Ransomware-datakorrupsjon og sikkerhetskopier: Advarsel fra Index Engines

Team for datagjenoppretting står overfor en tøffere prøvelse, ifølge databeskyttelsesselskapet Index Engines. Selskapet sier at ny ransomware ofte korrumperer filer uten å kryptere dem fullt ut. Det høres ut som en liten teknisk forskjell, men det endrer hvordan gjenoppretting fungerer. For alle som er avhengige av sikkerhetskopier, er ransomware-datakorrupsjon og sikkerhetskopier nå en kombinasjon verdt å forstå.

Den opprinnelige rapporten er kort, så denne artikkelen holder seg til det Index Engines sa og legger til generell bakgrunn om hvordan filskade og sikkerhetskopieringspraksis fungerer. Der vi forklarer mekanismer, beskriver vi vanlig teknisk resonnement, ikke påstander fra rapporten.

Hvorfor ransomware korrumperer filer i stedet for å kryptere dem

Rapporten konstaterer trenden, men går ikke, i sammendraget tilgjengelig for oss, i detalj om motivasjonen bak den. Noen generelle punkter hjelper med å forklare hvorfor angripere kan foretrekke korrupsjon fremfor full kryptering.

Full kryptering av hver fil tar tid og datakraft. Å skade bare deler av en fil, eller overskrive data på en måte som gjør den ubrukelig, kan være raskere. Det kan også være vanskeligere å oppdage. Mange forsvar er innstilt på å se etter det kjente mønsteret med masse-kryptering, som at filer får nye navn eller at en løsepenge-melding dukker opp. Skade som ser mer ut som vanlige filfeil, kan tiltrekke seg mindre oppmerksomhet i starten.

Det er også en praktisk konsekvens for ofrene. Hvis filer er kryptert, kan en dekrypteringsnøkkel noen ganger gjenopprette dem. Hvis filer er korrumpert, kan det være ingenting å dekryptere. Den eneste pålitelige veien tilbake er en ren kopi.

Hva delvis korrupsjon betyr for datagjenoppretting

Index Engines sier at gjenopprettingsteam møter en vanskeligere jobb som et resultat. Årsaken er enkel: de vanlige gjenopprettingsantakelsene bryter sammen.

• Filer kan se ut som de er der, men være ubrukelige. Et dokument kan eksistere, vise normal størrelse og likevel ikke kunne åpnes.
• Skade kan spre seg inn i sikkerhetskopier. Hvis sikkerhetskopiprogramvare kopierer korrumperte filer etter planen, kan de gode versjonene bli overskrevet av dårlige over tid.
• Omfanget er vanskeligere å måle. Med full kryptering er det klart hva som er påvirket. Med delvis korrupsjon kan team ikke vite hvilke filer som er skadet og hvilke som er intakte uten å sjekke hver enkelt.

Det siste punktet betyr mest. En sikkerhetskopi er bare nyttig hvis du vet hvilket gjenopprettingspunkt som er rent. Uten den kunnskapen kan gjenoppretting bli til langsom prøving og feiling.

Hvordan beskytte sikkerhetskopier mot korrupsjonsangrep

Målet er å beholde minst én ren, urørt kopi av dataene dine som en angriper ikke kan nå eller endre. Noen vaner hjelper enkeltpersoner og små organisasjoner med å komme dit.

Hold versjonerte sikkerhetskopier. Versjonering lagrer flere historiske kopier av en fil i stedet for bare den nyeste. Hvis dagens versjon er korrumpert, kan gårsdagens eller forrige ukes fortsatt være intakt. Sett oppbevaringstiden lang nok til at langsom, stille skade ikke faser ut de gode kopiene dine før du oppdager det.

Hold en offline eller frakoblet kopi. En sikkerhetskopidisk som er tilkoblet hele tiden, kan nås av alt som når datamaskinen din. Å rotere en disk som er frakoblet etter hver sikkerhetskopiering begrenser denne eksponeringen.

Bruk uforanderlig lagring der det er mulig. Uforanderlige sikkerhetskopier kan ikke endres eller slettes i en bestemt periode, selv ikke av en administrator-konto. Det gjør dem motstandsdyktige mot både kryptering og korrupsjon. Vår forklaring om uforanderlige sikkerhetskopier som en siste forsvarslinje mot ransomware dekker hvordan dette fungerer og hvorfor angripere nå retter seg direkte mot gjenopprettingssystemer.

Skill på påloggingsinformasjonen din. Sikkerhetskopisystemer bør ikke dele samme pålogging som hverdagslige kontoer. Hvis en angriper tar over en konto til daglig bruk, bør de ikke automatisk få tilgang til sikkerhetskopiene dine.

Test gjenopprettinger, ikke bare sikkerhetskopier. En sikkerhetskopijobb som rapporterer suksess, forteller deg bare at data ble kopiert. Gjenopprett jevnlig et utvalg filer og åpne dem. Dette er den enkleste måten å fange stille korrupsjon før du trenger dataene.

Tidlige varseltegn på uventet filskade

Fordi korrupsjon kan være stillere enn kryptering, er tidlig oppdagelse viktig. Se etter tegn som:

• Filer som plutselig ikke kan åpnes eller viser feil, spesielt flere samtidig
• Dokumenter, bilder eller databaser som åpnes, men inneholder uleselig eller manglende innhold
• Uforklarlige endringer i filstørrelser eller endringsdatoer på tvers av mange filer
• Sikkerhetskopijobber som tar merkbart lengre eller kortere tid enn vanlig, eller som begynner å rapportere advarsler
• Uvanlig diskaktivitet eller nedbremsing når ingen bruker systemet tungt

Organisasjoner kan legge til overvåking som varsler om store mengder filer som endres på kort tid. Enkeltpersoner kan få mye av fordelen ved å stikkprøve viktige mapper og lese varsler fra sikkerhetskopiprogramvaren i stedet for å avvise dem.

Hvis du mistenker skade, koble den berørte enheten fra nettverket og stopp sikkerhetskopijobber før de overskriver gode versjoner med dårlige. Identifiser deretter det siste kjente rene gjenopprettingspunktet.

Hva dette betyr for deg

Index Engines-rapporten er en påminnelse om at gjenopprettingsplanlegging ikke kan anta at ransomware alltid vil annonsere seg selv med en løsepenge-melding og låste filer. Hvis skaden er delvis og stille, avgjør kvaliteten på sikkerhetskopiene dine hvor mye du kan gjenopprette.

For hjemmebrukere betyr det å ha mer enn én kopi av det som betyr noe, med minst én oppbevart offline. For små organisasjoner betyr det versjonerte og uforanderlige kopier, separate påloggingsopplysninger for sikkerhetskopisystemer og regelmessige gjenopprettingstester. Ingenting av dette krever et stort budsjett, men det krever oppmerksomhet før noe går galt.

Hovedpunkter: gjennomgå sikkerhetskopioppsettet ditt denne uken

• Bekreft at sikkerhetskopiene dine beholder flere versjoner, ikke bare den nyeste kopien.
• Legg til en offline eller frakoblet kopi av dine viktigste data.
• Vurder uforanderlig lagring for kritiske sikkerhetskopier.
• Gjenopprett noen få filer fra sikkerhetskopi og bekreft at de åpnes riktig.
• Vær oppmerksom på sikkerhetskopivarsler og uventede filfeil.

Ransomware-datakorrupsjon og sikkerhetskopier er et problem du kan forberede deg på med noen få bevisste steg. Ta deg tid denne uken til å sjekke oppsettet ditt, og les guiden vår om uforanderlige sikkerhetskopier for et dypere innblikk i å beskytte systemene du er avhengig av for å gjenopprette.