Ransomware:
as primeiras horas

Un disco que falla por hardware adoita dar avisos mecánicos: golpes, estalidos, a BIOS non o detecta, ou o sistema cólgase ao arrancar. O ransomware, en cambio, deixa o disco funcionando con normalidade: o equipo arranca, o explorador de arquivos ve os cartafoles, pero cada arquivo ten unha extensión engadida e non abre co programa que lle corresponde. Case sempre aparece unha nota de rescate, un arquivo de texto ou unha imaxe de fondo nova pedindo contacto ou pagamento. Outra pista forte é que varios equipos da mesma rede presenten o mesmo problema á vez: un fallo de disco é un suceso illado nunha máquina, mentres que o ransomware se propaga e afecta a varios postos case simultaneamente. Se tes calquera dúbida sobre cal dos dous é, actúa coma se fose ransomware: desconecta ese equipo e calquera outro que comparta rede ou unidades con el antes de mirar nada máis de preto.

Depende de en que punto esteas. Se o equipo segue cifrando nese momento, desconectar a rede e deixalo aceso detén o contacto co atacante sen perder o que hai na memoria, que ás veces contén restos da clave de cifrado que unha ferramenta forense pode aproveitar. Apagalo de golpe borra esa memoria e pode deixar o cifrado a medio rematar, o que complica calquera intento de recuperación posterior. Se o proceso xa rematou e o equipo está inactivo, apagalo non cambia nada e evita que alguén o use por erro. A prioridade sempre é a rede, non o botón de apagado: desconecta cable e wifi primeiro, decide despois se o apagas, e faino só cando xa non comparta unidades nin conexión co resto da oficina. Se hai alguén que vaia analizar o equipo, pregúntalle antes de tocar o interruptor.

Non hai garantía de que a clave chegue, de que funcione en todos os arquivos, nin de que o atacante non volva pedir máis unha vez que sabe que pagas. Ademais do cifrado, moitos ataques actuais copian datos antes de cifralos, así que pagar pola clave non borra esa copia nin impide que se use ou se publique despois: son dous problemas distintos coa mesma factura. A decisión real non é «pago ou non pago», é que alternativas hai: se existe unha copia de seguridade fóra do equipo e se pode restaurar, o rescate deixa de ter sentido económico. Se non hai copia, a pregunta pasa a ser se o disco é recuperable por outra vía, o que depende do tipo de fallo e de canto se escribise por riba despois do cifrado. Pagar non resolve ningunha desas dúas preguntas, só engade unha terceira.

Formatear non é reversible e borra xusto a información que permitiría entender que pasou e, nalgúns casos, recuperar algo. O que determina se formatear é razoable é se existe unha copia de seguridade verificada, gardada fóra do equipo, que non estivese accesible para o ransomware no momento do ataque. Se esa copia existe e se pode restaurar un arquivo de proba sen problema, o equipo infectado pódese formatear con tranquilidade porque os datos xa están a salvo noutro sitio. Se non hai copia, ou non estás seguro de que a copia sexa boa, o disco non se toca: trátase como un caso de recuperación, non como algo que limpar. Nese caso formatear pecha a única vía que quedaba. A comprobación de se a copia serve é o primeiro que hai que facer, antes de decidir nada sobre o disco.

Desconéctao da rede e non o acendas «para ver se se salvou algo»: se estaba montado como unidade no equipo infectado, o ransomware probablemente xa o percorreu igual que o resto de discos. O que cambia o resultado é como estaba configurado antes do ataque. Un NAS con copias con versións ou con instantáneas que o propio ransomware non podía borrar porque non tiña permisos para modificalas conserva versións anteriores á infección, aínda que os arquivos actuais estean cifrados. Un NAS usado só como un cartafol compartido máis, sen versións nin protección de escritura, cífrase igual ca un disco local e non achega nada extra que recuperar. Antes de tocalo, hai que revisar a configuración de instantáneas ou versións do propio NAS sen restaurar nada aínda. É o mesmo principio que separa unha copia de seguridade real dun simple cartafol duplicado: a diferenza está en se o ransomware podía escribir sobre ela.

Si, especialmente se hai datos de clientes, provedores ou empregados nos equipos afectados. Presentar a denuncia non desbloquea nada nin acelera a recuperación, pero deixa constancia oficial do incidente, que pode facer falta máis adiante fronte a aseguradoras, clientes ou entidades que pregunten que pasou. Se o ataque afecta a datos persoais, hai que valorar se corresponde informar a autoridade de protección de datos e, nalgúns casos, as persoas afectadas; esa valoración depende do tipo de dato e do risco real para esas persoas, non é automática en todos os casos. Garda capturas da nota de rescate, a hora aproximada en que se detectou e que equipos estaban conectados entre si: esa información é a que pide tanto a policía como calquera asesoría legal ou de protección de datos que consultes despois. Canto antes se reúna, máis fiable é.

Só se ese equipo estaba realmente illado do infectado antes de que comezase o cifrado: sen unidades de rede compartidas, sen o mesmo NAS montado, e preferiblemente nun tramo de rede distinto. Se comparte o mesmo router ou switch sen ningunha segmentación, «seguir traballando» nel é expoñelo ao mesmo percorrido que xa seguiu o ransomware pola rede, só que unhas horas máis tarde. Antes de usalo, comproba que unidades ten mapeadas e desconéctaas aínda que parezan sas. A pregunta que decide se é seguro non é se ese PC amosa síntomas, é se tiña algunha vía de acceso ao mesmo recurso que tiña o equipo infectado. Se a resposta é que non o sabes con certeza, trátao coma se estivese en risco: desconéctao da rede ata que alguén revise toda a infraestrutura, non só o equipo que amosou os síntomas.

Non hai unha resposta única, e depende de dúas cousas que se deciden antes do incidente. A primeira é se existe unha copia de seguridade verificada e accesible: se a hai, o traballo consiste en reconstruír o equipo desde cero e restaurar sobre el, un proceso que depende do volume de datos e do número de equipos afectados. A segunda é se non hai copia, caso no que o disco entra nun proceso de recuperación cuxo alcance depende do tipo de cifrado, de se se escribiu algo por riba despois do ataque, e de se existen ferramentas capaces de reverter esa familia concreta de ransomware, que non sempre existen. O que realmente marca a diferenza entre volver rápido e quedar parado moito tempo decídese antes de que pase nada: ter unha copia fóra do equipo que o ransomware non puidese tocar. Iso é o único que está baixo o teu control hoxe.