Ataque de ransomware: Lo que NO debes hacer en los primeros minutos (errores que lo empeoran todo)

Jamás borres ni sobreescribas las snapshots de servidores virtuales. A ser posible, no muevas ningún archivo en el sistema operativo hasta que llegue un experto capaz de hacer una extracción de RAM (memory dump). Alterar los atributos de los archivos dificulta identificar el tipo de malware.

Lo único que hay que hacer justo ahora: desconecta a mano los cables de red de todos los ordenadores, afectados o no, y desenchufa el módem de la oficina y los puntos de acceso Wi-Fi. Reduce la comunicación de red a cero, pero deja los equipos encendidos.

El año pasado, en un caso similar, un cliente apágó y prendió el servidor con pánico y perdió la clave de descifrado que quedaba en la memoria temporal. El laboratorio de recuperación reportó que si la máquina se hubiera quedado encendida, había un 70% de probabilidades de extraer la clave de la memoria.

el mayor error es conectar rapido el disco externo q crees limpio al servidor pa revisar la copia de seguridad, si el bicho sigue activo de fondo te cifra el respaldo al instante y te quedas con 0.

De conformidad con el Reglamento General de Protección de Datos de la Unión Europea, si existe riesgo de filtración de datos personales, es una obligación legal notificar a la autoridad de protección de datos competente en un plazo de 72 horas tras tener conocimiento del incidente. Conserve meticulosamente los registros de comunicación y los logs del sistema.

No le hagas caso a los empleados que sugieren pagar el rescate. Aunque pases por el aro, nadie te garantiza que te den la clave ni que el sistema vuelva a marchar. Encima te quedas marcado como un blanco fácil en la lista de los ciberdelincuentes.

Nunca hagas estas tres cosas en la primera media hora: 1) No reinicies ni desenchufes los servidores, 2) No conectes unidades de respaldo limpias a la red o a los equipos, 3) No inicies conversación con el atacante por correo o enlace de la nota.

Ánimo es una situación superestresante pero si actúan sin pánico hay posibilidades de resolverlo. Cuando llegue su técnico dejen que revise únicamente los equipos desconectados de la red; mantener la calma es la primera regla para la recuperación.

Guardado. Intentar hacerlo solo es la vía más cara.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

no sabía eso.

Después de vivir eso, mi perspectiva cambió. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Por supuesto, cambia si tu situación es diferente.

Han surgido tres opiniones distintas, todas se complementan... bueno que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

También me gustaría saber si alguien lo hace de otra manera.

Si lo ves como un proceso, el panorama cambia. No confíes en una sola medida; ve capa por capa.

Lo dejo como nota, por si sirve.

Tema muy oportuno. Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

Lo dejo como nota, por si sirve.

han surgido tres opiniones distintas todas se complementan.. lego si decidimos sin medir siempre acabamos en el mismo punto.

Este hilo es para archivar.

os cuento lo que me pasó a mí a ver si os sirve de ayuda. los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

lo dejo como nota, por si sirve.

resumen breve para nuevos usuarios: Intentar hacerlo solo es la vía más cara.

si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después pero ánimo.