Mit tegyünk az első 30 percben zsarolóvírus után?
Egy zsarolóvírusos incidens első félórája sokszor többet számít, mint az utána következő egész nap. Ilyenkor a legnagyobb veszély nem csak maga a fertőzés, hanem a pánikból hozott rossz döntés.
Az első cél nem a teljes megoldás, hanem a további károk megállítása. Ha egy gép vagy szerver gyanúsan viselkedik, fájlok átneveződnek, titkosított másolatok jelennek meg, vagy tömeges írási művelet látszik, akkor a legfontosabb lépés az érintett rendszer leválasztása a hálózatról. Sok esetben ezzel lehet megakadályozni, hogy a fertőzés további megosztásokra, csatlakoztatott tárolókra vagy más gépekre is átterjedjen.
A második fontos szabály: nem szabad azonnal mindent újraindítani, törölni vagy takarítani. Egy elsietett reboot, automatikus tisztítóeszköz vagy kapkodó fájlmozgatás nyomokat tüntethet el, és akár a helyreállítás esélyét is ronthatja. Először azt kell megérteni, hogy mi történt, mi érintett, és mi maradt valószínűleg sértetlen.
A harmadik lépés az elérhető mentések és másolatok védelme. Ilyenkor különösen fontos ellenőrizni, hogy a backup-tárhelyek még épek-e, és hogy az érintett gép hozzáfér-e ezekhez. Ha igen, akkor a mentési célpontokat is érdemes leválasztani vagy írásvédett módon kezelni, nehogy a fertőzés utólag oda is elérjen.
Érdemes közben gyors állapotképet is menteni: melyik gép érintett, milyen kiterjesztések jelentek meg, melyik megosztás sérült, milyen időbélyeg körül indult a probléma. Már néhány képernyőkép, logrészlet vagy fájllista is sokat segíthet a későbbi elemzésben.
# Példa: érintett mappa tartalmának gyors listázása
find /srv/adatok -type f | tail -n 200 > /root/erintett-fajlok.txt
# Példa: gyanúsan frissült fájlok keresése az elmúlt 2 órából
find /srv/adatok -type f -mmin -120 > /root/utobbi-valtozasok.txt
# Példa: hálózat leválasztása Linux hoston (csak óvatosan)
ip link set eth0 down
Nem minden helyzetben ugyanaz a pontos művelet, de a logika ugyanaz: izolálás, megőrzés, felmérés. Az első 30 percben nem az a cél, hogy valaki hősként megjavítsa a rendszert, hanem az, hogy ne legyen még nagyobb a veszteség.
Ha van rá lehetőség, már ebben a korai fázisban érdemes megvizsgálni, hogy valódi titkosítás történt-e, vagy csak részleges szerkezeti sérülés, fejlécmódosítás vagy átnevezés. Ez a különbség a helyreállítási stratégia szempontjából óriási.