Fidye yazılımı bulaştı: ilk saatte yapılması ve yapılmaması gerekenler

Bir çalışan ortak klasördeki dosyaların açılmadığını, uzantılarının değiştiğini ve her klasörde "dosyalarınızı geri almak için" başlıklı bir not olduğunu bildiriyor. Bu, fidye yazılımının tipik görüntüsüdür. İlk saatlerde yapılanlar, olayın bir bilgisayarla sınırlı kalmasını veya tüm şirket ağına yayılmasını belirler.

1. Etkilenen cihazları ağdan ayırın

Fidye yazılımı ağdaki diğer bilgisayarlara, sunuculara ve paylaşımlara yayılmaya çalışır. Etkilenen bilgisayarların ağ kablosu çekilmeli, Wi-Fi bağlantısı kapatılmalıdır. Yayılmanın boyutu belirsizse internet bağlantısı ve şubeler arası VPN de geçici olarak kesilebilir.

2. Yedekleri koruyun

USB ile takılı yedek diskleri ve ağdaki yedekleme cihazlarını (NAS) hemen ayırın. Fidye yazılımları ulaşabildikleri yedekleri de şifrelemeye veya silmeye çalışır. Çevrimdışı ve değiştirilemez yedekler, bu durumda en değerli varlığınızdır; bu yaklaşımı 3-2-1-1-0 kuralı yazımızda anlattık.

3. Kapatmak mı, açık bırakmak mı?

Genel öneri, cihazı ağdan ayırıp açık bırakmak ve uzmana danışmaktır. Bilgisayarın kapatılması, bellekteki izlerin kaybolmasına yol açabilir. Ancak şifreleme hâlâ devam ediyor ve ağdan ayırmak mümkün değilse kapatmak zararı sınırlayabilir. Bu kararın mümkünse uzmanla birlikte verilmesi gerekir.

4. Kayıt ve kanıt

Fidye notunun, şifrelenmiş dosya uzantılarının ve ekranın fotoğrafını çekin. Olayın ne zaman fark edildiğini ve hangi cihazların etkilendiğini not edin. Firewall ve sunucu kayıtlarını silmeyin.

Yapılmaması gerekenler

• Fidye notundaki iletişim adresine yazmayın.
• Şifrelenmiş dosyaları silmeyin; ileride çözücü çıkma ihtimali vardır.
• Diskleri biçimlendirmeyin, Windows'u yeniden kurmayın.
• Etkilenen bilgisayarlara yedek diski takmayın.
• İnternetteki "garantili çözüm" vaat eden programları denemeyin.

Sonraki adımlar

Saldırının nasıl girdiği (uzak masaüstü, oltalama e-postası, güncellenmemiş bir sunucu) bulunmadan sistemleri geri yüklemek, aynı saldırının tekrarına yol açar. Kişisel veri etkilenmişse KVKK bildirim yükümlülükleri değerlendirilmelidir; ayrıntılar için KVKK veri ihlali. Dosyaların geri gelme ihtimali için şifrelenen dosyalar geri gelir mi yazımıza bakabilirsiniz.

Hazırlık

Bu yazıyı olay yaşanmadan okuyorsanız, en iyi zaman şimdi: çevrimdışı yedek, güncel sistemler, uzak masaüstünün internete kapatılması ve çok faktörlü doğrulama. Ayrıntılı liste için fidye yazılımına karşı kontrol listesi yazımıza bakabilirsiniz.

Sur Bilgisayar olarak fidye yazılımı olaylarında ağ izolasyonu, yedekten geri dönüş ve altyapının yeniden güvenli hâle getirilmesinde destek veriyoruz. Ayrıntılar için network güvenlik sistemi sayfamıza bakabilirsiniz.