Pärast häkkimist või lunavara: taastumine nii, et sa ei saastu uuesti

Moodul 8: Kui asjad lähevad valesti · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi oskad läbida taastumisfaasi pärast häkkimist või lunavararünnakut: piiramine, juhtunu väljaselgitamine, puhas taastamine, politseisse pöördumine, suhtlus ja sellest õppimine.

Põhimõisted: piiramine, isoleerimine, esialgne juurdepääs, püsivus (persistentsus), kohtuekspertiis, puhas uuesti paigaldamine, taastamisjärjekord, politseisse pöördumine, No More Ransom, lunaraha, küberkindlustus, hindamine

Suurim viga: liiga kiiresti "kõik tagasi panna"

Veebiarendaja saab teisipäeval teate: kliendi WordPressi veebileht suunab külastajad võltspoodi. Ta taastab eelmise nädala varukoopia, veebileht töötab jälle, asi näiliselt lahendatud. Neljapäeval juhtub see uuesti. Ründaja pääses sisse vananenud pistikprogrammi kaudu ja oli jätnud maha lisaadministraatorikonto ning peidetud faili. Eelmise nädala varukoopia sisaldas neid juba. Taastamine ilma teadmata, kuidas keegi sisse pääses, taastab ka ukse, millest ta sisse tuli.

Sama juhtub lunavararünnaku korral kontorivõrgus. Kurjategijad on sageli juba päevi või nädalaid sees, enne kui nad andmed krüpteerivad. Selle aja jooksul loovad nad lisakontosid, paigaldavad kaugjuurdepääsu tarkvara ja otsivad varukoopiaid üles. Kes taastab ainult krüpteeritud failid, jätab ründaja sisse.

Seetõttu toimub taastumine viies etapis, selles järjekorras.

1. samm: piiramine

Piiramine tähendab: hoolitseda selle eest, et olukord ei halveneks. Esimesed minutid on kirjas sinu intsidendikaardil (õppetund 8.1).

• Isoleeri mõjutatud seadmed: tõmba võrgukaabel välja, lülita wifi ja mobiilivõrk välja või pane lennukirežiim sisse. Madalmaade NCSC soovitab mõjutatud süsteeme mitte välja lülitada, vaid võrgust lahti ühendada; unerežiim on lubatud. Nii säilivad jäljed töömälus ja levik peatub.
• Ühenda lahti välised kettad ja varukoopiameediumid ja ära ühenda neid seadmega, mis võib olla nakatunud.
• Kui süsteemi ei saa isoleerida, katkesta ühendus võrgukettaga. Kui kogu võrk on mõjutatud, lülita see internetist lahti (näiteks internetiühenduse või tulemüüri sulgemisega).
• Muuda paroole puhtast seadmest, alustades kõige olulisematest: administraatorikontod, e-post, paroolihaldur, pank. Logi kõikjal kõik seansid välja. Ära tee seda arvutist, mis võib sisaldada infostealer't või klahvinuhki (õppetund 1.4), sest siis loed uue parooli otse ründajale ette.
• Säilita tõendid: pilt lunarahanõudest, kirjad, maksepalved, krüptoaadressid, kellaajad. Ära viska midagi minema.

Häkitud veebilehe puhul tähendab piiramine: võta leht ajutiselt võrgust maha või lülita hoolduserežiimi, muuda kõik paroolid (haldus, FTP, andmebaas, majutus) ja teavita oma majutuspakkujat.

2. samm: välja selgita, mis juhtus

Sa tahad teada kolme asja:

1. Kuidas nad sisse pääsesid? Esialgne juurdepääs: õngitsuskiri, varastatud parool ilma 2FA-ta, vananenud VPN-server või pistikprogramm, avatud kaugjuurdepääsuühendus.
2. Mida nad maha jätsid? Püsivus (persistentsus): lisakontod, ajastatud ülesanded, kaugjuurdepääsu tarkvara, suunamisreeglid postkastides, lisafailid veebiserveris.
3. Mida nad kaasa võtsid? Tänapäevase lunavara puhul kopeerivad kurjategijad sageli kõigepealt andmed ja ähvardavad nende avaldamisega (topeltväljapressimine, õppetund 1.3). Siis on sul tegemist ka andmelekkega (õppetund 8.2).

Väikeettevõte ei suuda seda tavaliselt ise teha. Kaasa oma IT-teenusepakkuja või intsidentidele reageerimisele spetsialiseerunud ettevõte. Paljudel küberkindlustustel on sellise tiimi jaoks kindel number. Küsi väliselt ettevõttelt, millised kogemused tal sinu tüüpi intsidendiga on, ja lepi eelnevalt kokku, mida uurimine hõlmab.

Veebilehe puhul aitavad veebiserveri ligipääsulogi ja vealogi, failide pahavaraskaneering ning võrdlus CMS-i ja pistikprogrammide puhta koopiaga.

3. samm: puhas taastamine

Alles siis, kui tead, kuidas ründaja sisse pääses, ja see tee on suletud, alusta taastamisega.

Taasta järjekorras, mille oled oma plaanis kindlaks määranud (õppetund 8.1 ja 6.3): kõigepealt see, mida ettevõte vajab tegevuse jätkamiseks. Hoia taastatud osa eraldi sellest, mida pole veel kontrollitud.

Siin selgub, kas sinu varukoopia on usaldusväärne. Varukoopia, mis oli võrku ühendatud, on sageli samuti krüpteeritud või kustutatud. Võrguväline või muutmiskindel varukoopia (õppetund 6.2) ja testitud taastamisprotseduur (õppetund 6.3) teevad vahe sisse mõne päeva ja mitme nädala pikkuse seisaku vahel.

4. samm: politseisse pöördumine, teavitamine ja lunaraha

Politseisse pöördumine. Esita avaldus Politsei- ja Piirivalveametile (https://www.politsei.ee/). Ettevõtted võivad selle jaoks aja kokku leppida. Võta kaasa tõendid (lunarahanõue, kirjad, maksetega seotud andmed). Avaldus on vajalik uurimiseks, aitab politseil seoseid näha ja kindlustusandjad küsivad seda sageli.

No More Ransom. Lehel https://www.nomoreransom.org (Europoli ja teiste partnerite ühisalgatus) saad lasta tuvastada krüpteeritud faili või lunarahanõude. Mõne lunavaraperekonna jaoks on olemas tasuta dekrüpteerija. Enamiku uute variantide jaoks mitte, aga kontrollimine ei võta palju aega.

Teavitamine. Vaata üle, millised teated on vajalikud: andmeleke tuleb teavitada Andmekaitse Inspektsioonile 72 tunni jooksul (õppetund 8.2), oluline intsident tuleb teatada RIA-le, kui sinu suhtes kehtib NIS2 ülevõtmiseks muudetud küberturvalisuse seadus (õppetund 9.1), ja mida sa oled klientide või tellijatega kokku leppinud.

Lunaraha. Madalmaade NCSC soovitab lunaraha mitte maksta, politsei ütleb "soovitatavalt ära maksa". Põhjused:

• Sul pole garantiid, et saad töötava võtme või et andmeid siiski ei avaldata.
• Tagasi saadud andmed võivad olla kahjustatud või muudetud.
• Kes maksab, on teada kui keegi, kes maksab. Ohvreid pressitakse vahel uuesti välja või rünnatakse hiljem uuesti.
• Sa rahastad järgmist rünnakut.

Kui kaalud siiski maksmist või oled juba maksnud, teavita sellest alati politseid: maksega seotud andmed võivad uurimist aidata. See otsus kuulub sinu intsidendiplaanis määratud otsustajale, mitte sellele, kes sõnumi esimesena näeb.

Küberkindlustus. Küberkindlustus võib katta uurimise, taastamise ja äritegevuse katkemise kulusid ning annab sageli juurdepääsu intsidenditiimile. Loe tingimused läbi: paljud poliisid nõuavad põhimeetmeid nagu 2FA ja varukoopiad ning eeldavad kiiret teavitamist. Madalmaade NCSC kirjutas 2025. aasta aprillis, tuginedes üle 500 väikese ja keskmise suurusega ettevõtte lunavaraintsidendi uuringule, et ründajad otsivad pärast sissepääsu faile nimega "kindlustus" või "poliis", et tugevdada oma läbirääkimispositsiooni. Vaata seega, kui lihtne on tungijal sinu kindlustuspoliisi leida, ja ära hoia seda eelistatavalt jagatud kettal. Kindlustus ei asenda meetmeid: see maksab kahju eest, kuid ei hoia seda ära.

5. samm: suhtlus ja õppimine

Lase oma plaanis määratud teavitajal rääkida personalile, klientidele ja tarnijatele üks selge lugu: mis juhtus, mida see nende jaoks tähendab, mida nad peaksid tegema (näiteks: ole tähelepanelik kirjade suhtes, mis näivad tulevat meilt), ja millal nad sinust järgmisena kuulevad. Aus ja õigeaegne teavitamine toimib paremini kui vaikimine, kuni see välja lekib.

Planeeri mõne nädala jooksul hindamine: mis läks hästi, mis läks valesti, mida muudad? Peaaegu alati tulevad välja samad punktid: 2FA puudus kuskil, süsteem polnud uuendatud, varukoopiat polnud testitud või keegi ei teadnud, kellel oli õigus otsustada. Pane need punktid kirja oma plaani (õppetund 9.3), koos vastutaja ja kuupäevaga.

Praktikas: nii see välja näeb

Häkitud veebilehe puhul majutuspaketil töötad sageli oma majutuspakkuja vahenditega. WebOké puhul on need näiteks pahavaraskaneering (Imunify360), logifailid DirectAdminis, varukoopia taastamine WebOké Backups'ist ja tegevuskava DirectAdmini juhendis. Teistel majutuspakkujatel on sarnased abivahendid; küsi oma pakkujalt, mis on saadaval ja kui kaua varukoopiaid säilitatakse, enne kui sul seda vaja läheb.

Kokkuvõte

• Taastumine toimub viies etapis: piiramine, väljaselgitamine, puhas taastamine, politseisse pöördumine ja teavitamine, suhtlus ja õppimine.
• Isoleeri, ära lülita välja, ja muuda paroole ainult puhtast seadmest.
• Ära taasta midagi enne, kui tead, kuidas ründaja sisse pääses; muidu taastad ka ukse, millest ta sisse tuli.
• Paigalda nakatunud seadmed uuesti ja taasta varukoopiast, mis on pärit enne sissemurdmist.
• Pöördu politsei poole, vaata No More Ransomi lehele ja väldi eelistatavalt lunaraha maksmist.

Test

Ülesanne

Ülesanne A8.3: Pane taastamine õigesse järjekorda. Sulle antakse juhtum ja kümme eraldi sammu (näiteks "varukoopia taastamine", "võrgukaabel välja tõmmata", "välja selgitada, kuidas ründaja sisse pääses", "politseisse pöördumine"). Sea need õigesse järjekorda. Programm kontrollib, kas kindlad järjekorrareeglid on täidetud (näiteks: isoleerimine enne taastamist, põhjuse väljaselgitamine enne taastamist, uuesti paigaldamine enne andmete taastamist) ja selgitab iga vea puhul, miks see vale on.

Rohkem lugemist

WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures toimib see sarnaselt.

• DirectAdmin juhend 18.2: Minu veebileht on häkitud: tegevuskava
• Appi! Minu sait on häkitud. Kuidas seda parandada või ennetada?
• Imunify360 skanner
• WebOké varukoopiad: varukoopia vaatamine, taastamine või allalaadimine
• Madalmaade NCSC, mida teha lunavararünnaku korral?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Madalmaade NCSC, lunavara väikese ja keskmise suurusega ettevõtetes: küberkurjategijad tõstavad lunaraha, kui on olemas küberkindlustus: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org