Что делать, если взломали сервер, обычно спрашивают в самый неудобный момент. Утро понедельника, бухгалтерия не может войти в базу, на рабочем столе висит записка с требованием выкупа, а системный администратор уже что-то перезагружает. Мы занимаемся реагированием на инциденты и видим одну закономерность. Ущерб определяет не только сама атака, но и то, что люди успели сделать в первые два часа. Хорошая новость в том, что правильные действия в это время простые и не требуют специальных знаний.
Как понять, что это взлом, а не сбой
Первая мысль почти всегда про технику. Посыпался диск, чудит провайдер, обновление встало криво. Есть признак, который не спутать ни с какой поломкой. Сломанный сервер молчит, а взломанный начинает с вами разговаривать.
Шифровальщик оставляет на каждой поражённой машине записку. Это текстовый файл или картинка вместо обоев рабочего стола. В ней почти всегда есть ваш идентификатор в системе вымогателей, инструкция, как установить браузер Tor, и контакты «поддержки». Сумму выкупа сразу обычно не пишут. Её назовут, когда вы выйдете на связь и вымогатели оценят масштаб ваших проблем.
Другие признаки менее очевидны, но тоже важны.
- Файлы на сервере получили незнакомое расширение и не открываются.
- Пропали резервные копии или задания копирования завершаются с ошибкой.
- Антивирус оказался отключён, хотя никто его не трогал.
- В системе появились новые учётные записи администраторов.
- Ночью был вход на сервер с адреса, которого раньше не было.
Если вы видите хотя бы один из этих признаков, считайте, что компанию взломали. Что делать дальше, описано ниже по шагам.
Что делать, если взломали сервер. Первые 30 минут
Главное правило звучит непривычно для ИТ-специалиста. Чем меньше вы трогаете, тем больше шансов на восстановление и расследование.
- Изолируйте поражённые машины от сети. Выньте сетевой кабель, отключите Wi-Fi, разорвите VPN-подключения филиалов. Так шифровальщик не доберётся до соседних серверов и файловых хранилищ.
- Не выключайте компьютеры и серверы. В оперативной памяти остаются следы атаки, а иногда и ключи шифрования. После выключения их уже не достать.
- Сфотографируйте записку о выкупе. Текст, адрес кошелька, контакты, имя файла. По этим данным специалисты определяют группировку и инструмент атаки. Файл записки не удаляйте.
- Зафиксируйте время и хронологию. Когда заметили проблему, кто что открывал, какие письма приходили накануне, что уже успели сделать администраторы.
- Смените пароли с чистого устройства. В первую очередь администраторов, удалённого доступа, почты и банк-клиента. Делайте это с компьютера, который точно не был в заражённой сети.
Если взломали компьютер одного сотрудника, а не сервер, порядок тот же. Отключите его от сети, но не выключайте, и сообщите тому, кто отвечает за ИТ. Одна заражённая машина часто оказывается входной точкой для атаки на всю компанию.
Чего делать нельзя
Почти все ошибки в первые часы совершают из лучших побуждений. Администратор хочет поскорее всё починить, директор хочет поскорее всё закончить.
- Не запускайте антивирус и «очистку». Он удалит вредоносные файлы вместе с уликами, а зашифрованные данные не вернёт. Проверка понадобится позже.
- Не перезагружайте серверы и не переустанавливайте систему. Вирус может исчезнуть, но вместе с ним исчезнут данные для расследования. А дыра, через которую вошли, останется.
- Не восстанавливайте копии на заражённую инфраструктуру. Атакующий может всё ещё быть в сети. Тогда он зашифрует и свежевосстановленные данные.
- Не пишите вымогателям и не платите. Любой контакт стоит обсуждать со специалистами. Подробно мы разобрали это в статье платить ли выкуп хакерам.
- Не зовите случайных мастеров с сайтов объявлений. Современное шифрование им не по силам, а время уйдёт.
Почему не выключать
Выключение кажется самым безопасным шагом, но стирает оперативную память. Изоляция от сети останавливает распространение и сохраняет следы.
Как понять, что атака ещё идёт
Записка о выкупе не означает, что всё уже закончилось. Шифрование часто запускают волнами, сначала на одних серверах, потом на других. А атакующий может сохранять доступ к сети несколько дней.
Признаки, что атака продолжается.
- Новые файлы с незнакомым расширением появляются прямо сейчас.
- Нагрузка на диски и процессоры серверов остаётся высокой без видимой причины.
- Вас выбрасывает из учётных записей администратора или их пароли кто-то меняет.
- Пользователи жалуются, что пропадают файлы в общих папках.
- Сетевое оборудование показывает большой исходящий трафик, то есть данные, возможно, выгружают.
В этом случае изоляция сегментов сети важнее любых других действий. Если сомневаетесь, какие машины уже заражены, отключите от интернета весь офис. Потерянный час работы дешевле зашифрованного склада.
Экстренная помощь при кибератаке. Кого звать и когда
После первых шагов нужно звонить специалистам по реагированию на инциденты. Не в техподдержку провайдера и не знакомому программисту. У реагирования четыре задачи. Остановить атаку, сохранить улики, поднять критичные процессы и найти, как атакующие вошли.
Порядок работ обычно такой.
- Подключение удалённо или выезд на площадку в течение нескольких часов.
- Остановка атаки и проверка, что злоумышленника больше нет в сети.
- Запуск самых важных процессов, например учёта, отгрузок и платежей.
- Восстановление данных из всех копий, которые удастся найти.
- Расследование, закрытие уязвимостей и настройка наблюдения.
Для понимания масштаба приведём пример из нашей практики. У производителя химической отрасли зашифровали всю инфраструктуру, более 50 серверов. За 24 часа удалось запустить критический производственный контур, за 3 дня определить инструменты атаки, за 7 дней проверить все системы, а за 10 дней сдать финальный отчёт.
Для таких случаев у нас есть Кибер.Спасатель. Дежурная команда работает 24/7, критические процессы поднимаем за 24 часа, стоимость от 400 000 ₽. Телефон 8 800 222 1337. Для сравнения, средний ущерб малого и среднего бизнеса от одного инцидента по нашему опыту составляет 2-5 млн ₽, а простой учёта и отгрузок после шифрования длится около недели.
Если зашифрована 1С или бухгалтерия, читайте отдельную инструкцию о том, что делать, если зашифровали бухгалтерию.
Взломали компанию. Что делать с законом и клиентами
Если на серверах хранились персональные данные клиентов или сотрудников, у компании есть обязанности перед регулятором. Закон о персональных данных требует уведомить Роскомнадзор об утечке в течение 24 часов, а в течение 72 часов сообщить результаты внутреннего расследования (Anti-Malware, 2022). Молчание здесь обходится дороже.
Ещё три вещи, о которых забывают.
- Предупредите банк, если был доступ к банк-клиенту. Платежи можно заблокировать до выяснения.
- Подготовьте короткое сообщение для сотрудников. Без него слухи разойдутся быстрее, чем вы закончите восстановление.
- Сохраняйте все документы и счета, связанные с инцидентом. Они пригодятся для страховой и для оценки ущерба.
Что подготовить заранее
Лучшее время подумать об инциденте наступает до него. По нашему опыту, восстановление без подготовки занимает 7-10 дней, а с платформой 4sec 48 часов. Разница складывается из трёх вещей. Защищённые резервные копии, до которых атакующий не дотянется. Наблюдение за серверами, которое замечает атаку до шифрования. И заранее известный номер, по которому звонить.
Многие клиенты приходят к нам уже после атаки. Если вы читаете эту статью спокойно, без записки на экране, у вас есть время сделать так, чтобы эта инструкция не понадобилась.