Tindak Balas Ransomware di Malaysia: Bendung, Bina Semula dan Pulih daripada Sandaran

Jika serangan sedang berlaku sekarang

Jika fail di komputer anda tiba-tiba disulitkan dan ada nota tebusan di skrin, tindakan dalam jam pertama menentukan sama ada operasi boleh dibendung dan dipulihkan. Panggil kami di 017-355 5725 (waktu panggilan: Isnin–Jumaat, 9 pagi–6 petang) untuk mengesahkan ketersediaan semasa. Di luar waktu itu, hantar mesej WhatsApp ke 012-770 7120 dengan gambar nota tebusan. Sementara itu, lakukan langkah-langkah di bawah.

Lakukan lima perkara ini mengikut turutan.

Ada juga perkara yang jangan dilakukan: jangan bayar tebusan sebelum penilaian, jangan padam atau pasang semula mesin yang terjejas, jangan but semula atau letakkan mesin yang disulitkan dalam mod tidur atau hibernasi, jangan padam nota tebusan atau fail malware, jangan cucuk pemacu USB atau peranti peribadi, dan jangan lewatkan nasihat undang-undang serta insurans tentang kemungkinan kewajipan pemberitahuan.

• 1. Cabut kabel rangkaian dan matikan Wi-Fi pada mesin yang terjejas
• 2. Jika penyulitan masih berjalan (fail berubah nama satu demi satu), putuskan rangkaian serta-merta. Jangan tutup paksa melainkan pasukan IT atau kami mengarahkannya, kerana memori yang masih hidup membantu siasatan
• 3. Ambil gambar nota tebusan dengan telefon
• 4. Kenal pasti siapa memegang kelayakan pentadbir sandaran
• 5. Senaraikan lampiran atau pautan yang baru dibuka

Apa yang termasuk dalam kerja ini

Kerja mengikut rangka kerja lima fasa yang disesuaikan dengan sistem yang terjejas, bukti yang ada dan skop yang dipersetujui. Hasil serahan dan masa sebenar ditetapkan selepas penilaian awal.

• Pengasingan dan semakan awal: pengasingan rangkaian, penentuan skop yang terjejas, pengenalpastian penyerang dan pengesahan keadaan sandaran
• Siasatan forensik: analisis tanda-tanda pencerobohan, cara penyerang mula-mula masuk, pemetaan pergerakan penyerang dalam rangkaian anda dan penilaian sama ada data dikeluarkan
• Pemulihan dan bina semula: sistem yang terjejas dibina semula dengan bersih, pemulihan daripada sandaran yang disahkan, penukaran kelayakan dan penguatkuasaan MFA
• Pengukuhan: kitaran tampalan, pemasangan EDR, penalaan keselamatan e-mel, sandaran yang tidak boleh diubah atau dipadam (immutable), pembahagian rangkaian dan kemas kini dasar
• Rekod untuk peraturan dan insurans: garis masa teknikal insiden dan rekod pembaikan untuk disemak oleh penasihat undang-undang, penanggung insurans dan pengawal selia anda

Bila perkhidmatan ini sesuai, dan bila tidak

Perkhidmatan ini untuk PKS Malaysia yang sedang menghadapi insiden ransomware, atau yang mahu merancang tindak balas sebelum ia berlaku. Untuk insiden aktif, telefon dahulu untuk mengesahkan ketersediaan. Borang di halaman versi Inggeris lebih sesuai untuk pemulihan berskop, pengukuhan atau perancangan latihan meja.

Jika anda tidak mempunyai sandaran yang boleh dipercayai, keadaan lebih sukar tetapi tidak semestinya mustahil. Pilihan pemulihan bergantung pada apa yang masih ada, dan kami akan jujur tentang pilihan yang realistik sebelum kerja bermula.

Jika anda memerlukan pasukan tindak balas insiden dengan komitmen masa tertentu, anda patut menyemak sama ada perkhidmatan kami sesuai, kerana kami tidak menjanjikan masa respons sebelum mengesahkan ketersediaan.

Pemulihan bermaksud memulihkan daripada sandaran atau bina semula

Perlu dijelaskan apa yang kami maksudkan dengan pemulihan. Di sini, pemulihan bermaksud memulihkan sistem daripada sandaran yang disahkan bersih atau membina semula sistem dengan bersih. Ia tidak bermaksud perkhidmatan pemulihan data untuk fail yang telah disulitkan atau terpadam tanpa sandaran.

TechFix tidak menyediakan perkhidmatan pemulihan data, dan kerja sebegitu dirujuk kepada makmal pakar. Apabila penilaian mendapati ada penyahsulit yang tersedia, itu disebut sebagai salah satu pilihan yang dinilai, tetapi tiada hasil yang dijamin.

Soalan paling kerap ialah sama ada fail boleh dipulihkan tanpa membayar tebusan. Kadangkala boleh, jika penyahsulit percuma wujud untuk jenis ransomware anda. Semak nomoreransom.org sebelum membuat sebarang keputusan, dan laporkan insiden kepada MyCERT (CyberSecurity Malaysia). Tiada hasil yang dijamin.

Sebab itu sandaran yang disahkan sangat penting. Sebelum apa-apa dipulihkan, kami menyemak keadaan sandaran, menentukan sama ada ia bersih dan memastikan persekitaran dibina semula sebelum data dipulihkan, supaya jangkitan tidak kembali.

Urutan kerja semasa insiden

Langkah pertama ialah mengesahkan ketersediaan dan saluran respons. Masa respons bergantung pada ketersediaan pasukan, lokasi, keterukan insiden, keperluan akses dan sama ada semakan awal dari jauh selamat. Kami mengesahkan saluran, permulaan terawal dan sebarang keperluan di tapak sebelum kerja diterima.

Selepas itu, kami mengutamakan pembendungan dan pemeliharaan bukti. Mesin diasingkan daripada rangkaian tanpa ditutup paksa, log dikumpulkan dan keadaan sandaran disahkan. Tujuannya ialah mengekalkan pilihan, termasuk pilihan undang-undang dan insurans, sebelum sebarang keputusan pemulihan dibuat.

Pemulihan dijalankan mengikut keutamaan perniagaan: sistem mana perlu hidup dahulu, siapa mengesahkan data yang dipulihkan dan bila pengguna boleh mula bekerja semula. Penukaran kelayakan dan MFA dikuatkuasakan sebelum sistem disambung kembali.

Selepas pemulihan, pengukuhan dirancang mengikut penemuan. Cadangan bergantung pada apa yang ditemui dan disebut harga berasingan jika pelaksanaan diperlukan.

Tebusan, insurans dan pemberitahuan PDPA

Tiada hasil yang boleh dijamin. Penilaian kami mengutamakan pembendungan, pemeliharaan bukti, sandaran yang disahkan, pilihan pembinaan semula yang bersih dan penyahsulit yang tersedia. Keputusan tentang tebusan, sekatan, insurans atau rundingan patut dibuat bersama penasihat undang-undang, insurans dan tindak balas insiden yang layak.

Kami boleh mendokumenkan kerja teknikal yang dipersetujui, tanda pencerobohan yang dilihat dan langkah pemulihan. Keperluan penanggung insurans, pengawal selia, penguat kuasa undang-undang dan penjagaan bukti (siapa pegang apa, bila) mesti disahkan dengan pihak berkaitan sebelum kerja bermula.

Untuk kewajipan pemberitahuan PDPA, lihat halaman PDPA dari sisi IT di bahagian halaman berkaitan. Dalam kes ransomware, kami membekalkan garis masa teknikal insiden; nasihat undang-undang tetap daripada penasihat anda.

Bagaimana kerja insiden disebut harga

Tiada harga tetap untuk insiden diiklankan. Harga disebut selepas semakan skop awal, kerana bilangan titik akhir, sistem yang terjejas, keperluan bukti, perjalanan, pilihan pemulihan dan sokongan pakar mengubah kerja dengan ketara.

Sebut harga memisahkan kerja pembendungan dan siasatan, kerja pemulihan dan pembinaan semula, serta pengukuhan selepas insiden. Perkakasan gantian, lesen EDR atau sandaran baharu dan bantuan pakar pihak ketiga ditunjukkan sebagai baris sendiri.

Selepas pemulihan: apa yang mengelakkan ia berulang

Skop selepas insiden boleh merangkumi MFA, perlindungan titik akhir, semakan keselamatan e-mel, tampalan, seni bina sandaran, pembahagian rangkaian dan perancangan latihan meja. Cadangan bergantung pada penemuan dan disebut harga berasingan jika pelaksanaan diperlukan.

Kebanyakan insiden ransomware bermula daripada perkara biasa: kelayakan yang dicuri, e-mel pancingan data, perisian yang tidak ditampal atau akses jauh yang terdedah. Sandaran yang tidak boleh diubah atau dipadam dan diuji berkala mengubah insiden daripada krisis kepada kerja pemulihan yang boleh diramal.

Jika anda mahu bersedia sebelum sebarang insiden, latihan meja dan semakan sandaran boleh dirancang terlebih dahulu, dan halaman operasi keselamatan terurus kami menerangkan pemantauan yang boleh ditambah.

Halaman berkaitan

• Keselamatan siber PKSKawalan asas sebelum insiden berlaku.
• Sokongan pelayanPemulihan pelayan daripada sandaran yang disahkan.
• Servis IT terurus
• Keselamatan titik akhirEDR dan tampalan selepas pembinaan semula.
• Operasi keselamatan terurusPemantauan supaya insiden dikesan lebih awal.
• Persediaan pelayan perniagaan kecilSeni bina sandaran yang boleh diuji.
• PDPA dari sisi ITKewajipan pemberitahuan dan kawalan teknikal.
• Hubungi TechFix