Атака шифровальщика: чего НЕЛЬЗЯ делать в первые минуты — фатальные ошибки

Ни в коем случае не удаляйте снапшоты виртуальных машин и не перезаписывайте их. Если возможно, вообще не трогайте файлы в ОС, пока не появится спец, способный снять дамп оперативной памяти (memory dump). Любое изменение метаданных файлов усложнит опознание конкретного штамма вируса.

Прямо сейчас нужно сделать только одно: руками выдернуть патч-корды из всех компов (и зараженных, и чистых), вырубить роутеры и Wi-Fi точки. Оборвите абсолютно любую сеть, но железо оставьте включенным.

В прошлом году у одного клиента люди с перепугу перезагрузили сервер и потеряли ключ шифрования, висевший в оперативке. В лаборатории восстановления данных потом сказали, что останься машина включенной, ключ достали бы из памяти с вероятностью 70%.

главная глупость щас это воткнуть чистый внешний диск проверить бэкапы если зараза еще висит в процессах она и резервную копию за секунду зашифрует и останетесь у рабитого корыта

В соответствии с Общим регламентом по защите данных (GDPR), при наличии риска утечки персональных данных вы обязаны уведомить надзорный орган в течение 72 часов с момента обнаружения инцидента. Обеспечьте строгую сохранность всех сетевых логов и системных журналов.

Не вздумайте слушать тех, кто рвется платить выкуп. Никто не дает гарантий, что после оплаты вам пришлют рабочий декриптор или что система оживет. Плюс для этих банд вы навсегда останетесь в списках легкой добычи.

Три вещи, которые строго запрещено делать в первые полчаса: 1) перезагружать или вырубать серверы из розетки, 2) подключать чистые диски с бэкапами к сети или зараженным ПК, 3) переходить по ссылкам и писать вымогателям на почту из записки.

Сочувствую, ситуация крайне нервная, но если не пороть горячку, шансы вытянуть данные есть. Когда приедет системщик, пусть работает только с изолированными от сети машинами. Холодная голова сейчас важнее всего.

Сохранил. Пытаться сделать это в одиночку — самый дорогой путь.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной. Пишите, если есть вопросы, отвечу по мере возможности.

не знал об этом.

После того случая мой взгляд на вещи изменился. Большая часть потерь времени копится на задачах, ожидающих согласования.

Конечно, если ваша ситуация отличается, всё меняется.

Появились три разных мнения они дополняют друг друга. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Интересно есть ли те кто делает иначе.

Если смотреть на процесс в целом, картина меняется. Не полагайтесь на одну меру защиты; действуйте слоями.

Оставлю как заметку, пригодится.

Очень актуальная тема. Если делаете впервые начните с малого, масштабирование потом.

Оставлю как заметку, пригодится.

появились три разных мнения, они дополняют друг друга но без измерений мы всегда приходим к одному и тому же.

Эта тема в архиве.

расскажу что было у меня вдруг пригодится. забытые тестовые среды становятся входом в систему чаще, чем продакшн.

оставлю как заметку пригодится.

краткое резюме для новичков: Пытаться сделать это в одиночку — самый дорогой путь.

если делаете впервые начните с маалого масштабирование потом. кстати удачи.