Lunavara (ransomware) krüpteerib arvutite ja serverite failid ning nõuab nende tagastamise eest raha. Sageli varastab see enne ka andmed ja ähvardab need avaldada. Rünnatakse ka väikefirmasid, sest nende kaitse on tihti nõrgem ja rünnakud käivad automaatselt.
Kuidas lunavara sisse pääseb
- Õngitsuskiri. Manus või link, mis paigaldab pahavara või varastab parooli.
- Internetti avatud RDP või VPN ilma MFA-ta. Ründajad proovivad pidevalt automaatselt paroole. Piisab ühest nõrgast või lekkinud paroolist.
- Uuendamata seadmed. Teadaolevad turvaaugud tulemüüris, VPN-lüüsis, serveris või vanas Windowsis. Ka tulemüüri püsivara tuleb uuendada.
- Varastatud kasutajakontod. Paroolid lekivad teistest teenustest ja neid proovitakse ka teie süsteemides.
Sageli on ründaja võrgus päevi või nädalaid enne krüpteerimist: ta otsib administraatori kontosid ja varukoopiaid, et need enne hävitada.
Esimene tund: mida teha
- Eraldage nakatunud seadmed võrgust. Tõmmake välja võrgukaabel ja lülitage Wi-Fi välja. Kui levik on ulatuslik, ühendage lahti kogu kontori internetiühendus.
- Ärge kustutage ega paigaldage midagi uuesti. Seadmetel on jäljed, mille järgi saab aru, kuidas ründaja sisse pääses ja mida ta tegi. Kiire ülepaigaldus hävitab need ja sama auk jääb lahti.
- Kaitske varukoopiaid. Ühendage lahti välised kettad ja NAS, kui need on veel puutumata.
- Ärge makske kiirustades. Maksmine ei taga andmete tagastamist ega seda, et varastatud andmeid ei avaldata. Kõigepealt selgitage välja, kas andmed saab taastada varukoopiast.
- Kutsuge abi ja dokumenteerige. Pildistage lunarahateade, märkige üles kellaajad ja tähelepanekud. Intsidendist saab teavitada CERT-EE-d. Kui lekkisid isikuandmed, tuleb arvestada Andmekaitse Inspektsiooni teavitamise kohustusega.
- Vahetage paroolid puhtast seadmest, eriti administraatori, e-posti ja panga paroolid.
Kuidas väikefirma end kaitseb
- Võrguühenduseta või muutumatud varukoopiad. Vähemalt üks koopia peab olema selline, mida ründaja ei saa kustutada ega krüpteerida: lahtiühendatud ketas, muutumatu (immutable) pilvesalvestus või eraldi kontoga varundussüsteem. Testige taastamist regulaarselt, sest proovimata varukoopia on ainult lootus.
- MFA kõikjal. E-post, VPN, kaugtöölaud, administraatorikontod ja pilveteenused.
- Uuendused. Windows, rakendused, serverid ning tulemüüri ja VPN-i püsivara. Seadmed, millele tootja enam uuendusi ei tee, tuleb välja vahetada.
- Vähimad õigused. Igapäevane töö käib tavakasutaja kontoga. Administraatori õigused on vaid neil, kes neid tõesti vajavad, ja eraldi kontol.
- EDR või korralik viirusetõrje kõigis arvutites ja serverites, keskse ülevaatega, et hoiatusi keegi ka näeks.
- RDP ei tohi olla internetti avatud. Kaugligipääs käib VPN-i ja MFA kaudu.
- Töötajate koolitus. Inimene, kes oskab kahtlast kirja ära tunda ja sellest kohe teatab, on hea kaitsekiht.
Lühike kontrollnimekiri
| Küsimus | Hea vastus |
|---|---|
| Millal viimati taastasite faili varukoopiast? | Viimase paari kuu jooksul |
| Kas mõni varukoopia on ründaja eest kaitstud? | Jah, võrguühenduseta või muutumatu |
| Kas VPN-il ja e-postil on MFA? | Jah, kõigil kasutajatel |
| Kas tulemüüri püsivara on ajakohane? | Jah, ja tootja tugi kehtib |
| Kas kasutajad töötavad administraatori õigustes? | Ei |
Millal kutsuda abi
Kui failid on juba krüpteeritud, kutsuge spetsialist kohe ja enne, kui hakkate midagi taastama või uuesti paigaldama. Ennetuse jaoks tasub lasta kord aastas teha IT-audit, mis kontrollib varukoopiaid, MFA-d ja uuendusi. ITABIKS aitab mõlemal juhul, telefon +372 53 888 229.