Когда файлы зашифровано на месте, инструменты восстановления видят зашифрованный текст, а не ваши электронные таблицы. Recuva иногда может восстанавливать теневые копии или версии до шифрования, только если эти байты все еще существуют в неизмененном виде и операционная система не использовала кластеры повторно.
Семейства программ-вымогателей различаются: некоторые копируют и удаляют оригиналы, некоторые шифруют на месте, некоторые злоупотребляют гибридными подходами. Для планирования восстановления важен наблюдаемый эффект на диск, а не маркетинговое название штамма.
Чем Recuva еще может помочь
- Незашифрованные теневые копии или точки восстановления, которые не были удалены вредоносным ПО.
- Дополнительные файлы, к которым программа-вымогатель никогда не прикасалась: экспорт, печать в формате PDF или кэширование копий в другом профиле пользователя.
- Частично перезаписываются оригиналы, если сценарий злоумышленника аварийно завершает работу во время выполнения.
Это делает автономные резервные копии, управление версиями и облачную историю основными ответами, а не еще одним этапом глубокого сканирования. Если вы не уверены, произошло ли шифрование, проверьте заголовки файлов в шестнадцатеричном редакторе или найдите примечания о выкупе и переименования расширений, а затем включите безопасность перед массовым копированием «восстановленных» файлов по сети.
Сдерживание до выздоровления
Изолируйте затронутые хосты от локальной сети, сохраните журналы брандмауэра и избегайте входа в систему с учетными данными администратора домена со скомпрометированной рабочей станции. Инструменты восстановления не заменяют реагирование на инциденты; они запускаются после того, как вы узнаете, что активная инфекция локализована.
Правоохранительные органы и компании, занимающиеся киберстрахованием, иногда требуют действий по сохранению, которые противоречат быстрому восстановлению. В случае сомнений заморозьте диск и проконсультируйтесь, прежде чем выполнять TRIM-тяжелые твердотельные накопители с помощью исследовательского сканирования.
Чтобы узнать об ожиданиях относительно шифрования и простого удаления, также прочитайте Часто задаваемые вопросы.рабочий процесс Пейдж подчеркивает, что резервное копирование и управление версиями являются долговременным решением проблемы после окончания острого кризиса.
Резервные копии, которые действительно выдерживают атаки-вымогатели
Неизменяемое объектное хранилище, автономные ленты и целевые объекты резервного копирования с однократной записью существуют, поскольку папки онлайн-синхронизации часто шифруются во время производства. Если ваша «резервная копия» — это просто еще один каталог на том же общем ресурсе NAS, предположим, что он находится в зоне действия злоумышленника.
Чего не следует делать (даже в состоянии паники)
- Не платите злоумышленникам по прихоти — привлекайте адвокатов и правоохранительные органы в каждой юрисдикции.
- Не запускайте случайные дешифраторы с ненадежных форумов вместе с производственными учетными данными.
- Не рассылайте образцы изгнанных по электронной почте; вы можете распространить вредоносное ПО или утечь личные данные.
Судебно-медицинская сохранность против скорости
Блокировщики записи и судебно-медицинские изображения звучат медленно, пока кто-нибудь не удалит единственное свидетельство бокового движения. Если ваша цель — «запустить заводскую линию», по-прежнему делайте снимки энергозависимой памяти и журналов брандмауэра, когда это позволяет политика, — одно только восстановление не восстановит временные рамки злоумышленника.
После: восстановить доверие
Меняйте учетные данные, аннулируйте сеансы и исправляйте вектор входа перед восстановлением данных — в противном случае вы профинансируете продолжение. Настольный сценарий ежеквартально, поэтому Recuva — не единственный ваш отрепетированный мускул.
Этот сайт не предоставляет юридических, страховых или платежных консультаций; решения принадлежат вашему руководству и советнику по вопросам безопасности. Recuva остается инструментом файловой системы, а не оракулом дешифрования.