فيروس الفدية: تعمل إيه في أول ساعات، وليه أسماء الملفات ممكن تضحك عليك

لما فيروس الفدية يضرب، أول قرارات بتاخدها غالباً هي اللي بتحدد هتقدر ترجّع قد إيه.

إحنا رجّعنا بيانات لأربع جهات بعد هجمات فدية. واحدة منهم جاتلنا بعد الهجوم بأربع شهور، ونظام الـ ERP بتاعها لسه واقف بعد كذا محاولة إصلاح. ده اللي اتعلمناه من الشغل ده. اقرا تفاصيل المشروع.

في أول ساعة

• افصل. شيل الأجهزة المصابة من الشبكة، الكابل والواي فاي، علشان ما ينتشرش. وما تمسحش ولا تسطّب أي حاجة.
• ما تحاولش تصلّح على الأصل. كل محاولة إصلاح بتكتب على الهارد. انسخ الأول، واشتغل على النسخة.
• افحص النسخ الاحتياطية قبل ما تعتمد عليها. في الحالة اللي فوق، هارد النسخ الاحتياطي اللي حجمه 1.09 تيرا اتشفّر هو كمان مع كل حاجة، لأنه كان متوصل بنفس الشبكة.
• اكتب اللي شايفه: رسالة الفدية، والامتداد الجديد للملفات، والمواعيد، وأنهي أجهزة اتأثرت. ده بيوفّر وقت كتير على اللي هيرجّع البيانات.

ليه أسماء الملفات ممكن تضحك عليك

معظم الناس بيحكموا على الضرر من أسماء الملفات: اللي عليها امتداد غريب متشفّرة، والباقي سليم. في الاسترجاع ده، ملفات فضلت بأساميها العادية بس محتواها اتبدّل. ملف قاعدة بيانات باسمه المعتاد كان متشفّر بالكامل.

فكنا بنفحص كل ملف من أول بايتات فيه، مش من اسمه. ملف SQL Server السليم بيبدأ بعلامة معروفة، والمتشفّر كان بيبدأ بعلامة المهاجم. الفحص ده فرّق بين قاعدة بيانات حجمها 23 جيجا شكلها سليم وهي مش سليمة، ونسخة حجمها 15.4 جيجا سليمة فعلاً. لو كنا بنينا على الغلط كان هيضيع أيام.

إعادة البناء

• ابني على أجهزة نضيفة ومعزولة، عمرك ما تبني على الأجهزة المصابة.
• خلّي الأصل للقراءة بس، وسجّل بصمة (checksum) لكل حاجة بتنسخها، علشان تقدر تثبت بعدين إيه جه منين بالظبط.
• اتأكد من بيانات الشغل، مش بس إن السيستم بيفتح. إحنا عدّينا السجلات لحد يوم الهجوم: 268,921 قيد يومية، و432 عميل، و1,902 صنف. وبعدين عملنا عميل تجريبي وصنف تجريبي من جوه البرنامج، علشان نثبت إن السيستم بيشتغل مش بس بيتقري.
• اعرف تقف فين. لما الاسترجاع يحتاج تغيير في بيانات الشغل نفسها، ده قرار صاحب الشغل، مش المهندس.

قبل ما يحصل

• خلّي نسخة احتياطية واحدة على الأقل مفصولة أو ما ينفعش تتعدّل، في مكان حساب أدمن مسروق ما يوصلوش.
• رجّع نسخة احتياطية بشكل دوري. النسخة اللي محدش رجّعها قبل كده مجرد أمل.
• استخدم حسابات منفصلة للنسخ الاحتياطي، والتحقق بخطوتين لكل حساب أدمن.
• حدّث الأنظمة اللي على الإنترنت الأول: الـ VPN، والريموت ديسكتوب، والإيميل.

عندك ملفات متشفّرة دلوقتي؟ كلمنا أو ابعتلنا على واتساب. كل ما نشوفها بدري، الاختيارات بتبقى أكتر.