De eerste 24 uur van een ransomware-incident

De eerste dag van een ransomware-incident bepaalt hoeveel u verliest, hoe lang het herstel duurt en of u later kunt uitleggen wat er is gebeurd. De eerste neiging is alles uit te zetten en te beginnen met terugzetten. Neem net genoeg tijd om de aanval in te dammen zonder het bewijs te vernietigen dat u later nodig hebt.

Uur 0 tot 1: indammen zonder bewijs te vernietigen

Koppel getroffen systemen los van het netwerk: trek de kabel eruit, schakel wifi uit, sluit de switchpoort of gebruik de isolatiefunctie van uw endpointbeveiliging. Lijken meerdere systemen of hele subnetten getroffen, isoleer dan op switchniveau in plaats van machine voor machine.

Zet machines niet uit, tenzij u ze niet kunt loskoppelen. De #StopRansomware Guide van CISA ziet uitschakelen als noodoplossing voor apparaten die niet van het netwerk kunnen worden gehaald, omdat afsluiten het bewijs in het geheugen vernietigt. Wis of herinstalleer ook nog niets en draai nog geen opschoontools.

Laat het losgeldbericht en de versleutelde bestanden staan waar ze staan. Maak foto’s van schermen waarop het bericht te zien is.

Communiceer via een apart kanaal

Ga ervan uit dat de aanvaller uw e-mail en chat kan meelezen. CISA raadt aan de respons via een ander kanaal te coördineren, bijvoorbeeld telefonisch, zodat de aanvaller niet wordt gewaarschuwd. Zet een telefonische vergadering of een berichtengroep op met apparaten die geen deel uitmaakten van de getroffen omgeving.

Wijs één incidentleider aan. Begin een schriftelijk logboek waarin u elke beslissing en actie met tijdstip vastlegt. U hebt het nodig voor toezichthouders, verzekeraars en uw eigen evaluatie na afloop.

Stel bewijs veilig

Leg vast wat het onderzoek nodig heeft, voordat er iets opnieuw wordt opgebouwd:

• een schijfkopie en een geheugendump van een steekproef van getroffen machines, zoals CISA aanraadt
• logs van firewalls, VPN, endpointbeveiliging, domeincontrollers, e-mail en clouddiensten
• het losgeldbericht, een paar versleutelde bestanden en de bestandsextensie die de malware heeft toegevoegd

Logs op getroffen systemen zijn mogelijk gewijzigd of verwijderd. Het Europees Comité voor gegevensbescherming (EDPB) waarschuwt dat een ontbrekende logregel niet bewijst dat er geen gegevens zijn weggesluisd, en raadt aan logs door te sturen naar een centrale server. Exporteer wat u hebt voordat bewaarinstellingen het overschrijven.

Bepaal de omvang

De versleutelde bestanden laten zien waar de aanval eindigde, niet waar hij begon. CISA adviseert te zoeken naar malware uit eerdere fasen en naar tekenen van gegevensdiefstal. Probeer vier vragen te beantwoorden:

1. Welke systemen en gegevens zijn versleuteld of getroffen?
2. Welke accounts heeft de aanvaller gebruikt? Zoek naar nieuwe accounts, accounts met onlangs verhoogde rechten en ongebruikelijke activiteit van beheerders.
3. Hoe is de aanvaller binnengekomen? Controleer bijvoorbeeld toegang op afstand zonder MFA, niet-gepatchte systemen die vanaf het internet bereikbaar zijn en recente phishingmails.
4. Zijn er gegevens naar buiten gekopieerd? Controleer firewall- en proxylogs op grote uitgaande overdrachten.

De laatste vraag bepaalt voor een groot deel uw juridische positie. Behandel elke onzekerheid daarom als "mogelijk wel" totdat u het kunt uitsluiten.

Reset inloggegevens in de juiste volgorde

Ga ervan uit dat de aanvaller elk wachtwoord en elke sleutel kent die op een getroffen systeem is gebruikt of opgeslagen. Reset vanaf een schoon apparaat, nooit vanaf een machine in het getroffen netwerk.

Wie reset terwijl de aanvaller nog voet aan de grond heeft, geeft hem misschien gewoon de nieuwe wachtwoorden. In de checklist van CISA volgt de volledige reset pas nadat de omgeving is opgeschoond en opnieuw opgebouwd. Toch kan het nodig zijn de machtigste accounts al eerder met spoed te resetten om de toegang af te snijden. Spreek de volgorde af met uw incidentresponders. Een verstandige volgorde is:

1. Beheerders van het domein en van de identiteitsdienst in de cloud, en eventuele noodaccounts (break-glass)
2. Beheerders van back-up, hypervisors en opslag
3. Beheerders van toegang op afstand, VPN en firewalls
4. Serviceaccounts, vooral die met ruime rechten
5. In Active Directory het account krbtgt, twee keer. De richtlijnen voor forestherstel van Microsoft leggen uit waarom twee resets nodig zijn en hoe lang u ertussen moet wachten.
6. Alle overige gebruikers, waarbij bestaande sessies en tokens worden ingetrokken

Controleer uw back-ups voordat u erop vertrouwt

CISA merkt op dat veel ransomwarevarianten zoeken naar bereikbare back-ups en die verwijderen of versleutelen. Stel daarom vast welke back-upkopieën intact zijn, wanneer de laatste schone kopie is gemaakt en of u daaruit kunt terugzetten, voordat u het herstel plant.

Zet eerst terug in een geïsoleerde omgeving. CISA waarschuwt dat droppers en vergelijkbare tools uit eerdere fasen moeten worden gevonden voordat u vanuit back-ups opnieuw opbouwt. Anders zet u het probleem samen met de gegevens terug.

Juridische en wettelijke termijnen

Verschillende termijnen kunnen ingaan op het moment dat u van het incident op de hoogte raakt. Ze lopen naast elkaar.

Ransomware is meestal een inbreuk op de beschikbaarheid, en vaak ook op de vertrouwelijkheid. In de uitgewerkte voorbeelden van het EDPB hoeft een aanval met een goede back-up en zonder weggesluisde gegevens mogelijk niet te worden gemeld, maar moet die wel intern worden gedocumenteerd op grond van artikel 33, lid 5. Een aanval zonder bruikbare back-up, of waarbij gegevens zijn gestolen, moet in het algemeen wel worden gemeld. Lopen mensen een hoog risico, bijvoorbeeld door gestolen identiteitsbewijzen, dan moeten ook zij worden ingelicht.

U hebt geen volledige antwoorden nodig om deze termijnen te halen. De meldingen onder NIS2 zijn bewust in fasen opgezet, en onder artikel 33, lid 4, AVG mag informatie in stappen worden verstrekt, zonder onredelijke verdere vertraging. Controleer ook uw cyberverzekering, die eigen meldingseisen kan stellen, en doe aangifte bij de politie.

Betalen of niet betalen

Het Britse NCSC en de Britse opsporingsdiensten moedigen betalen niet aan en keuren het niet goed. Betalen garandeert niet dat u uw gegevens terugkrijgt. Uw systemen blijven besmet, en u kunt opnieuw doelwit worden. Het project No More Ransom, gesteund door Europol en de Nederlandse politie, publiceert gratis decryptietools voor sommige ransomwarefamilies; kijk daar dus eerst.

Betalen kan ook onrechtmatig zijn. Het Office of Foreign Assets Control (OFAC) van het Amerikaanse ministerie van Financiën heeft gewaarschuwd dat losgeldbetalingen aan gesanctioneerde personen in strijd kunnen zijn met Amerikaanse sanctieregels. Civielrechtelijke boetes kunnen dan gelden op basis van risicoaansprakelijkheid. De EU-Verordening 2019/796 betreffende cyberaanvallen verbiedt het ter beschikking stellen van geld aan de personen die erin worden genoemd. Een beslissing over betalen hoort bij het management, juridisch adviseurs en de politie, niet bij het IT-team midden in de nacht.

Wat u niet moet doen

• Zet machines niet uit, tenzij u ze niet kunt isoleren.
• Sluit systemen niet opnieuw aan en zet niets terug voordat u weet hoe de aanvaller is binnengekomen.
• Onderhandel niet met de aanvaller en antwoord niet zonder deskundig en juridisch advies.
• Bespreek het incident niet via zakelijke e-mail of chat die mogelijk wordt meegelezen.
• Verwijder niets, ook het losgeldbericht niet.

Waar u begint, voordat het gebeurt

• Print uw incidentplan en contactlijst, en bewaar kopieën buiten het netwerk.
• Spreek vooraf af wie toestemming mag geven om systemen offline te halen.
• Houd minstens één back-upkopie die niet met beheerdersrechten kan worden verwijderd, en test het terugzetten.
• Noteer nu al uw contactpunten voor meldingen onder de AVG, NIS2 en de KVKK.
• Regel ondersteuning bij incidentrespons voordat u die nodig hebt.

Hebt u nu met een incident te maken? Ons incidentresponsteam helpt u het in te dammen en deze stappen te doorlopen.