Ransomwarea:
lehen orduak

Hardwareagatik huts egiten duen disko batek abisu mekanikoak eman ohi ditu: kolpekadak, klik-hotsak, BIOSak ez du antzematen, edo sistema blokeatu egiten da abiaraztean. Ransomwareak, aldiz, diskoa normal funtzionatzen uzten du: gailua abiarazten da, fitxategi-arakatzaileak karpetak ikusten ditu, baina fitxategi bakoitzak luzapen gehigarri bat du eta ez da dagokion programarekin irekitzen. Ia beti erreskate-ohar bat agertzen da: testu-fitxategi bat edo hondo-irudi berri bat, kontaktua edo ordainketa eskatzen duena. Beste seinale sendo bat da sare bereko hainbat gailuk arazo bera aldi berean izatea: disko-hutsegite bat makina bateko gertaera isolatua da, eta ransomwarea, berriz, hedatu egiten da eta ia aldi berean eragiten die hainbat lanposturi. Bietako zein den zalantzarik baduzu, jokatu ransomwarea balitz bezala: deskonektatu gailu hori eta harekin sarea edo unitateak partekatzen dituen beste edozein, ezer gehiago gertutik begiratu aurretik.

Zein puntutan zauden, horren araberakoa da. Gailua une horretan zifratzen ari bada, sarea deskonektatu eta piztuta uzteak erasotzailearekiko kontaktua eteten du memorian dagoena galdu gabe, eta memoria horrek batzuetan zifratze-gakoaren hondarrak ditu, tresna forentse batek aprobetxa ditzakeenak. Bat-batean itzaltzeak memoria hori ezabatzen du, eta zifratzea erdizka utz dezake, eta horrek ondorengo berreskuratze-saiakera oro zailtzen du. Prozesua amaituta badago eta gailua geldirik badago, itzaltzeak ez du ezer aldatzen, eta norbaitek nahi gabe erabil dezan saihesten du. Lehentasuna beti sarea da, ez itzaltzeko botoia: deskonektatu kablea eta wifia lehenik, erabaki gero itzaliko duzun, eta egin bulegoaren gainerakoarekin unitaterik edo konexiorik partekatzen ez duenean bakarrik. Gailua aztertuko duen norbait badago, galdetu etengailua ukitu aurretik.

Ez dago bermerik gakoa iritsiko denik, fitxategi guztietan funtzionatuko duenik, edo erasotzaileak ordaintzen duzula jakin ondoren gehiago eskatuko ez duenik. Zifratzeaz gain, gaur egungo eraso askok datuak kopiatzen dituzte zifratu aurretik; beraz, gakoagatik ordaintzeak ez du kopia hori ezabatzen, ezta gero erabil edo argitara dadin eragozten ere: bi arazo desberdin dira faktura berarekin. Benetako erabakia ez da «ordaindu ala ez», baizik eta zer alternatiba dauden: gailutik kanpo segurtasun-kopia bat badago eta leheneratu badaiteke, erreskateak ez du zentzu ekonomikorik. Kopiarik ez badago, galdera bihurtzen da diskoa beste bide batetik berreskura daitekeen, eta hori hutsegite motaren eta zifratzearen ondoren gainean zenbat idatzi den araberakoa da. Ordaintzeak ez du bi galdera horietako bat ere konpontzen; hirugarren bat gehitzen du soilik.

Formateatzea ez da itzulgarria, eta zer gertatu zen ulertzeko eta, kasu batzuetan, zerbait berreskuratzeko aukera emango lukeen informazioa ezabatzen du hain zuzen. Formateatzea zentzuzkoa den ala ez zehazten duena da egiaztatutako segurtasun-kopia bat dagoen, gailutik kanpo gordeta, eraso-unean ransomwarearentzat eskuragarri ez zegoena. Kopia hori badago eta proba-fitxategi bat arazorik gabe leheneratu badaiteke, kutsatutako gailua lasai formatea daiteke, datuak beste leku batean salbu daudelako. Kopiarik ez badago, edo kopia ona den ziur ez bazaude, diskoa ez da ukitzen: berreskuratze-kasu gisa tratatzen da, ez garbitu beharreko zerbait gisa. Kasu horretan formateatzeak geratzen zen bide bakarra ixten du. Kopiak balio duen egiaztatzea da egin beharreko lehen gauza, diskoari buruz ezer erabaki aurretik.

Deskonektatu saretik eta ez piztu «zerbait salbatu den ikusteko»: kutsatutako gailuan unitate gisa muntatuta bazegoen, ziurrenik ransomwareak dagoeneko korritu du beste diskoak bezala. Emaitza aldatzen duena da erasoaren aurretik nola zegoen konfiguratuta. Bertsiodun kopiak edo ransomwareak berak ezabatu ezin zituen argazkiak (snapshotak) dituen NAS batek, haiek aldatzeko baimenik ez zuelako, infekzioaren aurreko bertsioak gordetzen ditu, egungo fitxategiak zifratuta egon arren. Partekatutako beste karpeta bat bezala soilik erabilitako NAS bat, bertsiorik eta idazketa-babesik gabe, disko lokal bat bezala zifratzen da, eta ez du berreskuratzeko ezer gehigarririk ematen. Ukitu aurretik, NASaren beraren argazkien edo bertsioen konfigurazioa berrikusi behar da, oraindik ezer leheneratu gabe. Benetako segurtasun-kopia bat bikoiztutako karpeta soil batetik bereizten duen printzipio bera da: aldea ransomwareak haren gainean idatz zezakeen ala ez dago.

Bai, batez ere eragindako gailuetan bezeroen, hornitzaileen edo langileen datuak badaude. Salaketa jartzeak ez du ezer desblokeatzen, ezta berreskuratzea azkartzen ere, baina gertakariaren erregistro ofiziala uzten du, eta hori beharrezkoa izan daiteke aurrerago aseguru-etxeen, bezeroen edo zer gertatu zen galdetzen duten erakundeen aurrean. Erasoak datu pertsonalei eragiten badie, baloratu behar da datuak babesteko agintaritzari jakinarazi behar zaion eta, kasu batzuetan, eragindako pertsonei; balorazio hori datu motaren eta pertsona horientzako benetako arriskuaren araberakoa da, ez da kasu guztietan automatikoa. Gorde erreskate-oharraren pantaila-argazkiak, gutxi gorabehera zer ordutan antzeman zen eta zer gailu zeuden elkarren artean konektatuta: informazio hori da poliziak eta gero kontsultatzen duzun edozein aholkularitza juridikok edo datu-babesekoak eskatzen dutena. Zenbat eta lehenago bildu, orduan eta fidagarriagoa da.

Gailu hori kutsatutakotik benetan isolatuta bazegoen zifratzea hasi aurretik bakarrik: sareko unitate partekaturik gabe, NAS bera muntatu gabe, eta ahal izanez gero sare-tarte desberdin batean. Router edo switch bera partekatzen badu inolako segmentaziorik gabe, hartan «lanean jarraitzea» ransomwareak sarean dagoeneko egin zuen ibilbide berari esposatzea da, ordu batzuk beranduago besterik ez. Erabili aurretik, egiaztatu zer unitate dituen mapatuta eta deskonektatu, osasuntsu badirudite ere. Segurua den erabakitzen duen galdera ez da PC horrek sintomarik erakusten duen, baizik eta kutsatutako gailuak zuen baliabide berera sartzeko biderik zuen. Erantzuna ziur ez dakizula bada, tratatu arriskuan balego bezala: deskonektatu saretik norbaitek azpiegitura osoa berrikusi arte, ez sintomak erakutsi zituen gailua bakarrik.

Ez dago erantzun bakarrik, eta gertakariaren aurretik erabakitzen diren bi gauzaren araberakoa da. Lehena da egiaztatutako eta eskuragarri dagoen segurtasun-kopia bat dagoen: badago, lana gailua hutsetik berreraikitzea eta haren gainean leheneratzea da, datu-bolumenaren eta eragindako gailu kopuruaren araberako prozesua. Bigarrena da kopiarik ez dagoen kasua: orduan diskoa berreskuratze-prozesu batean sartzen da, eta haren irismena zifratze motaren araberakoa da, erasoaren ondoren gainean zerbait idatzi den ala ez, eta ransomware-familia zehatz hori desegiteko gai diren tresnak dauden ala ez, beti ez baitaude. Azkar itzultzearen eta denbora luzez geldirik geratzearen arteko benetako aldea ezer gertatu aurretik erabakitzen da: ransomwareak ukitu ezin zuen gailutik kanpoko kopia bat izatea. Hori da gaur zure kontrolpean dagoen gauza bakarra.