Datagendannelsesteams står over for en sværere test, ifølge databeskyttelsesvirksomheden Index Engines. Virksomheden siger, at ny ransomware ofte korrumperer filer uden at kryptere dem fuldt ud. Det lyder som en lille teknisk forskel, men det ændrer måden, genoprettelse fungerer på. For alle, der er afhængige af backups, er ransomware-datakorruption-backups nu en kombination, der er værd at forstå.

Den originale rapport er kort, så denne artikel holder sig til, hvad Index Engines sagde, og tilføjer generel baggrund om, hvordan filskader og backup-praksisser fungerer. Hvor vi forklarer mekanismer, beskriver vi almindelig teknisk ræsonnement, ikke påstande fra rapporten.

Hvorfor ransomware korrumperer filer i stedet for at kryptere dem

Rapporten konstaterer tendensen, men går ikke, i det resumé vi har adgang til, i detaljer med motivationen bag. Nogle generelle pointer hjælper med at forklare, hvorfor angribere kan foretrække korruption frem for fuld kryptering.

Fuld kryptering af hver fil tager tid og kræver computerressourcer. At beskadige kun dele af en fil, eller overskrive data på en måde, der gør dem ubrugelige, kan være hurtigere. Det kan også være sværere at opdage. Mange forsvar er indstillet til at lede efter det velkendte mønster af massiv kryptering, såsom filer der omdøbes, eller en ransomnote der dukker op. Skader, der mere ligner almindelige filfejl, tiltrækker måske mindre opmærksomhed i starten.

Der er også en praktisk konsekvens for ofrene. Hvis filer er krypterede, kan en dekrypteringsnøgle nogle gange gendanne dem. Hvis filer er korrumperede, er der måske intet at dekryptere. Den eneste pålidelige vej tilbage er en ren kopi.

Hvad delvis korruption betyder for datagendannelse

Index Engines siger, at genoprettelsesteams står over for en sværere opgave som følge heraf. Årsagen er ligetil: de sædvanlige antagelser om genoprettelse bryder sammen.

  • Filer kan se ud som om de er der, men være ubrugelige. Et dokument kan eksistere, vise en normal størrelse og stadig ikke kunne åbnes.
  • Skader kan sprede sig ind i backups. Hvis backup-software kopierer korrumperede filer efter en tidsplan, kan de gode versioner blive overskrevet af dårlige over tid.
  • Omfanget er sværere at måle. Ved fuld kryptering er det tydeligt, hvad der er påvirket. Ved delvis korruption ved teams måske ikke, hvilke filer der er beskadigede, og hvilke der er intakte, uden at kontrollere hver enkelt.

Det sidste punkt er det vigtigste. En backup er kun nyttig, hvis du ved, hvilket gendannelsespunkt der er rent. Uden den viden kan genoprettelse udvikle sig til langsom prøven sig frem.

Sådan beskytter du backups mod korruptionsangreb

Målet er at beholde mindst én ren, urørt kopi af dine data, som en angriber ikke kan nå eller ændre. Et par vaner hjælper enkeltpersoner og små organisationer med at nå dertil.

Hold versionsstyrede backups. Versionsstyring gemmer flere historiske kopier af en fil i stedet for kun den seneste. Hvis dagens version er korrumperet, kan gårsdagens eller sidste uges stadig være intakt. Sæt opbevaringsperioden lang nok til, at langsom, stille skade ikke udfaser dine gode kopier, før du opdager det.

Hold en offline eller afkoblet kopi. Et backup-drev, der er tilsluttet hele tiden, kan nås af alt, hvad der når din computer. At rotere et drev, der afkobles efter hver backup, begrænser den eksponering.

Brug uforanderlig lagring, hvor det er muligt. Uforanderlige backups kan ikke ændres eller slettes i en fastsat periode, selv ikke af en administratorkonto. Det gør dem modstandsdygtige over for både kryptering og korruption. Vores forklaring om uforanderlige backups som en sidste forsvarslinje mod ransomware dækker, hvordan dette fungerer, og hvorfor angribere nu målretter sig direkte mod gendannelsessystemer.

Adskil dine legitimationsoplysninger. Backupsystemer bør ikke dele samme login som hverdags-konti. Hvis en angriber overtager en konto til daglig brug, bør de ikke automatisk få adgang til dine backups.

Test gendannelser, ikke kun backups. Et backup-job, der rapporterer succes, fortæller dig kun, at data blev kopieret. Gendan med jævne mellemrum en stikprøve af filer, og åbn dem. Dette er den enkleste måde at fange stille korruption, før du får brug for dataene.

Tidlige advarselstegn på uventet filskade

Fordi korruption kan være mere stille end kryptering, er tidlig opdagelse vigtig. Hold øje med tegn som:

  • Filer, der pludselig ikke kan åbnes eller viser fejl, især flere på én gang
  • Dokumenter, billeder eller databaser, der åbner, men indeholder forvansket eller manglende indhold
  • Uforklarlige ændringer i filstørrelser eller ændringsdatoer på tværs af mange filer
  • Backup-job, der tager mærkbart længere eller kortere tid end normalt, eller som begynder at rapportere advarsler
  • Usædvanlig diskaktivitet eller nedbremsninger, når ingen bruger systemet intensivt

Organisationer kan tilføje overvågning, der advarer om store mængder filer, der ændres på kort tid. Enkeltpersoner kan få meget af fordelen ved at stikprøvekontrollere vigtige mapper og læse notifikationer fra backup-software i stedet for at afvise dem.

Hvis du har mistanke om skade, skal du afbryde den berørte enhed fra netværket og stoppe backup-job, før de overskriver gode versioner med dårlige. Identificér derefter det sidste kendte rene gendannelsespunkt.

Hvad dette betyder for dig

Index Engines-rapporten er en påmindelse om, at genoprettelsesplanlægning ikke kan antage, at ransomware altid vil annoncere sig selv med en ransomnote og låste filer. Hvis skaden er delvis og stille, afgør kvaliteten af dine backups, hvor meget du kan gendanne.

For private brugere betyder det at have mere end én kopi af det, der betyder noget, med mindst én holdt offline. For små organisationer betyder det versionsstyrede og uforanderlige kopier, separate legitimationsoplysninger til backupsystemer og regelmæssige gendannelsestests. Intet af dette kræver et stort budget, men det kræver opmærksomhed, før noget går galt.

Det vigtigste: Gennemgå din backup-opsætning i denne uge

  • Bekræft, at dine backups beholder flere versioner, ikke kun den seneste kopi.
  • Tilføj en offline eller afkoblet kopi af dine vigtigste data.
  • Overvej uforanderlig lagring til kritiske backups.
  • Gendan et par filer fra backup, og bekræft, at de åbner korrekt.
  • Vær opmærksom på backup-advarsler og uventede filfejl.

Ransomware-datakorruption-backups er et problem, du kan forberede dig på med et par bevidste skridt. Tag dig tid i denne uge til at tjekke din opsætning, og læs vores guide til uforanderlige backups for et dybere indblik i at beskytte de systemer, du er afhængig af for at gendanne.