De repente las pantallas de los ordenadores de los empleados en la oficina se ponen negras con un mensaje de 'descifrando' — ¿es ransomware?

el ransomware es una mierda tío... cierra la red ya, no pagues ni de coña. bueno yo sé algo de informática llama a un perito forense luego he comprobado que hay una herramienta de recuperación pero solo funcionaba para 3 carpetas...

edit: arriba escribí mal, disculpad.

Es importante detectar el vector del ransomware: 1) Phishing por email, 2) Explotación de RDP, 3) Vulnerabilidad de VPN, 4) Cadena de suministro (contratista), 5) Medios portátiles USB. Analizad la nota del atacante (archivo ransom note, .txt) para determinar el algoritmo de cifrado. Algunos tipos de ransomware (Wannacry, Petya, etc.) tienen claves de descifrado conocidas — podéis usar la herramienta ID Ransomware (id-ransomware.malwarehunterteam.com). Sacad logs de la red: /var/log/auth.log, Windows Event Log (Eventid 4697, 4688).

por eso se hacen backups tío. bueno o espera... ¿vale más esos 0.5 bitcoin o la base de datos? nunca paguéis, porque la mayoría de las veces no os lo abren y además la policía os complica la vida. cortad la red ya restaurad desde backup y listo.

Plan de prevención y respuesta ante ransomware: 1) Backups inmutables (regla 3-2-1: 3 copias, 2 medios, 1 offsite), 2) Sistema de backup air-gapped (desconectado de la red), 3) Solución EDR (Endpoint Detection and Response), 4) Zero Trust Network Access, 5) Plan de respuesta a incidentes, 6) Ciberseguro. Si ya ha ocurrido el ataque, no estáis totalmente perdidos — planificad la restauración desde backup, revisad el historial de versiones, haced recuperación incremental.

Ransomware = callejón sin salida de "por favor se acabó" 😂 Pero en serio desconecta la red llama a la policía llama al seguro. pues aunque pagues el rescate no te lo van a abrir, tu dirección de correo está en 10 millones de procesadores más en cada dispositivo...

Permíteme resumir lo que se ha dicho hasta ahora. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Las decisiones apresuradas son las que hay que corregir seis meses después. Si escribís el resultado aquí, también servirá de ayuda a otros.

llevé mucho tiempo con este asunto... tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

lo dejo como nota por si sirve.

¿Y cómo resolvieron esto? La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

A nosotros también nos pasa.

Voy a detallar un poco el aspecto técnico. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Aquí hay que hacer una distinción. Intentar hacerlo solo es la vía más cara.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. Comprobado por experiencia.

Aquí hay una trampa, no puedo dejar de mencionarla. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Ánimo.

Yo también estaba pensando en lo mismo. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Comprobado por experiencia.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Lo importante no es la cifra sino en qué se basa esa cifra.

Lo dejo como nota por si sirve.

Dejo una advertencia. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Por supuesto, cambia si tu situación es diferente.

Es correcto en general, pero falta un detalle. Una copia de seguridad no probada no es una copia de seguridad.

Empezad con una pequeña prueba, no lo integréis todo de golpe. También me gustaría saber si alguien lo hace de otra manera.

Hay un punto que me genera dudas. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Yo seguiría por ese camino.

Llevé mucho tiempo con este asunto. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

También me gustaría saber si alguien lo hace de otra manera.