Attacco ransomware: cosa NON fare nei primi minuti — gli errori che peggiorano tutto

Non cancellate e non sovrascrivete assolutamente gli snapshot dei server virtuali. Se possibile, non spostate alcun file nel sistema operativo finché non arriva uno specialista in grado di fare un dump della memoria RAM. La modifica degli attributi dei file rende molto più complicato identificare la variante esatta del malware.

L'unica cosa da fare SUBITO adesso: staccate a mano i cavi di rete da dietro tutti i PC sia quelli colpiti che quelli apparentemente sani e spegnete il modem e gli access point Wi-Fi dell'ufficio. Azzerate ogni comunicazione di rete ma lasciate accesi i dispositivi.

L'anno scorso, in una situazione analoga, un nostro cliente ha riavviato il server in preda al panico e ha perso la chiave di cifratura rimasta nella memoria volatile. Il laboratorio di recupero ha poi confermato che, se la macchina fosse rimasta accesa, ci sarebbe stato il 70% di probabilità di estrarre la chiave dalla RAM.

l'errore più grosso è attaccare subito l'hard disk che credete pulito al server x controllare il backup se il virsu gira ancora in background vi cifra all'istante pure quello e rimanete a mani vuote.

Ai sensi del Regolamento Generale sulla Protezione dei Dati dell'Unione Europea, in caso di rischio per i diritti e le libertà dovuto a una violazione di dati personali, è obbligatorio procedere alla notifica all'autorità competente entro 72 ore dal momento in cui se ne è venuti a conoscenza. Conservate con cura i log di sistema e ogni traccia delle comunicazioni.

Non date retta a chi suggerisce di pagare il riscatto. Anche pagando, nessuno vi garantisce che vi daranno la chiave o che i sistemi ripartiranno. Inoltre finireste dritti nella lista dei bersagli facili dei criminali.

Nelle prime due ore evitate assolutamente queste tre cose: 1) Non riavviate né spegnete bruscamente i server, 2) Non collegate unità di backup pulite alla rete o alle macchine, 3) Non avviate comunicazioni con gli aggressori tramite l'email o il link della richiesta di riscatto.

Mi dispiace per l'accaduto, è una situazione ad altissimo stress ma se vi muovete senza panico c'è speranza di risolverla. Quando arriva il vostro tecnico fategli analizzare solo le macchine isolate dalla rete; mantenere la calma è la prima regola per salvare i dati.

Salvato. Cercare di farlo da soli è la strada più costosa.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente. Se avete domande, scrivete, rispondo per quanto possibile.

non lo sapevo.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Naturalmente cambia se la vostra situazione è diversa.

Sono emerse tre opinioni diverse si completano a vicenda. cioè avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Guardando al processo, il quadro cambia. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Lascio una nota, potrebbe servire.

Argomento molto attuale. Se è la prima volta, inizia in piccolo il ridimensionamento viene dopo.

Lascio una nota, potrebbe servire.

sono emerse tre opinioni diverse, si completano a vicenda. quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Questo thread è archiviato.

racconto cosa mi è successo magari vi è utile. gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

lascio una nota, potrebbe servire.

breve riassunto per i nuovi arrivati: Cercare di farlo da soli è la strada più costosa.

se è la prima volta inizia in piccolo, il ridimensionamento viene dopo ma onestamente buon lavoro.