Po įsilaužimo ar išpirkos reikalaujančios programos: atkūrimas pakartotinai neužsikrečiant

8 modulis: Kai nutinka incidentas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite teisingai pereiti atkūrimo etapą po įsilaužimo ar išpirkos reikalaujančios programos: izoliuoti, ištirti, kaip tai įvyko, švariai atkurti, pateikti pareiškimą, informuoti suinteresuotus asmenis ir pasimokyti iš įvykio.

Pagrindinės sąvokos: izoliavimas, atskyrimas, pirminė prieiga, patvarumas (persistence), kriminalistinis tyrimas, švarus pakartotinis diegimas, atkūrimo eiliškumas, pareiškimas, No More Ransom, išpirka, kibernetinio saugumo draudimas, vertinimas

Didžiausia klaida: per greitai „viską atkurti“

Svetainių kūrėjas antradienį gauna pranešimą: kliento WordPress svetainė nukreipia lankytojus į netikrą parduotuvę. Jis atkuria praeitos savaitės atsarginę kopiją, svetainė vėl veikia, atrodo, kad viskas tvarkoje. Ketvirtadienį viskas kartojasi. Užpuolikas pateko per pasenusį papildinį ir paliko papildomą administratoriaus paskyrą bei paslėptą failą. Praeitos savaitės atsarginėje kopijoje jie jau buvo. Atkūrimas nežinant, kaip kažkas pateko vidun, kartu atkuria ir patį įsilaužimo kelią.

Tas pats nutinka su išpirkos reikalaujančia programa biuro tinkle. Nusikaltėliai dažnai būna viduje jau dienas ar savaites prieš pradėdami šifruoti. Per tą laiką jie sukuria papildomas paskyras, įdiegia nuotolinės prieigos programinę įrangą ir ieško atsarginių kopijų. Jei atkuriami tik užšifruoti failai, užpuolikas lieka viduje.

Todėl atkūrimas vyksta penkiais žingsniais, būtent šia tvarka.

1 žingsnis: izoliavimas

Izoliavimas reiškia: pasirūpinti, kad padėtis nepablogėtų. Pirmosios minutės yra aprašytos Jūsų incidento kortelėje (8.1 pamoka).

• Izoliuokite paveiktus įrenginius: ištraukite tinklo kabelį, išjunkite „Wi-Fi“ ir mobilųjį tinklą arba įjunkite lėktuvo režimą. Nyderlandų NCSC pataria paveiktų sistemų neišjungti, o atjungti nuo tinklo; miego režimas yra leistinas. Taip išsaugomi pėdsakai operatyviojoje atmintyje ir sustabdomas plitimas.
• Atjunkite išorinius diskus ir atsarginių kopijų laikmenas ir nejunkite jų prie įrenginio, kuris galėjo būti užkrėstas.
• Jei negalite izoliuoti sistemos, atjunkite ją nuo tinklo disko. Jei paveiktas visas tinklas, atjunkite jį nuo interneto (pavyzdžiui, išjungdami interneto ryšį arba ugniasienę).
• Keiskite slaptažodžius iš švaraus įrenginio, pradėdami nuo svarbiausių: administratoriaus paskyrų, el. pašto, slaptažodžių tvarkyklės, banko. Atsijunkite nuo visų seansų visur. Nedarykite to kompiuteriu, kuriame gali būti infostealer ar klavišų seklys (1.4 pamoka), nes tokiu atveju naują slaptažodį iškart „perskaitytumėte“ užpuolikui.
• Išsaugokite įrodymus: išpirkos reikalavimo nuotrauką, laiškus, mokėjimo prašymus, kriptovaliutų adresus, laiko žymas. Nieko neištrinkite.

Įsilaužus į svetainę, izoliavimas reiškia: laikinai išjungti svetainę arba perjungti ją į priežiūros režimą, pakeisti visus slaptažodžius (administravimo, FTP, duomenų bazės, talpinimo) ir informuoti savo talpinimo paslaugų teikėją.

2 žingsnis: ištirkite, kas atsitiko

Norite sužinoti tris dalykus:

1. Kaip jie pateko vidun? Pirminė prieiga: sukčiavimo laiškas, pavogtas slaptažodis be 2FA, pasenęs VPN serveris ar papildinys, atviras nuotolinio administravimo ryšys.
2. Ką jie paliko? Patvarumas (persistence): papildomos paskyros, suplanuotos užduotys, nuotolinio administravimo programinė įranga, persiuntimo taisyklės pašto dėžutėse, papildomi failai žiniatinklio serveryje.
3. Ką jie pasiėmė? Šiuolaikinės išpirkos reikalaujančios programos atveju nusikaltėliai dažnai pirmiausia nukopijuoja duomenis ir grasina juos paskelbti (dvigubas šantažas, 1.3 pamoka). Tokiu atveju turite ir duomenų saugumo pažeidimą (8.2 pamoka).

Mažai įmonei retai pavyksta tai padaryti savarankiškai. Kreipkitės į savo IT paslaugų teikėją arba specializuotą incidentų valdymo įmonę. Daugelis kibernetinio saugumo draudimų turi fiksuotą tokios komandos kontaktinį numerį. Paklauskite išorinės įmonės, kokią patirtį ji turi su Jūsų tipo incidentais, ir iš anksto susitarkite, ką tyrimas apims.

Svetainės atveju padeda žiniatinklio serverio prieigos žurnalas ir klaidų žurnalas, failų kenkėjiškų programų patikra bei palyginimas su švaria CMS ir papildinių kopija.

3 žingsnis: švarus atkūrimas

Tik kai žinote, kaip užpuolikas pateko vidun, ir ta anga uždaryta, pradėkite atkūrimą.

Atkurkite ta tvarka, kurią numatėte savo plane (8.1 ir 6.3 pamokos): pirmiausia tai, ko reikia, kad įmonė galėtų veikti toliau. Atkurtą dalį laikykite atskirai nuo dar nepatikrintos dalies.

Čia paaiškėja, ar Jūsų atsarginė kopija yra patikima. Atsarginė kopija, kuri buvo prijungta prie tinklo, dažnai irgi būna užšifruota arba ištrinta. Neprisijungta arba nekeičiama atsarginė kopija (6.2 pamoka) bei patikrinta atkūrimo procedūra (6.3 pamoka) lemia skirtumą tarp kelių dienų ir kelių savaičių prastovos.

4 žingsnis: pareiškimas, pranešimai ir išpirka

Pareiškimas. Pateikite pareiškimą policijai. Tai galima padaryti per e. policiją (https://www.epolicija.lt/). Pasiimkite įrodymus (išpirkos reikalavimo pranešimą, laiškus, mokėjimo duomenis). Pareiškimas reikalingas tyrimui, padeda policijai įžvelgti sąsajas, o draudikai jo dažnai prašo.

No More Ransom. Svetainėje https://www.nomoreransom.org (tai, be kita ko, Europolo ir Nyderlandų policijos iniciatyva) galite leisti atpažinti užšifruotą failą arba išpirkos reikalavimo pranešimą. Kai kurioms išpirkos reikalaujančių programų šeimoms yra nemokamų iššifravimo įrankių. Daugumai naujų variantų jų nėra, bet patikrinti užtrunka nedaug laiko.

Pranešimai. Nustatykite, kokie pranešimai reikalingi: pranešimas VDAI apie duomenų saugumo pažeidimą per 72 valandas (8.2 pamoka), reikšmingo incidento pranešimas per registraciją NKSC, jei Jums taikomas Kibernetinio saugumo įstatymas (NIS2 perkėlimas) (9.1 pamoka), ir tai, ką esate susitarę su klientais ar užsakovais.

Išpirka. Nyderlandų NCSC pataria nemokėti išpirkos, policija sako „geriau nemokėti“. Priežastys:

• Nėra garantijos, kad gausite veikiantį raktą, ar kad duomenys vis tiek nebus paskelbti.
• Susigrąžinti duomenys gali būti sugadinti ar pakeisti.
• Tas, kas sumoka, tampa žinomas kaip mokantis asmuo. Aukos kartais vėl šantažuojamos arba vėliau pakartotinai užpuolamos.
• Sumokėdami finansuojate kitą ataką.

Jei vis tiek svarstote mokėti ar jau sumokėjote, visada apie tai praneškite policijai: mokėjimo duomenys gali padėti tyrimui. Šį sprendimą turi priimti sprendimų priėmėjas, nurodytas Jūsų incidentų plane, o ne tas, kas pirmas pamato pranešimą.

Kibernetinio saugumo draudimas. Kibernetinio saugumo draudimas gali padengti tyrimo, atkūrimo ir veiklos nuostolių išlaidas bei dažnai suteikia prieigą prie incidentų valdymo komandos. Perskaitykite sąlygas: daugelis polisų reikalauja pagrindinių priemonių, tokių kaip 2FA ir atsarginės kopijos, bei greito pranešimo. Nyderlandų NCSC 2025 m. balandį, remdamasis daugiau nei 500 išpirkos reikalaujančių programų incidentų tyrimu smulkiajame ir vidutiniame versle, nurodė, kad užpuolikai, patekę vidun, ieško failų tokiais pavadinimais kaip „draudimas“ ar „polisas“, kad sustiprintų savo derybinę poziciją. Todėl pagalvokite, kaip lengvai įsibrovėlis galėtų rasti Jūsų polisą, ir geriausia jo nelaikyti bendrai naudojamame diske. Draudimas nepakeičia apsaugos priemonių: jis apmoka žalą, bet jos neužkerta kelio.

5 žingsnis: informavimas ir mokymasis iš patirties

Leiskite savo plane numatytam atsakingam už komunikaciją asmeniui papasakoti vieną aiškią istoriją darbuotojams, klientams ir tiekėjams: kas atsitiko, ką tai jiems reiškia, ką jie turėtų daryti (pavyzdžiui: atkreipti dėmesį į laiškus, kurie atrodo atsiųsti mūsų vardu), ir kada vėl gaus žinių iš Jūsų. Sąžiningumas ir savalaikiškumas veikia geriau nei tylėjimas, kol informacija nutekės pati.

Per kelias savaites suplanuokite vertinimą: kas pavyko, kas nepavyko, ką keisite? Beveik visada paaiškėja tie patys dalykai: kažkur trūko 2FA, sistema nebuvo atnaujinta, atsarginė kopija nebuvo patikrinta arba niekas nežinojo, kas turi teisę priimti sprendimus. Įtraukite šiuos punktus į savo 9.3 pamokoje aprašytą planą, nurodydami atsakingą asmenį ir terminą.

Praktikoje: kaip tai atrodo

Jei įsilaužiama į svetainę, veikiančią talpinimo pakete, dažnai naudojate savo talpinimo paslaugų teikėjo priemones. „WebOké“ atveju tai, pavyzdžiui, kenkėjiškų programų patikra (Imunify360), žurnalų failai „DirectAdmin“ sistemoje, atsarginės kopijos atkūrimas iš „WebOké Backups“ ir žingsnis po žingsnio planas „DirectAdmin“ instrukcijose. Kiti talpinimo paslaugų teikėjai turi panašių priemonių; paklauskite savo paslaugų teikėjo, kas yra prieinama ir kiek laiko atgal siekia atsarginės kopijos, dar prieš tai, kai to prireiks.

Santrauka

• Atkūrimas vyksta penkiais žingsniais: izoliavimas, tyrimas, švarus atkūrimas, pareiškimas ir pranešimai, informavimas ir mokymasis.
• Izoliuokite, neišjunkite, o slaptažodžius keiskite tik iš švaraus įrenginio.
• Nieko neatkurkite, kol nežinote, kaip užpuolikas pateko vidun; priešingu atveju atkursite ir patį įsilaužimo kelią.
• Užkrėstus įrenginius įdiekite iš naujo ir atkurkite duomenis iš atsarginės kopijos, sukurtos prieš įsilaužimą.
• Pateikite pareiškimą, pasitikrinkite „No More Ransom“ svetainėje ir geriausia nemokėkite išpirkos.

Testas (quiz)

Užduotis

Užduotis A8.3: Sudėliokite atkūrimo veiksmus teisinga tvarka. Gausite atvejo aprašymą ir dešimt pavienių žingsnių (pavyzdžiui, „atkurti atsarginę kopiją“, „ištraukti tinklo kabelį“, „nustatyti, kaip užpuolikas pateko vidun“, „pateikti pareiškimą“). Sudėliokite juos teisinga tvarka. Programa patikrina, ar laikomasi nustatytų eiliškumo taisyklių (pavyzdžiui: izoliavimas prieš atkūrimą, priežasties nustatymas prieš atkūrimą, pakartotinis diegimas prieš duomenų atkūrimą) ir kiekvienos klaidos atveju paaiškina, kodėl ji yra klaidinga.

Skaitykite daugiau

„WebOké“ straipsniuose aprašyti žingsniai galioja „WebOké“ aplinkai; pas kitus paslaugų teikėjus procesas yra panašus.

• DirectAdmin vadovas 18.2: Mano svetainė nulaužta: veiksmų planas
• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• Imunify360 skeneris
• WebOké atsarginės kopijos: kaip peržiūrėti, atkurti arba atsisiųsti atsarginę kopiją
• Nyderlandų NCSC, Ką daryti išpirkos reikalaujančios programos atakos atveju?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nyderlandų NCSC, Išpirkos reikalaujančios programos smulkiajame ir vidutiniame versle: nusikaltėliai didina išpirką, kai yra kibernetinio saugumo draudimas: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org