O companie de recuperare după ransomware promite tehnologie sofisticată care poate salva fișierele criptate fără a plăti criminalilor. Sună aproape ca o expertiză de nivel Jedi. Potrivit unui recent raport Security Boulevard, procurorii federali susțin că arma secretă a MonsterCloud nu a fost deloc tehnologie avansată de decriptare. Cazul este un îndemn util pentru oricine s-a întrebat cum să distingă o companie legitimă de recuperare după ransomware de una care promite prea mult.

O notă despre surse: raportul pe care l-am analizat este scurt, iar detaliile de mai jos se limitează la ceea ce afirmă acesta. Acestea sunt acuzații, nu constatări de vinovăție. Nu avem instanța, data depunerii sau numărul dosarului din materialul sursă, așa că cititorii care doresc documentul primar ar trebui să consulte articolul original din Security Boulevard și dosarul instanței federale în mod direct.

Ce susțin procurorii că a făcut de fapt MonsterCloud

Articolul din Security Boulevard, intitulat „These Aren't the Decryption Keys You're Looking For”, spune că procurorii federali susțin că arma secretă a MonsterCloud nu a fost tehnologie avansată de decriptare. Compania se promova ca fiind capabilă să recupereze fișiere criptate fără ca victimele să plătească atacatorilor.

Fragmentul sursă pe care îl avem este trunchiat înainte de a explica ce susțin procurorii că a făcut compania în schimb, așa că nu vom specula despre mecanism. Ceea ce stabilește raportul este discrepanța la care indică procurorii: o capacitate promovată pe de o parte, și o acuzație că metoda reală a fost altceva pe de altă parte.

MonsterCloud are dreptul de a contesta aceste afirmații, iar cititorii ar trebui să trateze cazul ca nerezolvat până când instanțele nu decid altfel.

De ce afirmațiile de recuperare „fără răscumpărare” sunt greu de verificat

Victimele ransomware-ului rareori se află în poziția de a verifica afirmațiile tehnice ale unui furnizor. De obicei sunt blocate din sisteme critice, sub presiunea timpului și au de-a face cu persoane pe care nu le-au întâlnit niciodată. Această combinație face limbajul de marketing foarte convingător.

Mai multe lucruri fac verificarea dificilă:

  • Decriptarea este opacă. Dacă fișierele revin, victima de obicei nu poate spune cum. Un furnizor poate descrie o metodă proprietară, iar clientul nu are nicio modalitate de a o inspecta.
  • Rezultatele arată identic din exterior. Datele restaurate arată la fel indiferent dacă provin dintr-o soluție tehnică, dintr-o copie de siguranță recuperată sau dintr-o altă cale.
  • Urgența suprimă examinarea atentă. Timpul de nefuncționare costă bani în fiecare oră, așa că adresarea de întrebări detaliate poate părea un lux.
  • Secretul este integrat în ofertă. Tehnologia „proprietară” este un motiv rezonabil care sună bine pentru a nu explica nimic.

Nimic din toate acestea nu înseamnă că fiecare firmă de recuperare este suspectă. Înseamnă că afirmația „vă putem recupera fișierele fără a plăti” merită același scepticism ca promisiunea atacatorului însuși că va preda o cheie funcțională.

Cum să verifici un furnizor de recuperare după ransomware sau de răspuns la incidente

Cel mai bun moment pentru a evalua un furnizor este înainte de a avea nevoie de unul. Câteva verificări practice:

  1. Întrebați exact cum funcționează recuperarea. O firmă credibilă poate explica abordarea sa în termeni simpli, inclusiv când decriptarea nu este posibilă.
  2. Obțineți domeniul de aplicare în scris. Contractul ar trebui să precizeze ce va face firma, ce nu va face și dacă va comunica vreodată cu atacatorii sau le va plăti în numele dumneavoastră.
  3. Solicitați dezvăluirea oricărei plăți. Dacă o terță parte gestionează negocierea sau plata, ar trebui să știți despre aceasta, la fel și consilierul dumneavoastră juridic și asigurătorul.
  4. Verificați referințele și istoricul. Cereți clienți pe care îi puteți contacta și căutați acoperire independentă sau istoric juridic.
  5. Fiți precauți cu garanțiile. Nimeni nu poate garanta în mod onest recuperarea fiecărui fișier.
  6. Implicați consilierul juridic și asigurătorul devreme. Multe polițe și obligații legale determină pe cine puteți angaja și cum sunt gestionate plățile.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă conduceți o afacere, gestionați IT-ul sau pur și simplu păstrați date importante pe dispozitivele dumneavoastră, acest caz evidențiază un al doilea strat de risc. Primul este atacatorul. Al doilea este decizia stresantă și grăbită despre pe cine să ai încredere după aceea.

Pentru indivizi și organizații mici, concluzia este să tratați un furnizor de recuperare ca pe un furnizor de mare încredere și să aplicați diligența necesară în consecință. Pentru echipele mai mari, este o reamintire să preselectați și să contractați un furnizor de răspuns la incidente, astfel încât nimeni să nu caute „ajutor ransomware” în mijlocul unei crize.

Ce înseamnă acest lucru pentru plățile de ransomware și apărare

Lecția mai largă este că nu există o scurtătură care să ocolească pregătirea. Copiile de siguranță offline, testate, rămân esențiale, dar nu sunt întreaga poveste. După cum explicăm în analiza noastră despre ransomware cu extorcare dublă și de ce copiile de siguranță nu sunt suficiente, atacatorii moderni fură și date și amenință că le vor divulga, așa că restaurarea fișierelor nu încheie incidentul.

Exact de aceea deciziile luate sub presiune sunt riscante. Când ceasul ticăie, o promisiune încrezătoare a unei soluții fără durere este atrăgătoare. Un plan scris, convenit în prealabil, elimină mare parte din această presiune.

Concluzii cheie

  • Tratați afirmațiile de recuperare fără răscumpărare cu un scepticism sănătos și întrebați cum funcționează metoda.
  • Amintiți-vă că presupusa conduită a MonsterCloud este nedovedită; acuzațiile provin de la procurorii federali și compania le poate contesta.
  • Verificați orice companie de recuperare după ransomware în avans, în scris și cu contribuția juridică și a asigurătorului.
  • Păstrați copii de siguranță offline, testate, și planificați atât pentru furtul de date, cât și pentru criptare, așa cum este abordat în ghidul nostru despre extorcarea dublă.
  • Construiți-vă planul de răspuns la incidente și alegeți-vă furnizorii înainte de un atac, nu în timpul unuia.

Data viitoare când citiți o promisiune îndrăzneață de la o companie de recuperare după ransomware, cereți mai întâi detaliile. Câteva ore de pregătire acum vă pot scuti de o decizie mult mai costisitoare mai târziu.