След хакерска атака или ransomware: възстановяване без повторно заразяване

Модул 8: Когато нещо се обърка · Време за четене: 11 минути

Цел на урока: След този урок ще можете да преминете през фазата на възстановяване след хакерска атака или ransomware: ограничаване на щетите, изясняване на случилото се, чисто възстановяване, подаване на сигнал, комуникация и извличане на поуки.

Основни понятия: ограничаване на щетите, изолиране, първоначален достъп, постоянство (persistence), криминалистично разследване, чисто преинсталиране, последователност на възстановяване, подаване на сигнал, No More Ransom, откуп, киберзастраховка, оценка

Най-голямата грешка: твърде бързо "да възстановим всичко"

Уеб разработчик получава във вторник сигнал: сайтът на клиент с WordPress пренасочва посетителите към фалшив онлайн магазин. Той възстановява резервното копие от предишната седмица, сайтът отново работи, готово. В четвъртък се случва отново. Нападателят беше влязъл през остарял плъгин и беше оставил допълнителен администраторски акаунт и скрит файл. Резервното копие от предишната седмица вече ги съдържаше. Възстановяването, без да знаете как някой е влязъл, връща обратно и вратата, през която е влязъл.

Същото се случва при ransomware в офис мрежа. Престъпниците често са вътре дни или седмици преди да шифроват данните. През това време създават допълнителни акаунти, инсталират софтуер за отдалечен достъп и търсят резервните копия. Който само възстанови шифрованите файлове, задържа нападателя вътре.

Затова възстановяването протича в пет стъпки, в този ред.

Стъпка 1: ограничаване на щетите

Ограничаването на щетите означава: да се погрижите нещата да не се влошат. Първите минути са описани на Вашата карта за инциденти (урок 8.1).

• Изолирайте засегнатите устройства: извадете мрежовия кабел, изключете Wi-Fi и мобилната мрежа, или включете режим в самолет. Нидерландският NCSC съветва засегнатите системи да не се изключват, а да се откачат от връзката; режим на сън е допустим. Така следите в оперативната памет се запазват и разпространението спира.
• Откачете външните дискове и носителите за резервни копия и не ги свързвайте към устройство, което може да е заразено.
• Ако не можете да изолирате дадена система, прекъснете връзката с мрежовия диск. Ако цялата мрежа е засегната, изключете я от интернет (например чрез спиране на интернет връзката или на защитната стена).
• Сменете паролите от чисто устройство, като започнете с най-важните: администраторски акаунти, имейл, мениджъра на пароли, банката. Излезте от всички сесии навсякъде. Не правете това от компютър, който може да съдържа infostealer или keylogger (урок 1.4), защото иначе веднага издавате новата парола на нападателя.
• Запазете доказателствата: снимка на съобщението с искане за откуп, имейлите, исканията за плащане, крипто адресите, часовите отметки. Не изхвърляйте нищо.

При хакнат уебсайт ограничаването на щетите означава: временно изваждане на сайта офлайн или преминаване в режим на поддръжка, смяна на всички пароли (администриране, FTP, база данни, хостинг) и включване на Вашия хостинг доставчик.

Стъпка 2: изясняване на случилото се

Искате да знаете три неща:

1. Как са влезли? Първоначалният достъп: фишинг имейл, открадната парола без 2FA, остарял VPN сървър или плъгин, отворена връзка за отдалечено администриране.
2. Какво са оставили? Постоянството (persistence): допълнителни акаунти, планирани задачи, софтуер за отдалечено администриране, правила за препращане в пощенски кутии, допълнителни файлове на уеб сървъра.
3. Какво са отнесли? При съвременния ransomware престъпниците често първо копират данни и заплашват с публикуването им (двойно изнудване, урок 1.3). Тогава имате и нарушение на сигурността на данните (урок 8.2).

За малка фирма това рядко може да се направи самостоятелно. Включете Вашия ИТ доставчик или специализирана фирма за реагиране при инциденти. Много киберзастраховки имат фиксиран номер за такъв екип. Попитайте външната фирма какъв опит има с Вашия вид инцидент и уговорете предварително какво точно включва разследването.

При уебсайт помагат логът за достъп и логът за грешки на уеб сървъра, сканиране на файловете за злонамерен софтуер и сравнение с чисто копие на CMS системата и плъгините.

Стъпка 3: чисто възстановяване

Едва след като знаете как е влязъл нападателят и този път е затворен, започвате възстановяването.

Възстановявайте в реда, който сте определили в плана си (уроци 8.1 и 6.3): първо това, от което бизнесът има нужда, за да продължи да работи. Дръжте възстановената част отделно от онова, което все още не е проверено.

Тук се разкрива дали резервното Ви копие е надеждно. Резервно копие, което е било свързано с мрежата, често също е шифровано или изтрито. Офлайн или неизменяемо резервно копие (урок 6.2) и тествана процедура за възстановяване (урок 6.3) правят разликата между дни и седмици престой.

Стъпка 4: сигнал до органите, уведомяване и откуп

Сигнал до органите. Подайте сигнал до полицията (спешен номер 112) или до ГДБОП, сектор „Киберпрестъпност“ (https://www.cybercrime.bg/). Вземете доказателствата със себе си (съобщението с искане за откуп, имейлите, данните за плащане). Сигналът е необходим за разследването, помага на органите да видят връзки, а застрахователите често го изискват.

No More Ransom. На https://www.nomoreransom.org (инициатива, в която участват Европол и нидерландската полиция, сред други) можете да разпознаете шифрован файл или съобщението с искане за откуп. За някои семейства ransomware съществува безплатен декриптор. За повечето нови варианти не, но проверката отнема малко време. Вижте и българската версия: https://www.nomoreransom.org/bg/index.html.

Уведомяване. Проверете какви уведомления са необходими: уведомяване на КЗЛД за нарушение на сигурността на данните (урок 8.2), значим инцидент чрез регистрация пред компетентния орган, ако попадате в обхвата на Закона за киберсигурност (урок 9.1), и каквото сте уговорили с клиентите или възложителите си.

Откуп. Нидерландският NCSC съветва да не се плаща откуп, а полицията казва "за предпочитане е да не плащате". Причините са:

• Нямате гаранция, че ще получите работещ ключ, или че данните въпреки това няма да бъдат публикувани.
• Данните, които получите обратно, може да са повредени или променени.
• Който плаща, става известен като някой, който плаща. Понякога жертвите биват изнудвани отново или по-късно отново атакувани.
• Финансирате следващата атака.

Ако все пак обмисляте да платите, или вече сте платили, винаги подавайте сигнал до органите: данните за плащане могат да помогнат на разследването. Това решение е работа на вземащия решения от Вашия план за инциденти, не на онзи, който пръв вижда съобщението.

Киберзастраховка. Киберзастраховката може да покрие разходи за разследване, възстановяване и загуби за бизнеса, и често дава достъп до екип за реагиране при инциденти. Прочетете условията: много полици изискват базови мерки като 2FA и резервни копия, и изискват бързо уведомяване. Нидерландският NCSC писа през април 2025 г., въз основа на проучване на над 500 инцидента с ransomware в малки и средни предприятия, че след влизане нападателите търсят файлове с имена като "застраховка" или "полица", за да подсилят позицията си при преговорите. Затова помислете колко лесно нападател може да открие Вашата полица, и за предпочитане не я съхранявайте на споделен диск. Застраховката не замества мерките: тя плаща щетите, но не ги предотвратява.

Стъпка 5: комуникация и поуки

Нека комуникаторът от Вашия план разкаже една ясна история на персонала, клиентите и доставчиците: какво се е случило, какво означава това за тях, какво трябва да направят (например: внимавайте за имейли, които изглеждат, че идват от нас), и кога ще получат следваща информация от Вас. Честността и навременността работят по-добре от мълчанието до изтичане на информацията.

Планирайте в рамките на няколко седмици оценка: какво мина добре, какво се обърка, какво ще промените? Почти винаги излизат същите точки: липсвало е 2FA някъде, система не е била актуализирана, резервното копие не е било тествано, или никой не е знаел кой има право да взема решения. Запишете тези точки в плана си от урок 9.3, с отговорник и дата.

На практика: ето как изглежда това

При хакнат уебсайт на хостинг пакет често работите със средствата на Вашия хостинг доставчик. При WebOké това са например сканиране за злонамерен софтуер (Imunify360), лог файловете в DirectAdmin, възстановяване на резервно копие от WebOké Backups и план за действие в ръководството за DirectAdmin. При други хостинг доставчици съществуват сходни инструменти; попитайте Вашия доставчик какво предлага и колко назад във времето стигат резервните копия, преди да имате нужда от тях.

Обобщение

• Възстановяване в пет стъпки: ограничаване на щетите, изясняване, чисто възстановяване, сигнал до органите и уведомяване, комуникация и поуки.
• Изолирайте, не изключвайте, и сменяйте паролите само от чисто устройство.
• Не възстановявайте нищо, преди да знаете как е влязъл нападателят; иначе връщате обратно и вратата.
• Преинсталирайте заразените устройства наново и възстановете от резервно копие отпреди пробива.
• Подайте сигнал до органите, проверете в No More Ransom, и за предпочитане не плащайте откуп.

Тест

Задача

Задача A8.3: Подредете възстановяването в правилната последователност. Получавате казус и десет отделни стъпки (например "възстановяване на резервно копие", "изваждане на мрежовия кабел", "изясняване как е влязъл нападателят", "подаване на сигнал до органите"). Подредете ги в правилния ред. Програмата проверява дали фиксираните правила за последователност са спазени (например: изолиране преди възстановяване, причина преди възстановяване, преинсталиране преди възстановяване на данни) и обяснява при всяка грешка защо.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е сходен.

• Ръководство за DirectAdmin 18.2: Моят сайт е хакнат: план за действие
• Помощ! Сайтът ми е хакнат. Как да го поправя или предотвратя?
• Скенер Imunify360
• WebOké Backups: преглед, възстановяване или изтегляне на резервно копие
• Нидерландски NCSC, Какво да правите при атака с ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Нидерландски NCSC, Ransomware в малките и средните предприятия: киберпрестъпниците повишават откупа при наличие на киберзастраховка: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org/bg/index.html