéséről külön cikkünkben olvashat.
Megelőzés
- Legyen legalább egy offline vagy megváltoztathatatlan (immutable) biztonsági mentés, amelyet a támadó nem ér el.
- Rendszeresen tesztelje a visszaállítást – egy mentés csak akkor ér valamit, ha vissza is lehet állítani belőle.
- Tartsa naprakészen a rendszereket, és használjon többfaktoros hitelesítést a távoli elérésekhez.
A céges mentési stratégiáról ebben a cikkben írtunk részletesebben.
Gyakori kérdések
Vissza tudják fejteni a titkosított fájljaimat?
A kulcs nélküli visszafejtés a legtöbb esetben nem lehetséges, ezért ezt nem ígérjük. A bevizsgálás során azt nézzük meg, milyen más úton – törölt eredetik, részlegesen titkosított fájlok, maradványok – nyerhetők vissza adatok. A bevizsgálás ingyenes, és csak sikeres mentés után kell fizetni.
A teljes szervert küldjem, vagy csak a lemezeket?
Egyeztessük telefonon. Sok esetben elegendők a lemezek, RAID-tömbnél a beépítési sorrend jelölésével.
