Программа-вымогатель (ransomware) шифрует файлы на компьютерах и серверах и требует деньги за их расшифровку. Часто она перед этим ещё и крадёт данные, угрожая их опубликовать. Атакуют и малые фирмы: защита у них обычно слабее, а атаки в основном автоматизированы.
Как вымогатель попадает внутрь
- Фишинговое письмо. Вложение или ссылка, которые устанавливают вредоносную программу или крадут пароль.
- RDP или VPN, открытые в интернет без MFA. Пароли постоянно подбираются автоматически. Достаточно одного слабого или утёкшего пароля.
- Необновлённые устройства. Известные уязвимости в межсетевом экране, VPN-шлюзе, сервере или старой Windows. Прошивку файрвола тоже нужно обновлять.
- Украденные учётные записи. Пароли, утёкшие из других сервисов, пробуют и на ваших системах.
Часто злоумышленник находится в сети дни или недели до шифрования: ищет учётные записи администраторов и резервные копии, чтобы сначала уничтожить их.
Первый час: что делать
- Изолируйте заражённые устройства. Выньте сетевой кабель и отключите Wi-Fi. Если заражение широкое, отключите весь офис от интернета.
- Ничего не стирайте и не переустанавливайте. На устройствах остались следы, по которым можно понять, как злоумышленник вошёл и что делал. Быстрая переустановка их уничтожит, а та же дыра останется открытой.
- Защитите резервные копии. Отключите внешние диски и NAS, если они ещё не затронуты.
- Не платите в спешке. Оплата не гарантирует возврат данных и не гарантирует, что украденное не опубликуют. Сначала выясните, можно ли восстановиться из резервной копии.
- Зовите помощь и записывайте. Сфотографируйте требование выкупа, запишите время и наблюдения. Об инциденте можно сообщить в CERT-EE. Если утекли персональные данные, может понадобиться уведомить Инспекцию по защите данных.
- Смените пароли с чистого устройства, прежде всего пароли администраторов, почты и банка.
Как малой фирме защититься
- Офлайн- или неизменяемые резервные копии. Хотя бы одна копия должна быть недоступна злоумышленнику: отключённый диск, неизменяемое (immutable) облачное хранилище или система резервного копирования с отдельными учётными данными. Регулярно проверяйте восстановление: непроверенная копия — это только надежда.
- MFA везде. Почта, VPN, удалённый рабочий стол, учётные записи администраторов и облачные сервисы.
- Обновления. Windows, программы, серверы, а также прошивка файрвола и VPN. Устройства, для которых производитель больше не выпускает обновлений, нужно заменить.
- Минимальные права. Повседневная работа — под обычной учётной записью. Права администратора только у тех, кому они действительно нужны, и на отдельной учётной записи.
- EDR или нормальный антивирус на всех компьютерах и серверах, с централизованным мониторингом, чтобы предупреждения кто-то действительно видел.
- Никакого RDP из интернета. Удалённый доступ — через VPN с MFA.
- Обучение сотрудников. Человек, который распознаёт подозрительное письмо и сразу сообщает о нём, — хороший уровень защиты.
Короткий чек-лист
| Вопрос | Хороший ответ |
|---|---|
| Когда вы в последний раз восстанавливали файл из копии? | В последние пару месяцев |
| Защищена ли хоть одна копия от злоумышленника? | Да, офлайн или неизменяемая |
| Есть ли MFA на VPN и почте? | Да, у всех пользователей |
| Актуальна ли прошивка файрвола? | Да, и поддержка производителя действует |
| Работают ли пользователи с правами администратора? | Нет |
Когда обращаться к специалисту
Если файлы уже зашифрованы, вызывайте специалиста сразу, до того как начнёте что-то восстанавливать или переустанавливать. Для профилактики полезен ежегодный IT-аудит, который проверяет резервные копии, MFA и обновления. ITABIKS поможет в обоих случаях, телефон +372 53 888 229.