Observação: este é um caso ilustrativo que combina situações típicas dos incidentes de ransomware que atendemos. Por confidencialidade, os detalhes não correspondem a nenhum cliente específico nem a datas reais. O objetivo é mostrar como abordamos tecnicamente este tipo de incidente.
Em quanto tempo uma empresa consegue voltar a operar depois de um ataque de ransomware? Depende sobretudo da rapidez com que o ataque é isolado e de quão bem os backups sobreviveram. Este caso ilustra como uma empresa de médio porte voltou a operar em 48 horas após um ataque que criptografou o seu servidor de arquivos.
O cenário: uma sexta-feira à noite
Numa sexta à noite, o servidor de arquivos de uma empresa de médio porte começou a exibir arquivos com uma extensão desconhecida e um bilhete de resgate em cada pasta. A equipe de TI encontrou o problema ao chegar no sábado de manhã, com boa parte do servidor já criptografada.
As primeiras horas: isolar antes de tudo
O primeiro passo foi desconectar o servidor da rede para impedir qualquer propagação para outras máquinas, sem desligá-lo de imediato. Em paralelo, o estado do backup foi verificado: por sorte, um backup externo que estava desconectado da rede no momento do ataque não havia sido alcançado.
Identificação da variante
O bilhete de resgate e o padrão de criptografia foram analisados para identificar a variante do ransomware. Não havia descriptografador público disponível para aquela variante, então o caminho da recuperação passou pelo backup não comprometido, em vez de qualquer consideração sobre pagar o resgate.
Restauração e retorno à produção
- Isolamento completo do servidor afetado e de qualquer máquina com acesso à mesma rede.
- Verificação da integridade do backup externo não comprometido.
- Reconstrução do servidor sobre hardware ou infraestrutura limpa, em vez de restaurar diretamente sobre a máquina comprometida.
- Restauração dos dados a partir do backup validado.
- Recomendações de endurecimento antes de reconectar o servidor à rede de produção.
A lição técnica por trás do caso
O que tornou possível voltar a operar em 48 horas não foi a velocidade da descriptografia, porque não houve nenhuma. Foi a existência de um backup externo, desconectado da rede, que o ataque não conseguiu alcançar. É a diferença entre depender de pagar um resgate sem garantias e restaurar a partir de uma cópia que nunca esteve exposta.
Serviços relacionados a este artigo
