Zespoły ds. odzyskiwania danych stają przed trudniejszym wyzwaniem, według firmy zajmującej się ochroną danych Index Engines. Firma twierdzi, że nowy ransomware często uszkadza pliki, nie szyfrując ich w pełni. To brzmi jak niewielka różnica techniczna, ale zmienia sposób działania odzyskiwania. Dla każdego, kto polega na kopiach zapasowych, uszkodzenia danych przez ransomware a kopie zapasowe to teraz połączenie warte zrozumienia.

Oryginalny raport jest krótki, więc ten artykuł trzyma się tego, co powiedziało Index Engines, i dodaje ogólne tło dotyczące tego, jak działają uszkodzenia plików i praktyki tworzenia kopii zapasowych. Tam, gdzie wyjaśniamy mechanizmy, opisujemy typowe rozumowanie techniczne, a nie twierdzenia z raportu.

Dlaczego ransomware uszkadza pliki zamiast je szyfrować

Raport stwierdza ten trend, ale w dostępnym nam podsumowaniu nie opisuje szczegółowo motywów stojących za nim. Kilka ogólnych punktów pomaga wyjaśnić, dlaczego atakujący mogą preferować uszkadzanie zamiast pełnego szyfrowania.

Pełne szyfrowanie każdego pliku zajmuje czas i zasoby obliczeniowe. Uszkodzenie tylko części pliku lub nadpisanie danych w sposób czyniący je bezużytecznymi może być szybsze. Może też być trudniejsze do wykrycia. Wiele zabezpieczeń jest dostrojonych do wykrywania znanego wzorca masowego szyfrowania, takiego jak zmiana nazw plików czy pojawienie się noty okupowej. Uszkodzenia wyglądające bardziej jak zwykłe błędy plików mogą na początku przyciągać mniej uwagi.

Istnieje również praktyczna konsekwencja dla ofiar. Jeśli pliki są zaszyfrowane, klucz deszyfrujący może je czasem przywrócić. Jeśli pliki są uszkodzone, może nie być czego odszyfrować. Jedyną niezawodną drogą powrotu jest czysta kopia.

Co częściowe uszkodzenie oznacza dla odzyskiwania danych

Index Engines twierdzi, że w rezultacie zespoły ds. odzyskiwania stają przed trudniejszym zadaniem. Powód jest prosty: zwykłe założenia dotyczące odzyskiwania przestają obowiązywać.

  • Pliki mogą wyglądać na obecne, ale być bezużyteczne. Dokument może istnieć, pokazywać normalny rozmiar i nadal nie otwierać się.
  • Uszkodzenia mogą rozprzestrzeniać się na kopie zapasowe. Jeśli oprogramowanie do tworzenia kopii zapasowych kopiuje uszkodzone pliki zgodnie z harmonogramem, dobre wersje mogą z czasem zostać nadpisane przez złe.
  • Zakres jest trudniejszy do zmierzenia. Przy pełnym szyfrowaniu jest jasne, co jest dotknięte. Przy częściowym uszkodzeniu zespoły mogą nie wiedzieć, które pliki są uszkodzone, a które nienaruszone, bez sprawdzenia każdego z nich.

Ostatni punkt ma największe znaczenie. Kopia zapasowa jest użyteczna tylko wtedy, gdy wiesz, który punkt przywracania jest czysty. Bez tej wiedzy odzyskiwanie może zamienić się w powolne metodą prób i błędów.

Jak chronić kopie zapasowe przed atakami polegającymi na uszkadzaniu danych

Celem jest utrzymanie co najmniej jednej czystej, nietkniętej kopii danych, do której atakujący nie może dotrzeć ani jej zmienić. Kilka nawyków pomaga osobom prywatnym i małym organizacjom to osiągnąć.

Utrzymuj wersjonowane kopie zapasowe. Wersjonowanie przechowuje wiele historycznych kopii pliku, a nie tylko najnowszą. Jeśli dzisiejsza wersja jest uszkodzona, wczorajsza lub z zeszłego tygodnia może wciąż być w porządku. Ustaw okres przechowywania wystarczająco długi, aby powolne, ciche uszkodzenia nie przedawniły dobrych kopii, zanim je zauważysz.

Utrzymuj kopię offline lub odłączoną. Dysk z kopią zapasową podłączony przez cały czas może być osiągnięty przez wszystko, co dotrze do twojego komputera. Rotacja dysku odłączanego po każdej kopii zapasowej ogranicza to narażenie.

Używaj niezmiennego przechowywania, gdzie to możliwe. Niezmiennych kopii zapasowych nie można zmienić ani usunąć przez określony czas, nawet przez konto administratora. To czyni je odpornymi zarówno na szyfrowanie, jak i uszkodzenia. Nasz przewodnik na temat niezmiennych kopii zapasowych jako ostatniej linii obrony przed ransomware opisuje, jak to działa i dlaczego atakujący celują teraz bezpośrednio w systemy odzyskiwania.

Oddziel swoje poświadczenia. Systemy kopii zapasowych nie powinny współdzielić tego samego loginu co codzienne konta. Jeśli atakujący przejmie konto używane codziennie, nie powinien automatycznie uzyskiwać dostępu do twoich kopii zapasowych.

Testuj przywracanie, nie tylko tworzenie kopii. Zadanie tworzenia kopii zapasowej, które zgłasza sukces, mówi tylko, że dane zostały skopiowane. Okresowo przywracaj próbkę plików i otwieraj je. To najprostszy sposób na wykrycie cichego uszkodzenia, zanim dane będą potrzebne.

Wczesne oznaki ostrzegawcze nieoczekiwanego uszkodzenia plików

Ponieważ uszkodzenie może być cichsze niż szyfrowanie, wczesne wykrycie ma znaczenie. Zwracaj uwagę na oznaki takie jak:

  • Pliki, które nagle przestają się otwierać lub pokazują błędy, zwłaszcza kilka naraz
  • Dokumenty, zdjęcia lub bazy danych, które otwierają się, ale zawierają zniekształconą lub brakującą treść
  • Niewyjaśnione zmiany rozmiarów plików lub dat modyfikacji w wielu plikach
  • Zadania tworzenia kopii zapasowych, które trwają zauważalnie dłużej lub krócej niż zwykle, albo zaczynają zgłaszać ostrzeżenia
  • Nietypowa aktywność dysku lub spowolnienia, gdy nikt intensywnie nie korzysta z systemu

Organizacje mogą dodać monitorowanie, które alarmuje o dużej liczbie plików zmieniających się w krótkim czasie. Osoby prywatne mogą uzyskać wiele korzyści, sprawdzając wyrywkowo ważne foldery i czytając powiadomienia oprogramowania do kopii zapasowych, zamiast je ignorować.

Jeśli podejrzewasz uszkodzenie, odłącz dotknięte urządzenie od sieci i zatrzymaj zadania tworzenia kopii zapasowych, zanim nadpiszą dobre wersje złymi. Następnie zidentyfikuj ostatni znany czysty punkt przywracania.

Co to oznacza dla Ciebie

Raport Index Engines przypomina, że planowanie odzyskiwania nie może zakładać, że ransomware zawsze ogłosi się notą okupową i zablokowanymi plikami. Jeśli uszkodzenie jest częściowe i ciche, jakość twoich kopii zapasowych decyduje o tym, ile możesz odzyskać.

Dla użytkowników domowych oznacza to posiadanie więcej niż jednej kopii tego, co ważne, z co najmniej jedną trzymaną offline. Dla małych organizacji oznacza to wersjonowane i niezmienne kopie, oddzielne poświadczenia dla systemów kopii zapasowych oraz regularne testy przywracania. Nic z tego nie wymaga dużego budżetu, ale wymaga uwagi, zanim coś pójdzie nie tak.

Wnioski: przejrzyj konfigurację kopii zapasowych w tym tygodniu

  • Potwierdź, że twoje kopie zapasowe przechowują wiele wersji, a nie tylko najnowszą kopię.
  • Dodaj kopię offline lub odłączoną swoich najważniejszych danych.
  • Rozważ niezmienne przechowywanie dla krytycznych kopii zapasowych.
  • Przywróć kilka plików z kopii zapasowej i potwierdź, że otwierają się poprawnie.
  • Zwracaj uwagę na ostrzeżenia dotyczące kopii zapasowych i nieoczekiwane błędy plików.

Uszkodzenia danych przez ransomware a kopie zapasowe to problem, na który możesz się przygotować kilkoma przemyślanymi krokami. Poświęć czas w tym tygodniu na sprawdzenie swojej konfiguracji i przeczytaj nasz przewodnik po niezmiennych kopiach zapasowych, aby głębiej przyjrzeć się ochronie systemów, od których zależy twoje odzyskiwanie.