Vad är den nya ransomtrenden som Index Engines varnar för?

Index Engines säger att ny ransomware ofta korrumperar filer utan att kryptera dem fullt ut, vilket förändrar hur återställning fungerar.

Varför kan angripare föredra att korrumpera filer framför att kryptera dem?

Att bara skada delar av en fil eller skriva över data kan gå snabbare och vara svårare att upptäcka än full kryptering, eftersom många försvar är inställda på att upptäcka mönster av masskryptering.

Varför är partiell korruption svårare för återställningsteam än full kryptering?

Med korruption kan filer se ut att finnas men vara oanvändbara, skador kan sprida sig in i säkerhetskopior, och team kan inte veta vilka filer som är skadade utan att kontrollera var och en.

Hur kan korrumperade filer påverka säkerhetskopior?

Om säkerhetskopieringsprogram kopierar korrumperade filer enligt schema kan de bra versionerna skrivas över av dåliga med tiden.

Vilka säkerhetskopieringsrutiner hjälper till att skydda mot korruptionsattacker?

Behåll versionshanterade säkerhetskopior med tillräckligt lång lagringstid så att tyst skada inte rensar ut bra kopior, och behåll en offline- eller frånkopplad kopia som en angripare inte kan nå.

Ransomware-datakorruption och säkerhetskopior: Varning från Index Engines

Team för dataåterställning står inför ett tuffare prov, enligt dataskyddsföretaget Index Engines. Företaget säger att ny ransomware ofta korrumperar filer utan att kryptera dem fullt ut. Det låter som en liten teknisk distinktion, men det förändrar hur återställning fungerar. För alla som förlitar sig på säkerhetskopior är ransomware-datakorruption och säkerhetskopior nu en kombination värd att förstå.

Den ursprungliga rapporten är kortfattad, så den här artikeln håller sig till vad Index Engines sade och lägger till allmän bakgrund om hur filskador och säkerhetskopieringsrutiner fungerar. Där vi förklarar mekanismer beskriver vi allmänt tekniskt resonemang, inte påståenden från rapporten.

Varför ransomware korrumperar filer istället för att kryptera dem

Rapporten konstaterar trenden men går inte, i den sammanfattning som är tillgänglig för oss, in på motiven bakom den. Några allmänna punkter hjälper till att förklara varför angripare kan föredra korruption framför full kryptering.

Full kryptering av varje fil tar tid och datorkraft. Att bara skada delar av en fil, eller skriva över data på ett sätt som gör den oanvändbar, kan gå snabbare. Det kan också vara svårare att upptäcka. Många försvar är inställda på att leta efter det välbekanta mönstret av masskryptering, som att filer byter namn eller att en lösensumma-notis dyker upp. Skador som mer liknar vanliga filfel kan väcka mindre uppmärksamhet till en början.

Det finns också en praktisk konsekvens för offer. Om filer är krypterade kan en dekrypteringsnyckel ibland återställa dem. Om filer är korrumperade finns det kanske inget att dekryptera. Den enda pålitliga vägen tillbaka är en ren kopia.

Vad partiell korruption innebär för dataåterställning

Index Engines säger att team för återställning står inför ett svårare jobb som ett resultat. Anledningen är enkel: de vanliga återställningsantagandena faller samman.

Filer kan se ut att finnas men vara oanvändbara. Ett dokument kan existera, visa en normal storlek och ändå inte gå att öppna.
Skador kan sprida sig in i säkerhetskopior. Om säkerhetskopieringsprogram kopierar korrumperade filer enligt schema kan de bra versionerna skrivas över av dåliga med tiden.
Omfattningen är svårare att mäta. Med full kryptering är det tydligt vad som påverkats. Med partiell korruption kan team inte veta vilka filer som är skadade och vilka som är intakta utan att kontrollera var och en.

Den sista punkten är viktigast. En säkerhetskopia är bara användbar om du vet vilken återställningspunkt som är ren. Utan den kunskapen kan återställning förvandlas till långsamt trial and error.

Hur man skyddar säkerhetskopior mot korruptionsattacker

Målet är att behålla minst en ren, orörd kopia av dina data som en angripare inte kan nå eller ändra. Några vanor hjälper individer och små organisationer att komma dit.

Behåll versionshanterade säkerhetskopior. Versionshantering lagrar flera historiska kopior av en fil istället för bara den senaste. Om dagens version är korrumperad kan gårdagens eller förra veckans fortfarande vara okej. Ställ in lagringstiden tillräckligt lång så att långsam, tyst skada inte rensar ut dina bra kopior innan du märker det.

Behåll en offline- eller frånkopplad kopia. En säkerhetskopieringsdisk som är inkopplad hela tiden kan nås av allt som når din dator. Att rotera en disk som kopplas från efter varje säkerhetskopiering begränsar den exponeringen.

Använd oföränderlig lagring där det är möjligt. Oföränderliga säkerhetskopior kan inte ändras eller raderas under en bestämd period, inte ens av ett administratörskonto. Det gör dem motståndskraftiga mot både kryptering och korruption. Vår förklaring om oföränderliga säkerhetskopior som sista försvarslinje mot ransomware täcker hur detta fungerar och varför angripare nu riktar in sig direkt på återställningssystem.

Separera dina inloggningsuppgifter. Säkerhetskopieringssystem bör inte dela samma inloggning som vardagliga konton. Om en angripare tar över ett dagligen använt konto bör de inte automatiskt få tillgång till dina säkerhetskopior.

Testa återställningar, inte bara säkerhetskopior. Ett säkerhetskopieringsjobb som rapporterar framgång säger bara att data kopierades. Återställ med jämna mellanrum ett urval av filer och öppna dem. Detta är det enklaste sättet att upptäcka tyst korruption innan du behöver data.

Tidiga varningssignaler på oväntad filskada

Eftersom korruption kan vara tystare än kryptering är tidig upptäckt viktigt. Håll utkik efter tecken som:

Filer som plötsligt inte går att öppna eller visar fel, särskilt flera samtidigt
Dokument, foton eller databaser som öppnas men innehåller förvrängt eller saknat innehåll
Oförklarliga ändringar av filstorlekar eller ändringsdatum över många filer
Säkerhetskopieringsjobb som tar märkbart längre eller kortare tid än vanligt, eller som börjar rapportera varningar
Ovanlig diskaktivitet eller fördröjningar när ingen använder systemet intensivt

Organisationer kan lägga till övervakning som larmar vid stora mängder filer som ändras på kort tid. Individer kan få mycket av nyttan genom att stickprovskontrollera viktiga mappar och läsa aviseringar från säkerhetskopieringsprogram istället för att avfärda dem.

Om du misstänker skada, koppla bort den påverkade enheten från nätverket och stoppa säkerhetskopieringsjobb innan de skriver över bra versioner med dåliga. Identifiera sedan den senast kända rena återställningspunkten.

Vad detta innebär för dig

Index Engines-rapporten är en påminnelse om att återställningsplanering inte kan utgå från att ransomware alltid annonserar sig med en lösensumma-notis och låsta filer. Om skadan är partiell och tyst avgör kvaliteten på dina säkerhetskopior hur mycket du kan återställa.

För hemanvändare innebär det att ha mer än en kopia av det som är viktigt, med minst en förvarad offline. För små organisationer innebär det versionshanterade och oföränderliga kopior, separata inloggningsuppgifter för säkerhetskopieringssystem och regelbundna återställningstester. Inget av detta kräver en stor budget, men det kräver uppmärksamhet innan något går fel.

Slutsatser: granska din säkerhetskopieringsuppsättning denna vecka

Bekräfta att dina säkerhetskopior behåller flera versioner, inte bara den senaste kopian.
Lägg till en offline- eller frånkopplad kopia av dina viktigaste data.
Överväg oföränderlig lagring för kritiska säkerhetskopior.
Återställ några filer från säkerhetskopian och bekräfta att de öppnas korrekt.
Var uppmärksam på varningar från säkerhetskopiering och oväntade filfel.

Ransomware-datakorruption och säkerhetskopior är ett problem du kan förbereda dig för med några medvetna steg. Ta tid denna vecka att kontrollera din uppsättning och läs vår guide om oföränderliga säkerhetskopior för en djupare titt på att skydda de system du är beroende av för att återställa.