بازیابی اطلاعات از باج افزار (Ransomware) و مهار حمله

راهنمای بازیابی اطلاعات از باج‌افزار: چه چیزی نتیجه را تعیین می‌کند

بعد از حمله باج‌افزار، دو پرسش پیش از بقیه مطرح می‌شود: داده برمی‌گردد یا نه، و از چه راهی. جواب هر دو به وضعیت همان شبکه بستگی دارد و بدون دیدن یادداشت باج، نمونه فایل‌ها و وضعیت بکاپ‌ها نمی‌شود درباره‌اش قول داد. بخشی از نتیجه هم به کارهایی برمی‌گردد که در ساعت‌های اول انجام می‌شود یا نمی‌شود. توضیحات زیر برای مدیر شبکه یا مدیر سازمانی است که با این وضعیت روبه‌روست یا می‌خواهد برایش آماده شود.

چه چیزی امکان بازیابی داده را تعیین می‌کند؟

مهم‌ترین عامل، نسخه‌ای از داده است که باج‌افزار به آن نرسیده باشد: بکاپ آفلاین، مخزنی که از شبکه آلوده قابل حذف نبوده، اسنپ‌شات ماشین مجازی یا Shadow Copy باقی‌مانده. بسیاری از باج‌افزارها پیش از رمزگذاری سراغ همین نسخه‌ها می‌روند و Shadow Copyها را پاک می‌کنند. پس داشتن بکاپ به‌تنها کافی نیست و باید دید آن بکاپ هنگام حمله از شبکه در دسترس بوده یا نه.

نوع باج‌افزار هم مهم است. برای بعضی خانواده‌های باج‌افزار رمزگشای عمومی منتشر شده، مثلاً در پروژه No More Ransom، اما برای بسیاری از باج‌افزارهای جدید چنین ابزاری وجود ندارد و بدون کلید مهاجم فایل‌ها رمزگشایی نمی‌شوند. شیوه رمزگذاری هم اثر دارد: برخی باج‌افزارها فایل‌های بزرگ مثل دیتابیس یا دیسک ماشین مجازی را فقط تا حدی رمز می‌کنند و گاهی بخشی از داده قابل استخراج است، هرچند نتیجه از قبل قابل پیش‌بینی نیست. کارهای بعد از حمله هم نتیجه را عوض می‌کنند. فرمت سرور، نصب مجدد ویندوز، وصل کردن هارد بکاپ به شبکه آلوده یا اجرای رمزگشای جعلی ممکن است مسیری را که هنوز باز بوده ببندد.

ترتیب کار در ساعت‌های اول حمله

مهار پیش از بازیابی می‌آید، چون هر فایلی که روی شبکه آلوده برگردانده شود ممکن است دوباره رمز شود. در این مرحله مشخص می‌شود کدام سرورها، پوشه‌های اشتراکی، ماشین‌های مجازی و بکاپ‌ها درگیرند و کدام هنوز سالم‌اند. بکاپ‌های سالم جدا نگه داشته می‌شوند تا تصمیم درباره بازیابی گرفته شود. ترتیبی که دنبال می‌کنیم این است:

1. قطع شبکه سیستم‌های آلوده، بدون خاموش کردن آن‌ها
2. غیرفعال کردن حساب‌های مشکوک در Active Directory و بستن موقت RDP و VPN
3. تعیین سیستم‌ها و بکاپ‌های درگیر و جدا نگه داشتن بکاپ‌های سالم
4. نگهداری یادداشت باج و نمونه فایل‌های رمزشده برای شناسایی نوع باج‌افزار
5. بررسی گزینه‌های بازیابی و تعیین ترتیب بازگشت سرویس‌ها

چرا بکاپ سالم روی سرور آلوده برگردانده نمی‌شود؟

ریستور بکاپ روی همان سروری که رمز شده سریع‌ترین راه به نظر می‌رسد. اما مهاجمی که وارد شبکه شده ممکن است هنوز حساب مدیر، ابزار دسترسی از راه دور یا وظیفه زمان‌بندی‌شده‌ای روی آن سیستم داشته باشد و داده بازیابی‌شده دوباره رمز شود. به همین دلیل سرورها تمیز نصب می‌شوند و داده روی آن‌ها برمی‌گردد. هر بکاپ هم پیش از ریستور بررسی می‌شود، چون ممکن است فایل آلوده یا حسابی را که مهاجم ساخته همراه خود داشته باشد.

ترتیب بازگشت سرویس‌ها را نیاز کسب‌وکار تعیین می‌کند. سرویس‌هایی که بقیه به آن‌ها وابسته‌اند، مثل Active Directory، معمولاً زودتر برمی‌گردند و بعد دیتابیس نرم‌افزار حسابداری، فایل‌سرور و بقیه سیستم‌ها. هر سرور پیش از اتصال دوباره به شبکه آزمایش می‌شود.

هارد بکاپ یا NAS را تا پاک شدن کامل شبکه به آن وصل نکنید. بکاپی که همین حالا سالم است، ممکن است به محض اتصال به شبکه آلوده رمز شود.

درباره پرداخت باج و گزارش حمله

تصمیم درباره پرداخت باج با سازمان شماست و این خدمت مذاکره یا پرداخت به مهاجم را در بر نمی‌گیرد. پیش از هر تصمیمی بدانید که پرداخت، تحویل کلید سالم یا کار کردن درست رمزگشای مهاجم را قطعی نمی‌کند و ممکن است سازمان را هدف حمله‌های بعدی کند. پیشنهاد ما این است که اول مشخص شود چه مقدار از داده از بکاپ، نسخه‌های قبلی یا استخراج بخشی از فایل‌ها برمی‌گردد. گزارش حمله به پلیس فتا هم توصیه می‌شود، به‌خصوص اگر اطلاعات مشتریان در خطر باشد، پس یادداشت باج و نمونه فایل‌ها را پیش از هر پاک‌سازی نگه دارید.

بعد از بازیابی: جلوگیری از تکرار، زمان و هزینه

راه نفوذ معمولاً یکی از مسیرهای آشناست: RDP باز روی اینترنت، رمز ضعیف، سرویس به‌روزنشده یا حساب مدیری که مهاجم ساخته است. تحلیل Event Log ویندوز و لاگ‌های احراز هویت نشان می‌دهد کدام مسیر استفاده شده است. پس از بستن آن و تغییر رمزهای مدیر و حساب‌های سرویس، سخت‌سازی کامل سرورها در امن‌سازی سرور و بستن پورت‌های مدیریتی در مدیریت فایروال ادامه پیدا می‌کند. بکاپی که از شبکه جدا باشد و بازیابی‌اش آزمایش شود، در خدمت بکاپ و بازیابی بحران طراحی می‌شود.

زمان بازیابی به تعداد سرورها و ماشین‌های مجازی درگیر، حجم داده، سالم بودن بکاپ‌ها و نیاز به نصب تمیز سرورها بستگی دارد. شبکه‌ای که بکاپ آفلاین سالم دارد، بیشتر وقت را صرف مهار، نصب تمیز و ریستور می‌کند. اگر بکاپ هم رمز شده باشد، کار به بررسی اسنپ‌شات‌ها، Shadow Copyها و استخراج بخشی از داده می‌کشد و نتیجه‌اش از پیش معلوم نیست. برآورد زمان و هزینه پس از بررسی یادداشت باج، نمونه فایل‌ها و وضعیت بکاپ‌ها اعلام می‌شود.