Ransomware-Angriff: Was man in den ersten Minuten AUF KEINEN FALL tun sollte — fatale Fehler

Auf keinen Fall Snapshots von virtuellen Servern löschen oder überschreiben. Wenn möglich, am Betriebssystem keinerlei Dateien mehr verschieben, bis ein Experte da ist, der einen RAM-Dump (Memory Dump) erstellen kann. Werden Dateiattribute verändert, wird die Identifizierung der Malware-Variante extrem erschwert.

Genau jetzt gibt es nur eins: Bei allen Rechnern – ob scheinbar betroffen oder nicht – sofort per Hand das Netzwerkkabel ziehen, Büro-Router und WLAN-Access-Points vom Strom nehmen. Den gesamten Netzwerkverkehr sofort kappen die Kisten aber unbedingt laufen lassen.

Letztes Jahr hat ein Kunde von uns in Panik den Server hart aus- und wieder eingeschaltet und damit den im flüchtigen Speicher verbliebenen Key vernichtet. Das Datenrettungslabor meinte später im Bericht, mit laufendem Rechner hätte die Chance bei siebzig Prozent gelegen, den Schlüssel direkt aus dem RAM zu ziehen.

der größte feher überhaupt ist es die vermeintlich saubere externe platte anzustöpseln um das backup zu checken läuft der schädling noch im hintergrund wird das backup direkt mitverschlüsselt und man steht mit leeren händen da.

Gemäß der Datenschutz-Grundverordnung der Europäischen Union ist ein Vorfall bei Risiko für personenbezogene Daten binnen 72 Stunden nach Bekanntwerden zwingend bei der zuständigen Datenschutzbehörde zu melden. Sichern Sie Kommunikationsnachweise und System-Logs lückenlos.

Hören Sie bloß nicht auf Leute, die sofort zahlen wollen. Selbst wenn man zahlt, gibt es absolut keine Garantie, dass man den Schlüssel bekommt oder das System danach wieder hochfährt. Obendrein landet man auf der Liste der Erpresser direkt als leichtes Opfer für die nächste Runde.

In der ersten halben Stunde diese drei Dinge strikt unterlassen: 1) Server nicht neustarten oder hart ausschalten, 2) Saubere Backup-Medien keinesfalls ans Netzwerk oder an Rechner hängen, 3) Keinerlei Kontakt über Links oder Mails aus der Ransom-Note zu den Angreifern aufnehmen.

Tut mir leid für den Vorfall das ist extrem nervenaufreibend. Aber wenn man jetzt einen kühlen Kopf bewahrt, lässt sich oft noch was retten. Sobald der Techniker da ist, soll er sich ausschließlich an die komplett isolierten Systeme setzen – Ruhe bewahren ist bei der Datenrettung die wichtigste Regel.

Gespeichert. Das allein zu versuchen, ist der teuerste Weg.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

das wusste ich nicht.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn deine Situation anders ist, ändert sich das natürlich.

Es gab drei verschiedene Ansichten die sich alle ergänzen. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Wenn es jemand anders macht würde mich das auch interessieren.

Betrachtet man den Prozess, ändert sich das Bild. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Nur als Notiz, könnte nützlich sein.

Ein Thema das gerade aktuell ist. Wenn ihr es zum ersten Mal macht fangt klein an, die Skalierung kommt später.

Nur als Notiz, könnte nützlich sein.

es gab drei verschiedene Ansichten, die sich alle ergänzen. wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

Dieses Thema ist archiviert.

ich erzähle mal was mir passiert ist, vielleicht hilft es euch. vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

nur als Notiz könnte nütlzich sein.

kurzfassung für Neueinsteiger: Das allein zu versuchen, ist der teuerste Weg.

wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später aber viel Erfolg.