Pēc uzlaušanas vai izspiedējvīrusa: atjaunošanās bez atkārtotas inficēšanās

8. modulis: Kad kaut kas noiet greizi · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet veikt atjaunošanas posmu pēc uzlaušanas vai izspiedējvīrusa: ierobežot, noskaidrot, kā tas noticis, tīri atjaunot, iesniegt iesniegumu, komunicēt un mācīties no notikušā.

Pamatjēdzieni: ierobežošana, izolēšana, sākotnējā piekļuve, noturība (persistence), kriminālistiskā izmeklēšana, tīra pārinstalēšana, atjaunošanas secība, iesniegums policijai, No More Ransom, izpirkuma maksa, kiberapdrošināšana, izvērtēšana

Lielākā kļūda: pārāk ātri "visu atjaunot"

Tīmekļa vietņu izstrādātājs otrdien saņem paziņojumu: klienta WordPress vietne novirza apmeklētājus uz viltus veikalu. Viņš atjauno pagājušās nedēļas rezerves kopiju, vietne atkal strādā, viss kārtībā. Ceturtdien tas atkārtojas. Uzbrucējs bija iekļuvis caur novecojušu spraudni un bija atstājis papildu administratora kontu un slēptu failu. Pagājušās nedēļas rezerves kopijā tas jau bija iekļauts. Atjaunošana, nezinot, kā kāds iekļuva, atjauno arī durvis vaļā.

Tas pats notiek ar izspiedējvīrusu biroja tīklā. Noziedznieki bieži jau atrodas tīklā dienas vai nedēļas, pirms sāk šifrēt. Šajā laikā viņi izveido papildu kontus, instalē attālās piekļuves programmatūru un meklē rezerves kopijas. Ja atjaunojat tikai šifrētos failus, uzbrucējs paliek tīklā.

Tāpēc atjaunošana notiek piecos soļos, šādā secībā.

1. solis: ierobežošana

Ierobežošana nozīmē: nodrošināt, lai situācija nepasliktinātos. Pirmās minūtes ir aprakstītas Jūsu incidenta kartē (4. nodarbība 8.1).

• Izolējiet skartās ierīces: izraujiet tīkla kabeli, izslēdziet wifi un mobilo tīklu, vai ieslēdziet lidmašīnas režīmu. Nīderlandes NCSC iesaka skartās sistēmas nevis izslēgt, bet gan atvienot; miega režīms ir pieļaujams. Tā saglabājas pēdas operatīvajā atmiņā un apturas izplatīšanās.
• Atvienojiet ārējos diskus un rezerves kopiju nesējus un nepieslēdziet tos ierīcei, kas, iespējams, ir inficēta.
• Ja sistēmu nevarat izolēt, pārtrauciet savienojumu ar tīkla disku. Ja skarts viss tīkls, atvienojiet to no interneta (piemēram, aizverot interneta savienojumu vai ugunsmūri).
• Mainiet paroles no tīras ierīces, sākot ar vissvarīgākajām: administratora kontiem, e-pastu, paroļu pārvaldnieku, banku. Izrakstieties no visām sesijām visur. Nedariet to datorā, kurā, iespējams, ir infostealer vai taustiņu reģistrētājs (1. nodarbība 1.4), jo tādā gadījumā jauno paroli uzreiz nolasīs uzbrucējs.
• Saglabājiet pierādījumus: izpirkuma maksas pieprasījuma fotoattēlu, e-pastus, maksājumu pieprasījumus, kriptovalūtu adreses, laika zīmogus. Neizmetiet neko.

Uzlauztas tīmekļa vietnes gadījumā ierobežošana nozīmē: vietnes īslaicīgu atslēgšanu vai pārslēgšanu apkopes režīmā, visu paroļu (pārvaldības, FTP, datubāzes, mitināšanas) nomaiņu un sava mitināšanas pakalpojumu sniedzēja iesaistīšanu.

2. solis: noskaidrot, kas noticis

Jums jānoskaidro trīs lietas:

1. Kā viņi iekļuva? Sākotnējā piekļuve: pikšķerēšanas e-pasts, nozagta parole bez 2FA, novecojis VPN serveris vai spraudnis, atvērts attālās pārvaldības savienojums.
2. Ko viņi atstāja? Noturība (persistence): papildu konti, ieplānoti uzdevumi, attālās pārvaldības programmatūra, pārsūtīšanas noteikumi pastkastēs, papildu faili tīmekļa serverī.
3. Ko viņi paņēma līdzi? Mūsdienu izspiedējvīrusu gadījumā noziedznieki bieži vispirms nokopē datus un draud ar to publicēšanu (dubultā izspiešana, 1. nodarbība 1.3). Tādā gadījumā Jums ir arī datu aizsardzības pārkāpums (8. nodarbība 8.2).

Mazam uzņēmumam to reti var izdarīt pašu spēkiem. Iesaistiet savu IT pakalpojumu sniedzēju vai specializētu uzņēmumu incidentu reaģēšanai. Daudzām kiberapdrošināšanas polisēm ir pastāvīgs numurs šādai komandai. Jautājiet ārējam uzņēmumam, kāda pieredze tam ir ar Jūsu veida incidentiem, un iepriekš vienojieties, ko izmeklēšana ietvers.

Tīmekļa vietnes gadījumā palīdz piekļuves žurnāls un tīmekļa servera kļūdu žurnāls, failu ļaunprogrammatūras skenēšana un salīdzinājums ar tīru CMS un spraudņu kopiju.

3. solis: tīra atjaunošana

Tikai tad, kad zināt, kā uzbrucējs iekļuva, un šis ceļš ir aizvērts, sāciet atjaunošanu.

Atjaunojiet tādā secībā, kādu esat noteikuši savā plānā (8.1. un 6.3. nodarbība): vispirms to, kas uzņēmumam vajadzīgs, lai turpinātu darbu. Turiet atjaunoto daļu nodalītu no tā, kas vēl nav pārbaudīts.

Šeit atklājas, vai Jūsu rezerves kopija ir kārtībā. Rezerves kopija, kas bija pieslēgta tīklam, bieži arī tiek šifrēta vai dzēsta. Bezsaistes vai nemaināma rezerves kopija (6.2. nodarbība) un pārbaudīta atjaunošanas procedūra (6.3. nodarbība) nosaka atšķirību starp dienām un nedēļām dīkstāvē.

4. solis: iesniegums, ziņošana un izpirkuma maksa

Iesniegums policijai. Iesniedziet iesniegumu Valsts policijā (https://www.vp.gov.lv/). Ņemiet līdzi pierādījumus (izpirkuma maksas pieprasījumu, e-pastus, maksājumu datus). Iesniegums ir nepieciešams izmeklēšanai, palīdz policijai saskatīt sakarības, un apdrošinātāji to bieži pieprasa.

No More Ransom. Vietnē https://www.nomoreransom.org (iniciatīva, ko cita starpā atbalsta Eiropols un Nīderlandes policija) varat likt atpazīt šifrētu failu vai izpirkuma maksas pieprasījumu. Dažām izspiedējvīrusu saimēm pastāv bezmaksas atšifrētājs. Lielākajai daļai jaunu variantu tāda nav, bet pārbaude prasa maz laika.

Ziņošana. Noskaidrojiet, kādi paziņojumi ir nepieciešami: paziņojums DVI par datu aizsardzības pārkāpumu 72 stundu laikā (8.2. nodarbība), nozīmīgs incidents, reģistrējoties Nacionālajā kiberdrošības centrā (NKC) (https://www.cyber.gov.lv/), ja uz Jums attiecas Nacionālais kiberdrošības likums (9.1. nodarbība), un tas, ko esat vienojušies ar klientiem vai pasūtītājiem.

Izpirkuma maksa. Nīderlandes NCSC iesaka nemaksāt izpirkuma maksu, policija saka "vēlams nemaksāt". Iemesli:

• Jums nav garantijas, ka saņemsiet strādājošu atslēgu vai ka dati tomēr netiks publicēti.
• Atgūtie dati var būt bojāti vai mainīti.
• Tas, kurš maksā, kļūst zināms kā maksātājs. Dažkārt upurus izspiež atkārtoti vai vēlāk atkal uzbrūk.
• Jūs finansējat nākamo uzbrukumu.

Ja tomēr apsverat maksāt, vai esat samaksājuši, vienmēr ziņojiet par to Valsts policijai: maksājumu dati var palīdzēt izmeklēšanā. Šis lēmums pieder lēmumu pieņēmējam no Jūsu incidenta plāna, nevis tam, kurš pirmais ierauga ziņojumu.

Kiberapdrošināšana. Kiberapdrošināšana var segt izmeklēšanas, atjaunošanas un uzņēmējdarbības zaudējumu izmaksas, un bieži nodrošina pieeju incidentu reaģēšanas komandai. Izlasiet nosacījumus: daudzas polises pieprasa pamata pasākumus, piemēram, 2FA un rezerves kopijas, un pieprasa ātru ziņošanu. Nīderlandes NCSC 2025. gada aprīlī, pamatojoties uz vairāk nekā 500 izspiedējvīrusu incidentu izpēti mazos un vidējos uzņēmumos, rakstīja, ka uzbrucēji pēc iekļūšanas meklē failus ar nosaukumiem, piemēram, "apdrošināšana" vai "polise", lai nostiprinātu savu pozīciju sarunās. Tāpēc pārbaudiet, cik viegli iebrucējs var atrast Jūsu polisi, un vēlams to neglabāt koplietotā diskā. Apdrošināšana neaizstāj pasākumus: tā sedz zaudējumus, bet tos nenovērš.

5. solis: komunikācija un mācīšanās

Lieciet Jūsu plāna komunikatoram izstāstīt vienu skaidru stāstu personālam, klientiem un piegādātājiem: kas notika, ko tas viņiem nozīmē, kas viņiem jādara (piemēram: pievērsiet uzmanību e-pastiem, kas šķietami nāk no mums), un kad viņi no Jums atkal dzirdēs. Godīgums un savlaicīgums darbojas labāk nekā klusēšana līdz brīdim, kad informācija noplūst citādi.

Plānojiet pāris nedēļu laikā izvērtēšanu: kas izdevās, kas noritēja slikti, ko mainīsiet? Gandrīz vienmēr parādās tie paši punkti: kaut kur trūka 2FA, kāda sistēma nebija atjaunināta, rezerves kopija nebija pārbaudīta, vai neviens nezināja, kurš drīkst pieņemt lēmumu. Ierakstiet šos punktus savā plānā no 9.3. nodarbības, norādot atbildīgo personu un termiņu.

Praksē: tā tas izskatās

Uzlauztas tīmekļa vietnes gadījumā mitināšanas pakalpojumā bieži strādājat ar sava mitināšanas pakalpojumu sniedzēja rīkiem. WebOké gadījumā tie ir, piemēram, ļaunprogrammatūras skeneris (Imunify360), žurnālfaili DirectAdmin, rezerves kopijas atjaunošana no WebOké Backups un soļu plāns DirectAdmin rokasgrāmatā. Citiem mitināšanas pakalpojumu sniedzējiem ir līdzīgi rīki; vaicājiet savam pakalpojumu sniedzējam, kas ir pieejams un cik tālu pagātnē sniedzas rezerves kopijas, pirms tas Jums vajadzīgs.

Kopsavilkums

• Atjaunošana piecos soļos: ierobežošana, noskaidrošana, tīra atjaunošana, iesniegums un ziņošana, komunikācija un mācīšanās.
• Izolējiet, neizslēdziet, un mainiet paroles tikai no tīras ierīces.
• Neatjaunojiet neko, pirms nezināt, kā uzbrucējs iekļuva; citādi atjaunosiet arī durvis vaļā.
• Pārinstalējiet inficētās ierīces un atjaunojiet no rezerves kopijas, kas datēta pirms ielaušanās.
• Iesniedziet iesniegumu policijai, apskatiet No More Ransom, un vēlams izpirkuma maksu nemaksāt.

Tests

Uzdevums

Uzdevums A8.3: Sakārtojiet atjaunošanas soļus pareizā secībā. Jūs saņemsiet gadījuma aprakstu un desmit atsevišķus soļus (piemēram, "atjaunot rezerves kopiju", "izraut tīkla kabeli", "noskaidrot, kā uzbrucējs iekļuva", "iesniegt iesniegumu policijā"). Sakārtojiet tos pareizā secībā. Programma pārbaudīs, vai ir ievērotas noteiktās secības likumsakarības (piemēram: izolēšana pirms atjaunošanas, cēloņa noskaidrošana pirms atjaunošanas, pārinstalēšana pirms datu atjaunošanas) un paskaidros katru kļūdu.

Lasiet vairāk

Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• DirectAdmin rokasgrāmata 18.2: Mana vietne ir uzlauzta: rīcības plāns
• Palīdzība! Mana vietne ir uzlauzta. Kā to novērst un kā no tā izvairīties?
• Imunify360 skeneris
• WebOké rezerves kopijas: kā apskatīt, atjaunot vai lejupielādēt rezerves kopiju
• Nīderlandes NCSC, Kas jādara izspiedējvīrusa uzbrukuma gadījumā?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nīderlandes NCSC, Izspiedējvīruss mazos un vidējos uzņēmumos: kibernoziedznieki paaugstina izpirkuma maksu, ja ir kiberapdrošināšana: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org