Hackertámadás vagy zsarolóvírus után: helyreállítás úgy, hogy ne fertőződjön meg újra

Modul 8: Ha mégis baj történik · Olvasási idő: 11 perc

Tanulási cél: E lecke után végig tudja vinni a helyreállítási szakaszt egy hackertámadás vagy zsarolóvírus-támadás után: elszigetelés, a történtek kivizsgálása, tiszta helyreállítás, feljelentés, kommunikáció és tanulás a történtekből.

Kulcsfogalmak: elszigetelés, izolálás, kezdeti hozzáférés, perzisztencia, igazságügyi (forenzikus) vizsgálat, tiszta újratelepítés, helyreállítási sorrend, feljelentés, No More Ransom, váltságdíj, kiberbiztosítás, kiértékelés

A legnagyobb hiba: túl gyorsan "mindent visszaállítani"

Egy webfejlesztő kedden kap egy jelzést: az ügyfél WordPress oldala az oldal látogatóit egy hamis webáruházba irányítja át. Visszaállítja a múlt heti biztonsági mentést, az oldal újra működik, kész is. Csütörtökön megint megtörténik ugyanaz. A támadó egy elavult bővítményen keresztül jutott be, és hátrahagyott egy extra adminisztrátori fiókot és egy rejtett fájlt. A múlt heti biztonsági mentés már tartalmazta ezeket. Ha visszaállít anélkül, hogy tudná, hogyan jutott be valaki, akkor a bejárati ajtót is visszaállítja.

Ugyanez történik zsarolóvírus esetén egy irodai hálózatban is. A bűnözők gyakran már napokkal vagy hetekkel a titkosítás előtt bejutnak. Ez idő alatt extra fiókokat hoznak létre, távoli hozzáférést biztosító szoftvereket telepítenek, és megkeresik a biztonsági mentéseket. Aki csak a titkosított fájlokat állítja vissza, az a támadót is bent tartja.

A helyreállítás ezért öt lépésben zajlik, ebben a sorrendben.

1. lépés: elszigetelés

Az elszigetelés azt jelenti: gondoskodik róla, hogy a helyzet ne romoljon tovább. Az első percek teendői az incidenskártyáján szerepelnek (8.1. lecke).

• Szigetelje el az érintett eszközöket: húzza ki a hálózati kábelt, kapcsolja ki a wifit és a mobilhálózatot, vagy állítsa repülő üzemmódra. A holland NKI (NCSC) azt tanácsolja, hogy az érintett rendszereket ne kapcsolja ki, hanem válassza le a hálózatról; alvó üzemmód engedélyezett. Így a munkamemóriában lévő nyomok megmaradnak, és a terjedés megáll.
• Válassza le a külső meghajtókat és a biztonsági mentés adathordozóit, és ne csatlakoztassa őket olyan eszközhöz, amely esetleg fertőzött.
• Ha egy rendszert nem tud elszigetelni, szakítsa meg a kapcsolatot a hálózati meghajtóval. Ha az egész hálózat érintett, zárja le az internet felől (például az internetkapcsolat vagy a tűzfal lezárásával).
• A jelszavakat tiszta eszközről módosítsa, kezdve a legfontosabbakkal: adminisztrátori fiókok, e-mail, a jelszókezelő, a bank. Mindenhol léptesse ki az összes munkamenetet. Ezt ne olyan számítógépről tegye, amely esetleg infostealer kártevőt vagy billentyűzetfigyelőt tartalmaz (1.4. lecke), mert akkor az új jelszót azonnal elárulja a támadónak.
• Őrizze meg a bizonyítékot: fénykép a váltságdíjkérő üzenetről, az e-mailek, a fizetési kérések, a kriptocímek, az időpontok. Semmit ne dobjon ki.

Egy feltört weboldal esetében az elszigetelés azt jelenti: az oldalt ideiglenesen offline állapotba helyezi vagy karbantartási módba kapcsolja, minden jelszót (adminisztráció, FTP, adatbázis, tárhely) megváltoztat, és bevonja a tárhelyszolgáltatóját.

2. lépés: a történtek kivizsgálása

Három dolgot szeretne tudni:

1. Hogyan jutottak be? A kezdeti hozzáférés: egy adathalász e-mail, egy ellopott jelszó kétlépcsős azonosítás nélkül, egy elavult VPN szerver vagy bővítmény, vagy egy nyitva hagyott távoli adminisztrációs kapcsolat.
2. Mit hagytak hátra? A perzisztencia: extra fiókok, ütemezett feladatok, távoli adminisztrációs szoftver, továbbítási szabályok a postafiókokban, extra fájlok a webszerveren.
3. Mit vittek el? A modern zsarolóvírus-támadásoknál a bűnözők gyakran előbb lemásolják az adatokat, és nyilvánosságra hozatallal fenyegetőznek (kettős zsarolás, 1.3. lecke). Ilyenkor adatvédelmi incidensről is szó van (8.2. lecke).

Egy kisvállalkozás számára ezt ritkán lehet saját kezűleg elvégezni. Vonja be az IT-szolgáltatóját, vagy egy incidenskezelésre szakosodott céget. Sok kiberbiztosítás rendelkezik egy állandó telefonszámmal egy ilyen csapat eléréséhez. Egy külső cégnél kérdezze meg, milyen tapasztalata van az Ön esetéhez hasonló incidensekkel, és előre egyeztessen arról, mire terjed ki a vizsgálat.

Egy weboldal esetében segít a hozzáférési napló és a webszerver hibanaplója, a fájlok kártevőellenőrzése, valamint az összehasonlítás a CMS és a bővítmények egy tiszta másolatával.

3. lépés: tiszta helyreállítás

Csak akkor kezdje el a helyreállítást, amikor már tudja, hogyan jutott be a támadó, és az a rés már be van zárva.

Állítson helyre a tervében rögzített sorrendben (8.1. és 6.3. lecke): először azt, amire a vállalkozásnak szüksége van a továbbműködéshez. Tartsa elkülönítve a már helyreállított részt attól, amit még nem ellenőrzött.

Itt derül ki, hogy a biztonsági mentése megbízható-e. Egy olyan biztonsági mentés, amely a hálózathoz volt csatlakoztatva, gyakran szintén titkosítva vagy törölve lesz. Egy offline vagy megváltoztathatatlan biztonsági mentés (6.2. lecke) és egy tesztelt visszaállítási eljárás (6.3. lecke) jelenti a különbséget napok és hetek kiesés között.

4. lépés: feljelentés, bejelentés és váltságdíj

Feljelentés. Tegyen feljelentést a rendőrségen (https://www.police.hu/). Vigye magával a bizonyítékokat (váltságdíjkérő üzenet, e-mailek, fizetési adatok). A feljelentés szükséges a nyomozáshoz, segít a rendőrségnek összefüggéseket feltárni, és a biztosítók is gyakran kérik.

No More Ransom. A https://www.nomoreransom.org oldalon (amely többek között az Europol és a holland rendőrség kezdeményezése) felismertetheti egy titkosított fájl vagy a váltságdíjkérő üzenet alapján a támadás típusát. Egyes zsarolóvírus-családokhoz létezik ingyenes visszafejtő eszköz. A legtöbb új változathoz nem, de kevés időbe kerül megnézni.

Bejelentés. Nézze meg, mely bejelentések szükségesek: adatvédelmi incidens bejelentése a NAIH-nak (elektronikus űrlapon) 72 órán belül (8.2. lecke), jelentős incidens bejelentése az SZTFH-nál, ha az Ön vállalkozására vonatkozik a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (9.1. lecke), és amiben az ügyfeleivel vagy megbízóival megállapodott.

Váltságdíj. A holland NCSC azt tanácsolja, hogy ne fizessen váltságdíjat, a rendőrség is azt mondja: "lehetőleg ne fizessen". Ennek okai:

• Nincs garancia arra, hogy működő kulcsot kap, vagy hogy az adatokat mégsem hozzák nyilvánosságra.
• A visszakapott adatok sérültek vagy megváltoztatottak lehetnek.
• Aki fizet, az olyan személyként válik ismertté, aki fizet. Az áldozatokat néha újra megzsarolják, vagy később újra megtámadják.
• Ön finanszírozza a következő támadást.

Ha mégis fontolgatja a fizetést, vagy már fizetett, mindig jelentse be a rendőrségnek: a fizetési adatok segíthetik a nyomozást. Ez a döntés a incidenstervében kijelölt döntéshozóhoz tartozik, nem ahhoz, aki elsőként látja meg az üzenetet.

Kiberbiztosítás. Egy kiberbiztosítás fedezheti a vizsgálat, a helyreállítás és az üzleti kár költségeit, és gyakran hozzáférést biztosít egy incidenskezelő csapathoz. Olvassa el a feltételeket: sok kötvény alapvető intézkedéseket ír elő, például kétlépcsős azonosítást és biztonsági mentéseket, és gyors bejelentést kér. A holland NCSC 2025 áprilisában, több mint 500 kkv-kat érintő zsarolóvírus-incidens vizsgálata alapján azt írta, hogy a támadók a bejutás után olyan nevű fájlokat keresnek, mint "biztosítás" vagy "kötvény", hogy erősítsék tárgyalási pozíciójukat. Nézze meg tehát, mennyire könnyen találja meg egy behatoló a kötvényét, és lehetőleg ne tárolja azt egy megosztott meghajtón. Egy biztosítás nem helyettesíti az intézkedéseket: kifizeti a kárt, de nem előzi meg azt.

5. lépés: kommunikáció és tanulás

Hagyja, hogy a tervében szereplő kommunikációért felelős személy egyetlen világos történetet mondjon el a munkatársaknak, az ügyfeleknek és a beszállítóknak: mi történt, mit jelent ez számukra, mit kell tenniük (például: figyeljenek a tőlünk érkezőnek tűnő e-mailekre), és mikor hallanak újra Öntől. Az őszinte és időben történő kommunikáció jobban működik, mint a hallgatás egészen addig, amíg az ügy ki nem derül.

Tervezzen pár héten belül egy kiértékelést: mi ment jól, mi ment rosszul, mit változtat meg? Szinte mindig ugyanazok a pontok derülnek ki: valahol hiányzott a kétlépcsős azonosítás, egy rendszer nem volt frissítve, a biztonsági mentést nem tesztelték, vagy senki sem tudta, ki dönthet. Vegye fel ezeket a pontokat a 9.3. leckében szereplő tervébe, egy felelőssel és egy határidővel.

A gyakorlatban: így néz ki

Egy tárhelycsomagon feltört weboldal esetén gyakran a tárhelyszolgáltató eszközeivel dolgozik. A WebOkénál ilyen például a kártevőellenőrzés (Imunify360), a naplófájlok a DirectAdmin felületen, a biztonsági mentés visszaállítása a WebOké Backups szolgáltatásból, és egy lépésenkénti útmutató a DirectAdmin kézikönyvben. Más tárhelyszolgáltatóknál is léteznek hasonló eszközök; kérdezze meg a szolgáltatóját, mi áll rendelkezésre és meddig nyúlnak vissza a biztonsági mentések, mielőtt szüksége lenne rá.

Összefoglalás

• A helyreállítás öt lépésben zajlik: elszigetelés, kivizsgálás, tiszta helyreállítás, feljelentés és bejelentés, kommunikáció és tanulás.
• Szigetelje el, ne kapcsolja ki, és a jelszavakat csak tiszta eszközről módosítsa.
• Ne állítson vissza semmit, mielőtt tudná, hogyan jutott be a támadó; különben a bejárati ajtót is visszaállítja.
• A fertőzött eszközöket telepítse újra, és a behatolás előtti biztonsági mentésből állítson helyre.
• Tegyen feljelentést, nézze meg a No More Ransom oldalt, és lehetőleg ne fizessen váltságdíjat.

Kvíz

Feladat

A8.3 feladat: Állítsa helyes sorrendbe a helyreállítást. Kap egy esettanulmányt és tíz külön lépést (például "biztonsági mentés visszaállítása", "hálózati kábel kihúzása", "kivizsgálni, hogyan jutott be a támadó", "feljelentés megtétele"). Állítsa őket a megfelelő sorrendbe. A program ellenőrzi, hogy a rögzített sorrendi szabályok teljesülnek-e (például: elszigetelés a visszaállítás előtt, az ok felderítése a visszaállítás előtt, újratelepítés az adatok visszaállítása előtt), és minden hibánál elmagyarázza, miért.

További olvasnivaló

A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DirectAdmin útmutató 18.2: A weboldalamat feltörték: lépésről lépésre útmutató
• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• Imunify360 szkenner
• WebOké Biztonsági mentések: biztonsági mentés megtekintése, visszaállítása vagy letöltése
• A holland NCSC, Mit tegyen egy zsarolóvírus-támadás esetén?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• A holland NCSC, Zsarolóvírus a kkv-szektorban: a kiberbűnözők magasabb váltságdíjat kérnek kiberbiztosítás esetén: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org