Po wykryciu ataku ransomware najważniejszy jest natychmiastowy demontaż połączeń sieciowych – wyciągnięcie kabla Ethernet oraz wyłączenie Wi-Fi i Bluetooth. To zatrzymuje rozprzestrzenianie się infekcji na inne urządzenia i przerywa wysyłanie skradzionych plików na serwery przestępców. Kolejne decyzje zależą już od tego, czy masz za sobą zespół reagowania na incydenty, czy działasz w pojedynkę. Poniżej rozkładamy całą procedurę na czynniki pierwsze.
Jak odciąć zagrożenie od reszty sieci?
Gdy na ekranie pojawia się komunikat o szyfrowaniu, organizm zalewa adrenalina. Szok, złość i strach to normalne reakcje. Nie można jednak dać się im ponieść. W pierwszych sekundach liczy się jedno: fizyczne przerwanie łączności. Wyciągasz kabel sieciowy, odłączasz nośniki zewnętrzne i USB, wyłączasz Wi-Fi oraz Bluetooth. Urządzenie ma zostać całkowicie odizolowane od sieci i od innych dysków.
Dlaczego to takie ważne? Szyfrowanie potrafi objąć dziesiątki tysięcy plików w kilkadziesiąt minut, a przy okazji rozlać się na dyski sieciowe, nośniki USB i zsynchronizowane foldery w chmurze. Każda minuta zwłoki to kolejne dane zamienione w ciąg nieczytelnych bitów oraz ryzyko, że infekcja przeskoczy na następny komputer w sieci.
Wyłączyć komputer czy zostawić włączony?
To pytanie budzi najwięcej wątpliwości i nie ma jednej odpowiedzi dla wszystkich. W firmie dysponującej zespołem reagowania na incydenty pozostawienie maszyny włączonej (po odcięciu jej od sieci) ma sens: zawartość pamięci operacyjnej, działające procesy i znaczniki czasu są cennym materiałem dla analityków, którzy będą odtwarzać przebieg ataku. Decyzję podejmuje wtedy specjalista, a nie osoba w panice.
Jeśli jednak jesteś użytkownikiem domowym, nie masz kogo wezwać, a na ekranie widzisz, że proces szyfrowania wciąż trwa – priorytetem staje się ograniczenie strat. Wyłączenie komputera przerywa dalsze niszczenie plików. Nie licz przy tym na to, że klucze szyfrujące uda się później wyciągnąć z pamięci: przy współczesnych odmianach ransomware to scenariusz raczej wyjątkowy niż typowy.
Niezależnie od tego, co zdecydujesz w sprawie zasilania, pierwszym ruchem zawsze jest odcięcie urządzenia od sieci. Ten krok nie ma żadnych wad.
Dlaczego szybka izolacja ma znaczenie?
Szybkość reakcji to nie tylko kwestia ograniczenia strat. Chodzi też o przyszłą analizę. Logi, procesy w tle, znaczniki czasu – im mniej zdąży się nadpisać, tym łatwiej odtworzyć wektor ataku i wskazać moment, w którym przestępca przedostał się do infrastruktury.
Nie zawsze udaje się odciąć pojedyncze urządzenie. Jeśli ransomware zdążyło już przeskoczyć na serwery plików albo kontroler domeny, konieczne bywa odłączenie całej sieci firmowej od internetu. To drastyczny krok, ale mniej kosztowny niż odbudowa kilkudziesięciu terabajtów danych produkcyjnych od zera.
Podwójne wymuszenie
Współczesne grupy przestępcze rzadko ograniczają się do samego szyfrowania. Przed jego rozpoczęciem wykonują kopię danych i grożą wyciekiem, jeśli okup nie zostanie zapłacony. To tak zwane „podwójne wymuszenie”. Dlatego błyskawiczne odcięcie sieci blokuje nie tylko rozprzestrzenianie się szyfrowania, ale też transfer skradzionych plików na zewnętrzne serwery.
Jak zidentyfikować wroga?
Gdy maszyna jest już odseparowana, trzeba ustalić, z jakim konkretnie wariantem ma się do czynienia. Od tego zależy wybór narzędzi odszyfrowujących. Zrób zdjęcie ekranu z żądaniem okupu. Zapisz na czystym nośniku notkę od przestępców (często to osobny plik tekstowy lub HTML) oraz kilka zaszyfrowanych plików – posłużą jako próbki. Notuj wszystko: datę, godzinę, pierwsze objawy, czynności wykonywane tuż przed atakiem.
Te informacje przydadzą się na portalu No More Ransom – inicjatywie wspieranej przez Europol, która gromadzi bezpłatne dekryptory dla wielu rodzin ransomware. Witryna pozwala sprawdzić, czy dla danego szyfrogramu istnieje już publiczne narzędzie odszyfrowujące. Warto też przesłać próbki do zespołu CERT Polska przez formularz na stronie incydent.cert.pl. Im szybciej dostaną materiał, tym większa szansa na pomoc.
Czy płacić okup?
Pytanie wraca jak bumerang, a odpowiedź brzmi: nie. Zapłata nie gwarantuje odzyskania danych – znaczna część organizacji, które przelały okup, i tak nie odzyskała pełnego dostępu do plików. Część z nich mimo zapłaty doświadczyła później wycieku wykradzionych danych, bo przestępcy po prostu wystawili je na sprzedaż. Płacisz więc za obietnicę składaną przez kogoś, kto właśnie okazał się przestępcą.
Zapłacenie okupu nie daje żadnej gwarancji – ani odzyskania danych, ani tego, że skradzione pliki nie zostaną upublicznione mimo transakcji.
Aspekt prawny też ma znaczenie. Przekazywanie środków grupom przestępczym bywa kwalifikowane jako finansowanie przestępczości lub pranie pieniędzy, a w niektórych jurysdykcjach firmy, które zapłaciły, mierzyły się później z konsekwencjami prawnymi. Nie wspominając o etyce – każdy przelany bitcoin finansuje kolejne ataki. Organizacje powinny rozważyć wpisanie do polityki bezpieczeństwa jednoznacznego zakazu płacenia okupu, aby w kryzysie nikt nie ulegał presji.
Jak odtworzyć dane po ataku?
Kopie zapasowe to złota reguła przetrwania w świecie ransomware. Ale nie każdy backup jest równy. Automatyczne replikacje podłączone do tej samej domeny zostają zaszyfrowane razem z danymi produkcyjnymi. Dlatego od lat obowiązuje zasada 3-2-1: trzy kopie danych, przechowywane na dwóch różnych nośnikach, z czego jedna w trybie offline – fizycznie odłączona od wszystkiego.
Przed rozpoczęciem przywracania trzeba przeskanować każdy plik narzędziem antymalware. Kopie podłączamy tylko do znanych, czystych maszyn w odizolowanym segmencie sieci. Jeśli backup był robiony przyrostowo, należy sprawdzić integralność całego łańcucha – jeden zaszyfrowany przyrost potrafi unieważnić całą resztę. Po odtworzeniu środowiska hasła, certyfikaty i klucze API trzeba natychmiast zmienić, bo nie wiadomo, które z nich zdążyły wyciec.
Kogo powiadomić i w jakiej kolejności?
Równolegle z technicznym odtwarzaniem toczy się gra informacyjna. Zespół odpowiedzialny za komunikację musi dostać wytyczne: nie publikować niczego, dopóki nie powstanie spójny komunikat. Nie chodzi o ukrywanie prawdy, tylko o uniknięcie chaosu. Klienci, udziałowcy i regulatorzy powinni dostać informację w tym samym momencie, przygotowaną przez wyznaczoną osobę.
W ciągu 72 godzin od stwierdzenia naruszenia – o ile dotyczy ono danych osobowych – administrator ma obowiązek zgłosić incydent do Prezesa Urzędu Ochrony Danych Osobowych. Artykuły 33 i 34 RODO nie pozostawiają tu wyboru: zaszyfrowanie danych to naruszenie ich dostępności. Jeśli ryzyko dla praw i wolności osób fizycznych jest wysokie, trzeba też zawiadomić same osoby, których dane dotyczą.
W Polsce incydent zgłasza się do CERT Polska przez incydent.cert.pl. Można też zawiadomić Centralne Biuro Zwalczania Cyberprzestępczości. Do zgłoszenia dołączamy próbki plików, notę od przestępcy, logi systemowe i wstępne ustalenia co do źródła infekcji.
Jak wyczyścić zainfekowane środowisko?
Usunięcie ransomware to nie jest kliknięcie „odinstaluj”. W większości przypadków konieczne jest całkowite przywrócenie ustawień fabrycznych wszystkich nośników. Zanim jednak ktokolwiek sięgnie po przycisk formatowania, warto zgrać obraz dysku do analizy. Później, już na czystym sprzęcie, instaluje się system od zera, aplikuje wszystkie dostępne łatki bezpieczeństwa i przywraca dane ze zweryfikowanych kopii.
Środowisko odzyskane po ataku powinno być przez kilka tygodni monitorowane ze zdwojoną uwagą. Włączanie systemów do sieci odbywa się stopniowo, segment po segmencie, przy jednoczesnej obserwacji ruchu. Szuka się nietypowych połączeń wychodzących, prób logowania poza godzinami pracy i anomalii w wykorzystaniu procesora. Każda z nich może świadczyć o tym, że napastnik wciąż siedzi w środku.
Jakie wnioski wyciągnąć po incydencie?
Przegląd po incydencie to moment, w którym zbiera się zespół i bez szukania winnych analizuje, co zawiodło. Czy pracownik kliknął w link phishingowy? A może luka w oprogramowaniu pozostała niezałatana od miesięcy? Wnioski spisuje się w raporcie, który potem staje się podstawą do aktualizacji planów ciągłości działania. Zewnętrzny audyt i testy penetracyjne pozwalają sprawdzić, czy nowe zabezpieczenia rzeczywiście działają.
Warto też przyjrzeć się uprawnieniom. Konta administracyjne często mają dostęp do wszystkiego, co tylko ułatwia rozprzestrzenianie się złośliwego oprogramowania. Wdrożenie uwierzytelniania wieloskładnikowego na wszystkich kontach uprzywilejowanych i serwisowych to jeden z najtańszych, a zarazem najskuteczniejszych sposobów na przecięcie wektora ataku.
Jak szkolić ludzi, by nie byli najsłabszym ogniwem?
Najlepsze narzędzia nie pomogą, jeśli pracownik poda login i hasło przez telefon osobie podającej się za „wsparcie IT”. Dlatego szkolenia nie mogą być nudnym webinarem odklikanym w piątkowe popołudnie. Powinny przypominać ćwiczenia praktyczne – uczestnicy dostają spreparowaną wiadomość z prośbą o pilne opłacenie faktury, a potem na gorąco analizują swoje reakcje. Regularne testy tego typu wyraźnie obniżają skuteczność phishingu w organizacji.
Po ataku pracownicy przeżywają silny stres. Warto zapewnić im wsparcie. Zespół odbudowujący systemy też potrzebuje odpoczynku – po kilkudziesięciu godzinach bez snu podejmuje się gorsze decyzje. Plan awaryjny powinien uwzględniać rotację ludzi, by nikt nie pracował non stop. To nie fanaberia, tylko czynnik bezpośrednio wpływający na tempo powrotu organizacji do sprawności.
Ransomware zostawia głębokie blizny w infrastrukturze, ale też w zaufaniu klientów i morale zespołu. Odbudowa trwa długo. Jednak organizacje, które przeszły przez ten proces i wdrożyły wyciągnięte wnioski, wracają silniejsze – z lepszym monitoringiem, czystszym modelem uprawnień i z ludźmi, którzy następnym razem odruchowo wyciągną kabel, zanim skończą pić poranną kawę.
