Первые 24 часа после атаки программы-вымогателя: что делать и чего не делать

Сотрудник приходит утром и видит, что расширения его файлов изменились, а на рабочем столе появился текстовый файл с названием «your data has been encrypted». Через несколько минут перестаёт запускаться бухгалтерская программа, а папки на файловом сервере больше не читаются. Ни один руководитель не хочет пережить такой момент, но каждый должен быть к нему готов.

О защите от программ-вымогателей написано немало, в том числе о том, почему неизменяемые резервные копии — последний рубеж обороны. Эта статья не о предотвращении, а о реагировании: что делать в первые 24 часа после атаки и чего делать ни в коем случае нельзя?

Описанные ниже шаги — это общая схема действий. Каждый инцидент уникален, и при серьёзной атаке правильнее всего привлечь опытную команду реагирования на инциденты.

Первый час: справиться с паникой и остановить распространение

Программа-вымогатель редко остаётся на одном компьютере. Она пытается распространиться на сетевые папки, серверы и все доступные ей резервные копии. Ваша первая задача — не дать ущербу разрастись.

Отключите заражённые устройства от сети

Выньте сетевой кабель и отключите Wi-Fi на компьютерах и серверах, где видны признаки шифрования. Для виртуальных серверов то же самое достигается отключением виртуального сетевого адаптера или изоляцией соответствующей VLAN на межсетевом экране. При необходимости временно отключите доступ в интернет и VPN-туннели между филиалами.

Не выключайте устройства вслепую

Первое желание — выключить компьютер. Но данные в оперативной памяти — запущенные процессы, открытые соединения, а иногда и ключи шифрования — при выключении теряются. Эта информация важна, чтобы понять, как произошла атака, а в ряде случаев — чтобы восстановить данные. Обычно для остановки распространения достаточно отключить устройство от сети. По возможности принимайте решение о выключении вместе со специалистом по реагированию на инциденты.

Назначьте руководителя по инциденту

Когда каждый пытается что-то сделать сам, улики уничтожаются, а решения противоречат друг другу. Назначьте одного координатора. Технические специалисты, руководство, юристы и отдел коммуникаций должны действовать через него. Исходите из того, что у злоумышленников может быть доступ и к электронной почте, поэтому для связи используйте телефон или отдельный мессенджер.

Сохраните улики

Давление, требующее как можно быстрее вернуть системы в строй, огромно. Но если по ходу работы уничтожить следы, вы можете так и не узнать, как злоумышленник проник в сеть. Восстановление без закрытия точки входа может привести к повторению той же атаки уже через несколько дней.

• Сфотографируйте записку с требованием выкупа и все сообщения на экране.
• Выгрузите журналы межсетевого экрана, VPN, почты и серверов: на некоторых устройствах журналы быстро перезаписываются.
• Сделайте снимок или копию пострадавших виртуальных серверов, прежде чем что-либо будет удалено.
• Не перезаписывайте и не форматируйте зашифрованные диски.
• Ведите хронологию инцидента: кто, что и когда заметил и когда был выполнен каждый шаг.

Эти записи понадобятся для технического анализа, а также для последующих официальных уведомлений и страховых претензий.

Определите масштаб

Невозможно составить план восстановления, не зная, какие системы пострадали. В первые часы постарайтесь ответить на следующие вопросы:

• Какие серверы, компьютеры и сетевые папки зашифрованы?
• Затронуты ли контроллер домена и системы управления учётными записями?
• Доступны ли сервер резервного копирования и хранилища резервных копий и не повреждены ли они?
• Могли ли данные быть похищены? Не было ли в последние дни необычно большого исходящего трафика?
• С чего могла начаться атака: с фишингового письма, открытого порта удалённого рабочего стола, необновлённого VPN-устройства?

Многие группировки вымогателей сегодня сначала копируют данные, а потом шифруют их и прибегают к двойному вымогательству: «заплатите, или мы всё опубликуем». Поэтому оценка масштаба должна отвечать не только на вопрос «что зашифровано», но и на вопрос «что могло быть украдено».

Не платите выкуп рефлекторно

Злоумышленники усиливают давление с помощью таймеров обратного отсчёта и растущих сумм выкупа. Под таким давлением заплатить может показаться заманчивым решением. Но стоит знать несколько фактов:

• Оплата не гарантирует работающий дешифратор. Предоставленные инструменты бывают медленными, содержат ошибки или работают не полностью.
• Оплата не означает, что похищенные данные будут удалены.
• Организации, которые заплатили, могут стать мишенью повторно.
• Оплата влечёт юридические и налоговые последствия, поэтому такое решение необходимо оценивать вместе с юристом.

Если у вас есть целые и доступные резервные копии, вопрос об оплате зачастую вообще не возникает. Поэтому прежде чем обсуждать выкуп, выясните состояние резервных копий.

Проверьте целостность резервных копий

Резервные копии — основа восстановления. Злоумышленники это знают и стараются удалить или повредить их до начала шифрования. Прежде чем приступать к восстановлению, проверьте следующее:

• Остались ли резервные копии нетронутыми? Копии в неизменяемых хранилищах или в бакетах S3, защищённых блокировкой объектов (object lock), невозможно удалить, даже если пароль администратора скомпрометирован. Как правило, именно с них надёжнее всего начинать.
• Какая по дате резервная копия чистая? Злоумышленники могли находиться в сети за несколько дней и даже недель до шифрования. Последняя резервная копия тоже может содержать вредоносное ПО. Откройте и проверьте её в изолированной среде.
• Безопасен ли сервер резервного копирования? Если он входит в домен и был скомпрометирован, надёжнее восстанавливать данные с заново развёрнутого сервера резервного копирования.

На этом этапе огромную роль играет одна копия, хранящаяся независимо от основной сети, в другом месте и в неизменяемом виде. В этом и заключается суть правила резервного копирования 3-2-1.

Спланируйте порядок восстановления

Попытка восстановить всё сразу перегружает и сеть, и команду. Заранее определённый порядок приоритетов ускоряет восстановление. Типичная последовательность выглядит так:

1. Инфраструктура и учётные записи: чистый сегмент сети, правила межсетевого экрана, контроллер домена и DNS.
2. Критически важные бизнес-приложения: ERP, бухгалтерия, системы продаж и заказов, базы данных.
3. Коммуникации: электронная почта и внутренние мессенджеры.
4. Файловые ресурсы: сначала текущие проекты и недавние папки, затем архивы.
5. Компьютеры пользователей: в идеале — переустановка из чистого образа.

Не подключайте восстановленные системы сразу к старой сети. Проверьте их в изолированной среде, установите обновления безопасности и только после этого переводите в рабочую эксплуатацию. Если заранее определить, как быстро должна вернуться в строй каждая система (RTO) и какая потеря данных допустима (RPO), принимать эти решения под давлением будет гораздо проще.

Смените учётные данные

Большинство атак программ-вымогателей развивается через скомпрометированные учётные записи пользователей. Восстановить системы недостаточно — нужно также обесценить ключи, которые есть у злоумышленника.

• Смените пароли всех административных и служебных учётных записей.
• Если вы используете Active Directory, контролируемо сбросьте пароль учётной записи Kerberos (krbtgt) при поддержке специалистов.
• Включите обязательную многофакторную аутентификацию для VPN, удалённого доступа, облачных порталов и почты.
• Проверьте, не появились ли во время атаки новые учётные записи и запланированные задания.
• Не забудьте о паролях управления инфраструктурой — межсетевыми экранами и платформой виртуализации.

Не пренебрегайте обязанностью уведомить

Атака программы-вымогателя часто одновременно является утечкой персональных данных. Если в зашифрованных или похищенных системах хранились данные клиентов, сотрудников или поставщиков, возникают обязательства по KVKK — турецкому закону о защите персональных данных.

По общему правилу оператор данных обязан без промедления, но не позднее чем через 72 часа с момента, когда ему стало известно об утечке, уведомить Совет по защите персональных данных. Пострадавших лиц также необходимо проинформировать в разумный срок. Содержание и сроки уведомления рекомендуем согласовать с юристом.

Также учтите следующее:

• Если у вас есть полис киберстрахования, сообщите страховщику как можно раньше: во многих полисах установлены конкретные сроки и процедуры.
• Обратитесь в правоохранительные органы с заявлением о преступлении.
• Подготовьте для клиентов и партнёров понятное заявление, основанное на проверенных фактах.

Чего следует избегать: краткий список

• Форматировать зашифрованные диски или восстанавливать данные поверх них.
• Запускать на рабочих системах случайные «дешифраторы», найденные в интернете.
• Подключать системы к интернету до того, как найдена точка входа.
• Позволять посторонним лицам связываться со злоумышленниками.
• Обсуждать инцидент через почтовые ящики, которые могут быть скомпрометированы.
• Действовать, не фиксируя происходящее.

После инцидента: выводы

Работа не заканчивается, когда системы снова запущены. В течение нескольких недель проведите разбор со всей командой. Как злоумышленник проник внутрь, почему это не было обнаружено, какие шаги сработали, а какие отняли время? Ответы должны превратиться в конкретные меры: процессы установки обновлений, многофакторную аутентификацию, сегментацию сети, неизменяемые резервные копии и регулярные тесты восстановления.

Если адаптировать шаги из этой статьи к вашей среде и оформить их в письменный план реагирования на инциденты ещё до следующего инцидента, это сэкономит часы, когда случится настоящая атака.

Часто задаваемые вопросы

Нужно ли сразу выключать заражённый компьютер?

Как правило, нет. Сначала отключите его от сети. Выключение может уничтожить ценные улики в оперативной памяти. По возможности принимайте решение о выключении вместе со специалистом по реагированию на инциденты.

Достаточно ли восстановить последнюю резервную копию?

Не всегда. Злоумышленники могли находиться в сети несколько дней, и последняя резервная копия может содержать вредоносное ПО. Проверьте её в изолированной среде и при необходимости выберите более раннюю чистую копию.

Нужно ли уведомление по KVKK при каждом инциденте с программой-вымогателем?

Если пострадавшие системы содержат персональные данные и была нарушена их конфиденциальность, целостность или доступность, обязанность уведомить, скорее всего, возникает. Оцените ситуацию вместе с юристом и не пропустите 72-часовой срок.

Могут ли программы-вымогатели повредить облачные резервные копии?

Если злоумышленник захватит учётную запись администратора ПО резервного копирования, обычные облачные резервные копии тоже можно удалить. А вот копии, помеченные как неизменяемые, невозможно удалить или изменить в течение заданного срока хранения.

Будьте готовы к восстановлению вместе с CloudRUX

Инфраструктуру может купить любой; в кризисной ситуации разница в том, есть ли на другом конце провода инженер, который говорит на русском и турецком языках и сам обслуживает системы. CloudRUX хранит ваши резервные копии в дата-центрах в Турции, с неизменяемыми копиями и фиксированной ежемесячной оплатой. Ознакомьтесь с нашими решениями Backup as a Service (BaaS) и объектным хранилищем S3 или свяжитесь с нами, чтобы вместе проверить ваш план резервного копирования и восстановления.