[KB3433] Najlepsze praktyki ochrony przed oprogramowaniem ransomware

Ogólne najlepsze praktyki w zakresie ochrony przed oprogramowaniem ransomware - minimalizowanie ryzyka związanego ze złośliwym oprogramowaniem szyfrującym (ransomware)

• Przechowywanie kopii zapasowych systemu

  Zaplanuj regularne tworzenie kopii zapasowych systemu i przechowuj co najmniej jedną taką kopię w pamięci offline, aby chronić swoją najnowszą pracę przed atakiem.

• Uprawnienia użytkowników i ograniczenia praw

  Istnieje wiele rodzajów ograniczeń, takich jak ograniczenie dostępu do danych aplikacji, a nawet niektóre, które są wstępnie wbudowane jako obiekt zasad grupy (GPO).

  • Wyłączenie plików uruchamianych z folderów AppData i LocalAppData.

  • Blokowanie wykonywania z podkatalogu Temp (domyślnie część drzewa AppData).

  • Blokowanie plików wykonywalnych uruchamianych z katalogów roboczych różnych narzędzi do dekompresji (na przykład WinZip lub 7-Zip).

    Ponadto w programach ESET Endpoint Security/Antivirus, ESET Mail Security i ESET File Security można utworzyć reguły HIPS zezwalające na uruchamianie tylko niektórych aplikacji na komputerze i domyślnie blokujące wszystkie inne: Create a HIPS rule and enforce it on a client workstation using ESET PROTECT On-Prem.

• Nie wyłączaj Kontroli konta użytkownika (UAC)

  Nie otwieraj załączników podających się za faks, fakturę lub paragon, jeśli mają podejrzaną nazwę lub nie spodziewałeś się ich otrzymać.

  Co mogę zrobić, aby zminimalizować ryzyko ataku złośliwego oprogramowania?

• Używaj uwierzytelniania dwuskładnikowego (2FA)

  Zalecamy ESET Secure Authentication.

• Ochrona przed zagrożeniami

  Zalecamy ESET LiveGuard Advanced.

• Wyłącz makra w Microsoft Office za pomocą zasad grupy

  Office 2013/2016 (poniższy link dotyczy wersji 2013, ale są to te same ustawienia dla wersji 2016): Zaplanuj ustawienia zabezpieczeń dla makr VBA dla pakietu Office

• Aktualizuj swój system

  Aby zapewnić sobie najlepszą dostępną ochronę, należy aktualizować system operacyjny i aplikacje. Zainstaluj najnowsze aktualizacje o wysokim priorytecie oferowane w narzędziu Windows Update i sprawdzaj je regularnie lub włącz funkcję automatycznych aktualizacji. Nowe aktualizacje zabezpieczeń łatają luki w systemie i zmniejszają ryzyko ataku złośliwego oprogramowania.

• Potencjalne porty/usługi, które mogą zostać wykorzystane, jeśli pozostaną otwarte

  Aby uniemożliwić nieznanemu adresowi IP przeprowadzenie udanego ataku Brute Force, zdecydowanie zalecamy zablokowanie SMB, SQL i RDP.

  1. SMB

     Zamknij porty udostępniania plików 135-139 i 445. Porty SMB nie powinny być wystawione na działanie Internetu.

  2. SQL

     Biała lista zaufanych adresów IP, które mogą łączyć się z SQL

  3. RDP

     • Zatrzymaj zewnętrzne ataki RDP Brute Force, zamykając RDP dla połączeń zewnętrznych. Użyj VPN z uwierzytelnianiem dwuskładnikowym, aby połączyć się z siecią wewnętrzną.

     • Ustaw automatyczną blokadę konta po określonej liczbie nieudanych prób. Uwzględnij okres oczekiwania na automatyczne odblokowanie po zablokowaniu konta.

     • Wymuszanie silnych haseł

     • Wyłączanie często nieużywanych i domyślnych kont, na przykład administratora, administratora lub roota

     • Umieszczanie na białej liście określonych użytkowników i grup w celu umożliwienia logowania przy użyciu RDP

     • Umieszczanie na białej liście określonych adresów IP w celu umożliwienia połączenia RDP
       
       

• Najlepsze praktyki protokołu pulpitu zdalnego przed atakami

  Złośliwe oprogramowanie oparte na szyfrowaniu często uzyskuje dostęp do komputerów docelowych za pomocą narzędzia Remote Desktop Protocol (RDP) zintegrowanego z systemem Windows. RDP umożliwia innym osobom zdalne łączenie się z systemem, więc atakujący może nadużywać RDP do usuwania ochrony, a następnie wdrażania złośliwego oprogramowania.

  Zalecamy wyłączenie lub zmianę protokołu Remote Desktop Protocol. Jeśli nie potrzebujesz korzystać z RDP, możesz zmienić domyślny port (3389) lub wyłączyć RDP, aby chronić swój komputer przed oprogramowaniem ransomware i innymi exploitami RDP. Aby uzyskać instrukcje dotyczące wyłączania RDP, odwiedź odpowiedni artykuł Microsoft Knowledge Base poniżej:

  • Windows 11
  • Windows 10
  • Windows 8
  • Windows 7

  Więcej informacji na temat RDP można znaleźć w następującym artykule WeLiveSecurity: Pulpit zdalny (RDP) Hacking 101: Mogę zobaczyć twój pulpit stąd!

• Zabezpieczanie hasłem ustawień produktu ESET

  Jeśli jesteś użytkownikiem biznesowym, zalecamy użycie hasła w celu ochrony produktu ESET przed zmianą przez atakującego. Zapobiega to nieuwierzytelnionej modyfikacji ustawień, wyłączeniu ochrony, a nawet odinstalowaniu produktu ESET. W przypadku korzystania z protokołu RDP zalecamy użycie innego hasła niż hasło używane do poświadczeń logowania RDP.

  Więcej informacji można znaleźć na stronie how to protect your ESET product with a password.

Czy zaszyfrowane pliki można odzyskać?

Nowoczesne oprogramowanie ransomware szyfruje dane przy użyciu metod asymetrycznych i wielu rodzajów szyfrów. Krótko mówiąc, pliki są szyfrowane za pomocą klucza publicznego i nie można ich odszyfrować bez powiązanego klucza prywatnego. W przypadku obecnego oprogramowania ransomware klucz prywatny nigdy nie znajduje się na zaatakowanej stacji roboczej lub środowisku. Oznacza to, że dane będą musiały zostać przywrócone z dobrej kopii zapasowej wykonanej przed infekcją.

Jeśli kopie zapasowe nie są dostępne, można spróbować odzyskać pliki z kopii w tle. Można użyć programu Shadow Explorer, który można pobrać z następującej strony internetowej: http://www.shadowexplorer.com/downloads.html

Nierzadko jednak infekcje ransomware usuwają kopie w tle, aby uniemożliwić odzyskanie plików.

Jakie kroki należy podjąć w przypadku infekcji ransomware?

1. Odłącz komputer od sieci.

2. Zlokalizować plik TXT lub HTML z instrukcjami dotyczącymi płatności, na przykład "Jak odszyfrować" zaszyfrowane foldery współdzielone/dyski. Może to zostać wykorzystane przez naszych badaczy złośliwego oprogramowania do dalszej analizy.

3. Contact your local ESET partner for support.