بازیابی بعد از حمله باج افزار و پاکسازی شبکه آلوده

راهنمای بازیابی از باج افزار

پیش از شروع بازیابی باج افزار چه اطلاعاتی جمع کنید؟

وقتی تماس می گیرید، چند اطلاعات ساده ارزیابی را سریع تر می کند: ساعتی که اولین نشانه دیده شد، فهرست سیستم هایی که فایل هایشان رمز شده و آن هایی که هنوز سالم به نظر می رسند، و یک عکس یا کپی از یادداشت باج که معمولاً نام گروه یا راه ارتباطی را دارد.

محل بکاپ ها و تاریخ آخرین بکاپ موفق، فهرست حساب های مدیر دامین و سرورها و نقشه ساده شبکه، حتی روی کاغذ، هم لازم است. همه کارهایی را که تا این لحظه انجام شده با ساعت انجام بنویسید. یک نفر را هم برای تصمیم های فوری مثل قطع اینترنت کل شرکت تعیین کنید.

Ransomware Recovery Plan: سیستم ها به چه ترتیبی برگردانده شوند؟

ترتیب ریستور به اندازه خود بکاپ مهم است. اول هویت: اگر کنترلر دامین آلوده شده، یا از بکاپ پیش از نفوذ در شبکه ای جداگانه برگردانده می شود یا دامین از نو ساخته می شود، و رمز حساب krbtgt دو بار و با فاصله تغییر می کند. بعد DNS و DHCP و زیرساخت بکاپ، سپس دیتابیس ها و نرم افزارهای اصلی کسب وکار، و در آخر فایل سرورها و کامپیوتر کاربران.

هر سیستم بازگردانده شده اول در VLAN جداگانه روشن و اسکن می شود و فقط بعد از اطمینان به شبکه اصلی وصل می شود. بهتر است این ترتیب پیش از حادثه مکتوب شده باشد.

اشتباهات رایج بعد از حمله باج افزاری

رایج ترین اشتباه، ریستور بکاپ پیش از بستن راه نفوذ است. اگر RDP باز یا حساب VPN لورفته هنوز فعال باشد، مهاجم همان شب دوباره سیستم ها را رمز می کند. اشتباه بعدی ریستور از بکاپی است که در دوره حضور پنهان مهاجم گرفته شده و backdoor او را هم همراه داده ها برمی گرداند.

تغییر رمزها از روی کامپیوتری که خودش آلوده است، از قلم انداختن حساب های سرویس و scheduled taskهایی که مهاجم با Group Policy روی همه سیستم ها ساخته، و وصل کردن دوباره NAS بکاپ پیش از پایان پاکسازی، بازیابی را به نقطه اول برمی گردانند.

حمله باج افزار WannaCry و باج افزارهای امروز چه فرقی دارند؟

WannaCry در سال 2017 مثل کرم پخش شد. از آسیب پذیری SMBv1 با اکسپلویت EternalBlue استفاده می کرد و خودکار از سیستمی به سیستم دیگر می رفت. نصب وصله MS17-010 و بستن پورت 445 روی اینترنت جلوی بیشتر آلودگی ها را می گرفت.

باج افزارهای امروز بیشتر توسط انسان هدایت می شوند. مهاجم با رمز لورفته VPN یا RDP وارد می شود، روزها یا هفته ها در شبکه جابه جا می شود، حساب مدیر دامین را به دست می آورد، بکاپ ها را پاک می کند، داده ها را خارج می کند و در آخر رمزگذاری را هم زمان روی همه سرورها اجرا می کند. به همین دلیل بازیابی امروز علاوه بر ریستور فایل ها، بررسی حساب ها، ماندگاری مهاجم و احتمال خروج داده را هم لازم دارد.