Infectado por Ransomware, ¿y ahora qué hacer?

¿Qué hacer en caso de sufrir un ataque de Ransomware?

 

Lo primero y más importante, QUE NO CUNDA EL PANICO!!
Es muy importante no alarmarse en exceso, respirar, tomar perspectiva y valorar cada acción con la cabeza.
El sentido común es imprescindible para superar toda crisis, en las informáticas también!

 

1. Apagar los equipos afectados: NO
2. Desconectar de la red informática: SI
3. Apagar los Routers y Switches de la empresa: SI
4. Analizar el alcance del daño: SI
5. Extraer muestras y Documentar: SI
6. Plan de contingencia: SI
7. Denunciar en la Policía Nacional: SI
8. Gestionar la Agencia de Protección de Datos: SI
9. Valorar si lo afectado por Ransomware es importante como para desencriptarse: SI
10. Contratar a una empresa de desencriptado: SI

 

¿En caso de Ransomware por que NO se han de apagar los equipos?

 

Este es un error muy común, ante el miedo y el desconocimiento, normalmente el instinto nos lleva a apagar el ordenador, pero al hacerlo vamos a dejar dañados los archivos que se están encriptando en ese justo momento, por eso no es buena idea.

Por lo comentado anteriormente, y porque la clave de encriptado y el programa encriptador están en la memoria RAM, si no lo apagamos, persisten en el tiempo y una empresa con conocimientos y medios suficientes, una empresa especializada como LABS 4 Recovery, puede recuperar esa clave de encriptado y generar un desencriptador con el programa de encriptado.

Y otro problema que vamos a evitar si no apagamos a la tremenda el ordenador, es el daño físico a las unidades de almacenamiento, a las cuales no les viene bien los cortes de energía y alimentación.

 

¿Tras un ataque de Ransomware se deben desconectar los ordenadores de la red informática?

 

La respuesta rotundamente es que SI, los equipos afectados se deben desconectar físicamente de la red informática tras un ataque de Ransomware.

 

Al desconectar los ordenadores de la red de datos el atacante pierde el control del equipo, pero los archivos que se están encriptando no se dañan y acaban los procesos de encriptado correctamente.

 

Quedando la información completa, pero encriptada si, pero no va a estar corrupta, con lo que una empresa especializada como LABS 4 Recovery, puede recuperar los datos encriptados.

 

He sufrido un Ransomware

¿debo apagar los Routers y Switches de la empresa?

 

Pensemos, ¿el atacante está fuera de la empresa? ¿o por el contrario sospechamos que se ha generado dentro de la empresa?
Si la respuesta es que está fuera de la empresa….  SI, entonces debemos de entender que su única forma de estar conectado es por el Router de la empresa, o desde un equipo vía móvil o wifi, para cortarle la comunicación debemos apagar tanto el Router como todos los Switches de la empresa.

 

Sin dudarlo, rápido, sin excepciones.A continuación, asesorado por una empresa de seguridad informática, revisa uno a uno los elementos de la electrónica de red y ve encendiendo con precaución poco a poco

 

Muy muy importante es darnos cuenta del alcance real del ataque, a qué datos a afectado, de cuales tenemos copias funcionales, de qué fechas no tenemos datos de respaldo, a cuántas maquinas ha afectado, el número de usuarios afectados….

 

Y lo más importante de todo, ¿nos permite el daño continuar con la actividad de la empresa?

¿El ataque de Ransomware nos afecta económicamente?

¿El ataque de Ransomware nos afecta a nivel logístico?

 

¿El ataque de Ransomware nos afecta a nivel de prestigio?

Éstas y otras cientos de preguntas son las que nos tenemos que hacer, en cada caso van a variar, pero son sus respuestas las que nos van a hacer tomar un sentido u otro en las siguientes fases de la crisis provocada por el ataque de Ransomware.

 

¿Cómo Extraer muestras en un caso de Ransomware?

¿y Documentar un caso de Ransomware?

 

Vamos a tener presente primero que una vez el equipo ya se ha reiniciado o si se ha extraído el disco duro y se esta estudiando en otro ordenador, no se va a propagar el ataque, pues el atacante no tiene acceso a nuestro sistema.

Vamos a decir que estamos relativamente seguros, siempre es mejor trabajar en un entorno virtual que en uno real, pero pocos ataques dejan subrutinas activas para generar conexiones salientes tras el reinicio o extracción de la unidad afectada.

 

Dicho esto, es fácil buscar varios archivos de pequeño tamaño y de diferentes extensiones para luego ser empaquetados en un archivo ZIP junto con la nota de rescate y enviarlo por WeTransfer a nuestro contacto de correo electrónico general, así el laboratorio puede hacer un pre-análisis del ataque sufrido.

Para documentar el caso, hay que hacer un inventario de equipos afectados, volumen de datos, y el nivel de importancia de los mismos.
Detallar los días y horas de los eventos más destacados y los pasos dados para la resolución del Ransomware.

 

Plan de contingencia tras un ataque de Ransomware

 

Una vez calmados y entendida por todos los miembros de la organización la situación actual…

Hemos evaluado el número de ordenadores afectados por el Ransomware
Hemos valorado el nivel de importancia de los datos encriptados por el Ransomware
Hemos entendido qué puestos de logística, ventas, marketing, producción pueden trabajar con relativa normalidad
Hemos tomado conciencia de los puestos que no pueden trabajar sin los datos

 

 

Entonces es cuando podemos diseñar un plan de contingencia tras el ataque de Ransomware, tenemos que ver los recursos que tenemos para darle continuidad al negocio y cómo recuperar la normalidad, obviamente cada caso es distinto.

Recopilar el máximo de datos usables por la empresa, sin encriptar, hacer duplicado y usarlos entre los empleados
Avisar a clientes y proveedores, transmitir la sensación que está controlada la crisis.

Iniciar el proceso de desencriptado con una empresa especializada como LABS 4 Recovery, una que pueda recuperar los datos encriptados.

 

¿Se debe Denunciar a la Policía un Ataque de Ransomware?

 

Claro que si, es imprescindible para poder justificarse ante clientes y proveedores, van a notar que algo ocurre y en muchas ocasiones con contratos blindados, es la única forma de evitar denuncias y malentendidos con ellos, hacerles entender que has sido victima de un ataque con Ransomware.

La denuncia de un ataque por Ransomware no te va a quitar la multa de Hacienda si no cumples sus plazos en las presentaciones, pero ayuda a que sea menor la multa, o incluso cero.

 

Una denuncia por Ransomware presentada a tiempo en la Seguridad Social te va a valer para aplazamientos, exenciones y como justificación ante medidas mayores como cierres parciales o completos.

Teniendo un seguro de incidentes informáticos, la denuncia es imprescindible para poder gestionar la reclamación por los daños causados por el Ransomware.

 

¿Se tiene que avisar a la Agencia de Protección de Datos tras un ataque de Ransomware?

 

Sí, se les tiene que avisar y no hacerlo tiene una multa de gran importe. Recuerda que el tiempo transcurrido desde el ataque, hasta que te das cuenta y hasta que se comunica, corre en tu contra, hazlo urgentemente

Para avisarles puedes usar diferentes formas de contacto, pero siempre vas a tener que acompañar el informe o aviso a la Agencia de Protección de Datos con la denuncia realizada en la Policía Nacional o Guardia Civil, tienen el mismo valor.

 

1. Tengamos presente que las infracciones leves tienen aparejada una sanción de multa de entre 900 y 40.000 €.
2. Las infracciones graves tienen aparejada una sanción de multa de entre 40.001 y 300.000 €.
3. Las infracciones muy graves tienen aparejada una sanción de multa de entre 300.001 y 600.000 €.

 

No nos interesa tener problemas con esta agencia…..

 

Valorar si los datos afectados por el Ransomware son importantes como para desencriptarslos

 

Antes de contactar con una empresa de desencriptado de Ransomware como la empresa especializada LABS 4 Recovery, una empresa capacitada para recuperar los datos encriptados con total seguridad, te recomendamos valorar los datos afectados.

 

Tienes copias de seguridad funcionales?
Puedes funcionar sin los datos?

 

Si las respuestas a las dos preguntas es que NO, entonces valora económicamente cuanto valen para ti los datos encriptados.
Contáctanos y te analizamos el caso, seguro que nuestro presupuesto es menor que tu valoración económica de tus datos encriptados.

Contratar a una empresa de desencriptado de Ransomware

 

Hay algunas empresas que nos dedicamos a esta rama tan especializada como es el desencriptado de Ransomware, no somos muchas, pero seguro que quieres investigar y comprobar cual es la mas confiable y cual tiene mejores resultados.

Cuenta con nuestra empresa, estamos especializados en desencriptado de Ransomware, LABS 4 Recovery  puede recuperar los datos encriptados.