Uw bestanden hebben plots een vreemde extensie, de mappen staan vol met een tekstbestand dat om geld vraagt, en niets opent nog. Ransomware.
De eerste beslissing die u neemt, is de belangrijkste: koppel de besmette computers los van het netwerk, maar zet ze niet uit. Dat klinkt tegenstrijdig met wat u bij andere storingen leest, en dat klopt — hier gelden andere regels.
Waarom niet uitzetten
Sommige varianten houden hun sleutel of delen daarvan in het werkgeheugen zolang de computer aan blijft. Bij afsluiten is die informatie definitief weg. Ook onderzoek naar wat er precies gebeurd is, wordt lastiger.
Netwerkkabel eruit en wifi uit is wél verstandig: dat stopt verdere verspreiding naar servers, NAS-apparaten en collega’s, zonder dat u vluchtige informatie verliest.
De eerste stappen
- Isoleer. Netwerkkabels eruit, wifi uit, op alle verdachte toestellen.
- Zet niets uit tot iemand met verstand van zaken meekijkt.
- Ontkoppel back-ups. Externe schijven en NAS-apparaten losmaken. Ransomware zoekt actief naar back-ups en versleutelt die mee.
- Herstel niets terug voor u zeker weet dat de besmetting weg is. Een back-up terugzetten op een besmet systeem levert alleen een tweede versleutelde kopie op.
- Leg vast wat u ziet. Foto’s van de melding, de extensie van de versleutelde bestanden, datum en tijdstip. Dat helpt bij het bepalen van de variant.
- Meld het. In België kan dat bij het Centrum voor Cybersecurity en bij de politie. Voor bedrijven kan er ook een meldplicht gelden bij de Gegevensbeschermingsautoriteit als er persoonsgegevens betrokken zijn.
Betalen?
Het advies van politiediensten en cybersecurity-instanties is eenduidig: niet doen. Betalen garandeert niets, financiert de volgende aanval, en markeert u als iemand die betaalt. Een deel van de slachtoffers dat betaalt, krijgt geen werkende sleutel of wordt later opnieuw getroffen.
Onderzoek eerst of er andere wegen zijn — die zijn er vaker dan u denkt.
Wat er wél mogelijk is
1. Een gratis ontsleutelaar
Van tientallen varianten bestaat een gratis hulpmiddel, omdat de makers een fout maakten of omdat opsporingsdiensten hun servers in beslag namen. Het initiatief No More Ransom, opgezet door Europol en verschillende beveiligingsbedrijven, verzamelt die. U kunt daar een versleuteld bestand en de losgeldbrief uploaden om de variant te laten herkennen.
Dit is altijd het eerste dat onderzocht hoort te worden.
2. Schaduwkopieën en oude versies
De meeste varianten wissen de schaduwkopieën van Windows, maar niet altijd volledig. Ook een NAS met momentopnames, of een clouddienst met versiegeschiedenis, kan een versie van vóór de besmetting bewaren. OneDrive, Google Drive en Dropbox houden allemaal oudere versies bij.
3. De originelen die achterbleven
Dit is het minst bekende en vaak het meest opbrengende. Veel ransomware werkt zo: het leest uw bestand, schrijft een versleutelde kopie naar een nieuwe plek, en verwijdert daarna het origineel. Dat verwijderde origineel staat op dat moment nog gewoon op de schijf, net als bij een gewone wisactie.
Met de technieken uit dataherstel zijn die originelen soms terug te halen — zonder sleutel, zonder losgeld. Hoe minder er sinds de besmetting naar die schijf geschreven is, hoe groter de kans. Ook hier geldt dus: het systeem niet blijven gebruiken.
Wat u niet moet doen
- Niet formatteren en opnieuw installeren voor u weet wat er nog te halen valt. Daarmee gooit u het bewijs én de herstelkans weg.
- Geen versleutelde bestanden wissen. Verschijnt er later een ontsleutelaar, dan heeft u ze nodig.
- Geen willekeurige “decryptor” downloaden die u ergens vindt. Een deel daarvan is zelf besmet.
- Geen antivirusprogramma alles laten opruimen voor u een kopie heeft. Sommige daarvan verwijderen precies de resten die u nog nodig had.
- Geen back-up terugzetten op een systeem dat nog besmet is.
Wat wij doen
Eerst een volledige kopie van de betrokken schijven, zodat het origineel onaangeroerd blijft en niets nog kan verslechteren. Daarna wordt in die kopie gezocht naar wat er ondanks de versleuteling nog bruikbaar is: verwijderde originelen, oudere versies, resten van schaduwkopieën. Parallel wordt uitgezocht om welke variant het gaat en of daar een bekende ontsleutelaar voor bestaat.
Voor bedrijven met stilstand is er 24/7 noodservice en een expresdiagnose in drie uur. De standaarddiagnose duurt twee werkdagen. Daarna weet u wat haalbaar is, tegen welke vaste prijs, onder no cure no pay: geen data terug, geen kosten. Alles gebeurt in onze eigen ISO-gecertificeerde cleanrooms in Oudenaarde en Kortrijk.
Meer over onze aanpak voor kmo’s en forensisch onderzoek wanneer er ook uitgezocht moet worden hoe de aanval binnenkwam.
Loopt het nu? Koppel los van het netwerk, zet niets uit, en bel 0497 22 11 00.
Lees ook
- Geen back-up gemaakt en data weg: wat nu?
- RAID 5 met twee defecte schijven: is er nog iets te redden?
Hulp nodig bij dit probleem?
Zit u met dit probleem en wilt u zekerheid? De standaarddiagnose duurt twee werkdagen; u krijgt daarna een vaste prijs vooraf, onder no cure no pay. Bekijk de prijzen of lees meer over dataherstel van harde schijven.
Twijfelt u wat te doen? Bel eerst, voordat u iets probeert: 0497 22 11 00.