Po vdoru ali izsiljevalskem programju: obnovitev brez ponovne okužbe

Modul 8: Kadar gre kaj narobe · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste znali izpeljati fazo obnovitve po vdoru ali izsiljevalskem programju: omejiti škodo, ugotoviti, kako se je zgodilo, čisto obnoviti sistem, vložiti ovadbo, komunicirati in se iz dogodka kaj naučiti.

Ključni pojmi: omejitev škode, izolacija, začetni dostop, perzistenca, forenzična preiskava, čista ponovna namestitev, vrstni red obnovitve, ovadba, No More Ransom, odkupnina, kibernetsko zavarovanje, evalvacija

Največja napaka: prehitro "povrniti vse"

Izdelovalec spletnih strani v torek prejme obvestilo: spletna stran stranke v WordPress-u obiskovalce preusmerja na lažno trgovino. Obnovi varnostno kopijo iz prejšnjega tedna, stran spet deluje, konec zgodbe. V četrtek se zgodba ponovi. Napadalec je vstopil prek zastarelega vtičnika in za seboj pustil dodaten skrbniški račun ter skrito datoteko. Varnostna kopija iz prejšnjega tedna je to že vsebovala. Obnovitev, ne da bi vedeli, kako je nekdo vstopil, znova odpre tudi vrata.

Enako se zgodi pri izsiljevalskem programju v pisarniškem omrežju. Kriminalci so pogosto v sistemu že dneve ali tedne, preden podatke šifrirajo. V tem času ustvarijo dodatne račune, namestijo programsko opremo za oddaljen dostop in poiščejo varnostne kopije. Kdor obnovi le šifrirane datoteke, napadalca obdrži znotraj sistema.

Obnovitev zato poteka v petih korakih, v tem vrstnem redu.

Korak 1: omejitev škode

Omejitev škode pomeni: poskrbeti, da se stanje ne poslabša. Prve minute so opisane na Vaši kartici za ukrepanje ob incidentu (lekcija 8.1).

• Izolirajte prizadete naprave: izključite omrežni kabel, izklopite wifi in mobilno omrežje ali vklopite letalski način. Nizozemski NCSC svetuje, da prizadetih sistemov ne izklopite, temveč jih le odklopite; način spanja je dovoljen. Tako se sledi v delovnem pomnilniku ohranijo, širjenje pa se ustavi.
• Odklopite zunanje diske in medije za varnostne kopije ter jih ne priklapljajte na napravo, ki je morda okužena.
• Če naprave ne morete izolirati, prekinite povezavo z omrežnim diskom. Če je prizadeto celotno omrežje, ga odklopite od interneta (na primer tako, da zaprete internetno povezavo ali požarni zid).
• Gesla spremenite z naprave, za katero ste prepričani, da je čista, začenši z najpomembnejšimi: skrbniškimi računi, e-pošto, upraviteljem gesel, banko. Povsod se odjavite iz vseh sej. Tega ne počnite z računalnika, ki morda vsebuje infostealer ali keylogger (lekcija 1.4), saj boste v tem primeru novo geslo takoj izdali napadalcu.
• Shranite dokaze: fotografijo sporočila z zahtevo za odkupnino, e-pošto, zahtevke za plačilo, kripto naslove, časovne žige. Ničesar ne zavrzite.

Pri vdrti spletni strani omejitev škode pomeni: stran začasno umaknite s spleta ali jo preklopite v vzdrževalni način, spremenite vsa gesla (za upravljanje, FTP, bazo podatkov, gostovanje) in vključite Vašega ponudnika gostovanja.

Korak 2: ugotovite, kaj se je zgodilo

Želite izvedeti tri stvari:

1. Kako so vstopili? Začetni dostop: lažno sporočilo, ukradeno geslo brez dvostopenjskega preverjanja (2FA), zastarel VPN strežnik ali vtičnik, odprta povezava za oddaljeno upravljanje.
2. Kaj so pustili za seboj? Perzistenca: dodatni računi, načrtovana opravila, programska oprema za oddaljeno upravljanje, pravila za posredovanje v poštnih predalih, dodatne datoteke na spletnem strežniku.
3. Kaj so odnesli? Pri sodobnem izsiljevalskem programju kriminalci pogosto najprej skopirajo podatke in grozijo z objavo (dvojno izsiljevanje, lekcija 1.3). V tem primeru gre tudi za kršitev varstva podatkov (lekcija 8.2).

Za malo podjetje tega redko lahko opravite sami. Vključite svojega ponudnika IT storitev ali specializirano podjetje za odzivanje na incidente. Mnoga kibernetska zavarovanja imajo stalno številko za takšno ekipo. Pri zunanjem podjetju povprašajte, kakšne izkušnje ima z Vašo vrsto incidenta, in vnaprej se dogovorite, kaj preiskava obsega.

Pri spletni strani pomagajo dnevnik dostopov in dnevnik napak spletnega strežnika, pregled datotek za zlonamerno programsko opremo ter primerjava s čisto kopijo CMS sistema in vtičnikov.

Korak 3: čista obnovitev

Šele ko veste, kako je napadalec vstopil, in je ta pot zaprta, začnete z obnovitvijo.

Obnovitev izvedite v vrstnem redu, ki ste ga določili v svojem načrtu (lekcija 8.1 in 6.3): najprej tisto, kar podjetje potrebuje za nadaljnje delovanje. Obnovljeni del naj bo ločen od tistega, ki še ni bil pregledan.

Tu se pokaže, ali je Vaša varnostna kopija zanesljiva. Varnostna kopija, ki je bila povezana z omrežjem, je pogosto tudi šifrirana ali izbrisana. Nespremenljiva ali brezpovezavna varnostna kopija (lekcija 6.2) ter preizkušen postopek obnovitve (lekcija 6.3) naredita razliko med dnevi in tedni zastoja.

Korak 4: ovadba, prijava in odkupnina

Ovadba. Vložite ovadbo pri policiji. Prijavo kaznivega dejanja oddate prek uradnih kanalov policije. S seboj vzemite dokaze (sporočilo z zahtevo za odkupnino, e-pošto, podatke o plačilu). Ovadba je potrebna za preiskavo, policiji pomaga pri iskanju povezav, poleg tega jo pogosto zahtevajo tudi zavarovalnice.

No More Ransom. Na https://www.nomoreransom.org (pobuda, med drugim, Europola in nizozemske policije) lahko preverite šifrirano datoteko ali sporočilo z zahtevo za odkupnino. Za nekatere družine izsiljevalskega programja obstaja brezplačen dešifrirni program. Za večino novejših različic ga ni, vendar preverba vzame le malo časa.

Prijava. Ugotovite, katere prijave so potrebne: kršitev varstva podatkov Informacijskemu pooblaščencu v 72 urah (lekcija 8.2), pomemben incident pristojnemu nacionalnemu organu, če zanj velja slovenski Zakon o informacijski varnosti (ZInfV-1) (lekcija 9.1), ter kar ste se dogovorili s strankami ali naročniki.

Odkupnina. Nizozemski NCSC svetuje, naj se odkupnina ne plača, policija pa pravi "raje ne plačujte". Razlogi:

• Nimate zagotovila, da boste dobili delujoč ključ ali da podatki kljub temu ne bodo objavljeni.
• Podatki, ki jih dobite nazaj, so lahko poškodovani ali spremenjeni.
• Kdor plača, velja za nekoga, ki plačuje. Žrtve so včasih znova izsiljevane ali kasneje znova napadene.
• S plačilom financirate naslednji napad.

Če kljub temu razmišljate o plačilu ali ste že plačali, to vedno prijavite policiji: podatki o plačilu lahko pomagajo preiskavi. Ta odločitev je v pristojnosti odločevalca iz Vašega načrta za primer incidenta, ne tistega, ki sporočilo prvi vidi.

Kibernetsko zavarovanje. Kibernetsko zavarovanje lahko krije stroške preiskave, obnovitve in poslovne škode, poleg tega pogosto omogoča dostop do ekipe za obvladovanje incidentov. Preberite pogoje: mnoge police zahtevajo osnovne ukrepe, kot sta dvostopenjsko preverjanje (2FA) in varnostne kopije, ter zahtevajo hitro prijavo. Nizozemski NCSC je aprila 2025, na podlagi raziskave več kot 500 incidentov z izsiljevalskim programjem pri malih in srednjih podjetjih, zapisal, da napadalci po vstopu iščejo datoteke z imeni, kot sta "zavarovanje" ali "polica", da bi okrepili svoj pogajalski položaj. Zato preverite, kako hitro bi vsiljivec našel Vašo polico, in je raje ne hranite na skupnem disku. Zavarovanje ne nadomešča ukrepov: škodo poplača, ne prepreči pa je.

Korak 5: komunikacija in učenje

Naj oseba za komunikacijo iz Vašega načrta zaposlenim, strankam in dobaviteljem pove eno jasno zgodbo: kaj se je zgodilo, kaj to zanje pomeni, kaj naj storijo (na primer: naj bodo pozorni na sporočila, ki navidezno prihajajo od nas), in kdaj bodo znova slišali od Vas. Poštenost in pravočasnost delujeta bolje kot molk, dokler stvar ne uide v javnost.

V nekaj tednih načrtujte evalvacijo: kaj je šlo dobro, kaj narobe, kaj boste spremenili? Skoraj vedno se pokažejo iste točke: dvostopenjsko preverjanje (2FA) je nekje manjkalo, sistem ni bil posodobljen, varnostna kopija ni bila preizkušena ali pa nihče ni vedel, kdo sme odločati. Te točke vnesite v svoj načrt iz lekcije 9.3, z lastnikom in datumom.

V praksi: tako to izgleda

Pri vdrti spletni strani na paketu za gostovanje pogosto delate z orodji Vašega ponudnika gostovanja. Pri WebOké so to na primer pregled za zlonamerno programsko opremo (Imunify360), dnevniške datoteke v DirectAdmin, obnovitev varnostne kopije iz WebOké Backups in postopek v priročniku za DirectAdmin. Pri drugih ponudnikih gostovanja obstajajo podobna orodja; svojega ponudnika povprašajte, kaj je na voljo in koliko časa nazaj segajo varnostne kopije, še preden to potrebujete.

Povzetek

• Obnovitev poteka v petih korakih: omejitev škode, preiskava, čista obnovitev, ovadba in prijava, komunikacija in učenje.
• Izolirajte, ne izklapljajte, gesla pa spreminjajte le z naprave, za katero ste prepričani, da je čista.
• Ničesar ne obnavljajte, dokler ne veste, kako je napadalec vstopil; sicer znova odprete tudi vrata.
• Okužene naprave znova namestite in obnovite iz varnostne kopije izpred vdora.
• Vložite ovadbo, preverite No More Ransom in raje ne plačujte odkupnine.

Kviz

Naloga

Naloga A8.3: Postavite ukrepe za odpravo posledic v pravilen vrstni red. Dobite primer in deset posameznih korakov (na primer "obnovi varnostno kopijo", "izključi omrežni kabel", "ugotovi, kako je napadalec vstopil", "vloži ovadbo"). Razvrstite jih v pravilen vrstni red. Program preveri, ali so upoštevana stalna pravila vrstnega reda (na primer: izolacija pred obnovitvijo, ugotovitev vzroka pred obnovitvijo, ponovna namestitev pred obnovitvijo podatkov), in pri vsaki napaki pojasni, zakaj.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih je postopek podoben.

• Priročnik DirectAdmin 18.2: Moje spletno mesto je vdrto: načrt korakov
• Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?
• Skener Imunify360
• Varnostne kopije WebOké: ogled, obnovitev ali prenos varnostne kopije
• Nizozemski NCSC, Kaj storiti ob napadu z izsiljevalskim programjem?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nizozemski NCSC, Izsiljevalsko programje pri malih in srednjih podjetjih: kibernetski kriminalci zvišujejo odkupnino ob obstoju kibernetskega zavarovanja: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org