Een korte handleiding over wat je moet doen als je door ransomware wordt getroffen, aangezien de meeste mensen onder druk beslissingen moeten nemen en geen tijd hebben om informatie op te zoeken.Als je op dit moment te maken hebt met een actief incident, zijn stap 1 tot en met 5 de stappen die je onmiddellijk moet uitvoeren; al het andere kan volgen zodra de situatie onder controle is.
1. Isoleer de getroffen systemen
Koppel geïnfecteerde computers onmiddellijk los van het netwerk. Trek de netwerkkabel eruit of schakel wifi uit; zet de computer niet zomaar uit. Door de computer uit te schakelen kan het RAM geheugen worden gewist dat forensische teams later nodig hebben, en het voorkomt niet dat de ransomware al gedeelde schijven of back-ups heeft bereikt die nog steeds met het netwerk zijn verbonden.
2. Controleer of het om ransomware gaat en identificeer de variant
Zoek naar het losgeldbriefje, de gewijzigde bestandsextensies en eventuele berichten op het vergrendelingsscherm. Met tools zoals ID Ransomware of een snelle zoekopdracht op de tekst van het losgeldbriefje kun je achterhalen met welke variant je te maken hebt. Dit is belangrijk omdat er voor sommige varianten bekende decryptietools bestaan en omdat sommige varianten zich anders gedragen wat betreft wat ze versleutelen en hoe ze zich verspreiden.
3. Activeer je incidentresponsplan
Schakel je incidentresponsteam in en betrek juridische adviseurs en het management in een vroeg stadium bij de situatie. Als je een cyberverzekering hebt, is dit ook het moment om contact op te nemen met je verzekeraar, aangezien veel polissen vereisen dat je binnen een bepaalde termijn melding doet en vaak voorkeursleveranciers hebben voor forensisch onderzoek en onderhandelingen.
4. Bewaar bewijsmateriaal voordat je iets anders aanraakt
Maak afbeeldingen van de getroffen systemen, of sla op zijn minst de logbestanden op, voordat je begint met het verhelpen van de schade. Deze stap wordt te vaak overgeslagen omdat mensen snel willen handelen, maar zonder bewijsmateriaal kun je niet achterhalen hoe de aanvaller binnenkwam, en heb je het mogelijk nodig voor verzekeringsclaims of voor de wetshandhaving.
5. Meld het incident
In sommige gevallen is dit een wettelijke verplichting en in sommige gevallen een vrijwillige manier om gezamenlijk te werken aan nationale cyberveiligheid. In BE kan je het incident melden of ondersteuning vragen aan het CCB via het formulier.
6. Controleer je back-ups
Controleer of je back-ups daadwerkelijk niet-besmet zijn en of ze op het moment van de aanval waren losgekoppeld of in een ‘air gap’ stonden. Dit is meestal de stap die bepalend is voor het verloop van het hele herstelproces. Als de back-ups intact zijn, heb je een reële kans op herstel zonder dat je iemand hoeft te betalen. Als ze met het netwerk waren verbonden en ook versleuteld zijn geraakt, worden je opties aanzienlijk beperkt.
7. Neem een weloverwogen besluit over het losgeld
Neem geen overhaaste beslissing. Betalen garandeert niet dat je een werkende decoderingssleutel krijgt, en het kan ervoor zorgen dat je wordt gezien als een doelwit dat bereid is opnieuw te betalen. Niet betalen kan een langduriger herstelproces betekenen. Dit is een beslissing die gezamenlijk moet worden genomen door het management, de juridische afdeling en vaak ook de wetshandhavingsinstanties, niet iets om om 2 uur ’s nachts in je eentje te beslissen. Ontrack heeft uitgebreider over de afwegingen geschreven, mocht je je hier verder in willen verdiepen (moeten we het losgeld betalen).
8. Herstel en zet systemen opnieuw op vanaf schone systemen
Wis de getroffen machines en bouw ze opnieuw op vanaf niet besmette images; herstel vervolgens de gegevens vanuit back-ups waarvan je hebt gecontroleerd dat ze schoon zijn. Geef prioriteit aan de systemen die het belangrijkst zijn voor de veiligheid en de omzet, en bouw ze opnieuw op in een gesegmenteerde omgeving, zodat je niets opnieuw aansluit op het live netwerk totdat is bevestigd dat het schoon is.
9. Scan alles voordat je weer verbinding maakt
Voer volledige malwarescans uit op herstelde systemen voordat ze weer op het netwerk worden aangesloten. Haast je niet bij deze stap. Als je hier te snel te werk gaat, kun je een omgeving die je net hebt schoongemaakt opnieuw infecteren.
10. Evalueer wat er is gebeurd en dicht de gaten
Zodra de situatie stabiel is, voer je een grondige evaluatie na het incident uit. Zoek uit wat het toegangspunt was – of het nu phishing was, een blootgestelde RDP-poort of een niet-gepatchte kwetsbaarheid – en dicht die specifieke kwetsbaarheid. Werk je incidentresponsplan bij op basis van wat je daadwerkelijk hebt geleerd, niet alleen op basis van wat er in het handboek staat.
Nuttige links: