На компьютерах сотрудников в офисе вдруг просто черный экран, надпись «расшифровываю» — это вирус-шифровальщик?

вирус-шифровальщик — это жесть... закрой сеть сразу, не плати. у меня немного есть знаний в IT вызывай криминалистов, я потом проверил, есть recovery tool, но он работает только для 3 папок...

edit: выше написал неправильно, извините.

Важно определить вектор атаки шифровальщика: 1) Фишинг по email, 2) Эксплойт RDP, 3) Уязвимость VPN, 4) Цепочка поставок (подрядчик), 5) USB-носители. Чтобы определить алгоритм шифрования, проанализируй записку от атакующего (файл ransom note, .txt). У некоторых видов ransomware (Wannacry, Petya и т.д.) есть известные ключи дешифровки — можешь использовать инструмент ID Ransomware (id-ransomware.malwarehunterteam.com). Сними логи сети: /var/log/auth.log, Windows Event Log (Eventid 4697, 4688).

вот для этого и делают бэкапы, братан. или секунду... что дороже, эти 0.5 биткоина или база данных? никогда не плати, потому что часто не открывают, да и полиция потом на уши поставит. ну отключи сеть сразу, восстанови из бэкапа, и всё.

План предотвращения и реагирования на ransomware: 1) Неизменяемые бэкапы (правило 3-2-1: 3 копии, 2 носителя, 1 вне офиса), 2) Air-gapped система резервного копирования (изолированная от сети), 3) Решение EDR (обнаружение и реагирование на конечных точках), 4) Zero Trust Network Access, 5) План реагирования на инциденты, 6) Киберстраховка. Если атака уже произошла, вы не в безвыходной ситуации — планируйте восстановление из бэкапа, проверяйте историю версий, делайте инкрементальное восстановление.

Ransomware = тупик «пожалуйста, закончи это» 😂 Но если серьезно: отключай сеть, звони в полицию, звони в страховую. Даже если заплатишь выкуп они ничего не расшифруют а твой email будет светиться на 10 млн других устройств...

Позвольте подвести итог сказанному выше. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Спешка в решениях оборачивается исправлениями через полгода. Если напишете результат здесь, это поможет и другим.

я долго занимался этим вопросом. меры принятые без инвентаризации, отавляют открытыми двери, о которых вы не знаете.

отавлю как заметку, пригодится.

А как вы решили этот вопрос? Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

У нас так же.

Давайте немного раскрою техническую сторону... Когда пытаешься изменить всё сразу ничего не приживается.

Здесь нужно провести различие. Пытаться сделать это в одиночку — самый дорогой путь.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Проверено опытом.

Здесь есть ловушка, не могу промолчать. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Удачи.

Я тоже об этом думал. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Проверено опытом.

Посмотрю с другой стороны я на стороне поставщика. Главное не цифра а то, на основе чего она получена.

Оставлю как заметку, пригодится.

Хочу предупредить. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы. Конечно, если ваша ситуация отличается, всё меняется.

В целом верно но один момент упущен. Непроверенная резервная копия — не резервная копия.

Начните с небольшого эксперимента, не привязывайте всё сразу. Интересно, есть ли те, кто делает иначе.

Есть один момент, который меня интересует. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Я бы пошел этим путем.

Я долго занимался этим вопросом. Чем сложнее отменить решение, тем медленнее его принимайте.

Интересно, есть ли те, кто делает иначе.