O ransomware e as cópias de segurança

O ransomware é um programa malicioso que criptografa os arquivos de um computador e da rede e cobra um resgate para devolvê-los. Em uma loja, o ataque para o caixa, o banco de dados e a emissão de documentos de uma vez, e a recuperação depende de cópias que o ataque não conseguiu alcançar.

Como o ataque acontece

O ransomware costuma entrar por caminhos conhecidos:

• a Área de Trabalho Remota exposta na internet, com senhas fracas;
• uma ferramenta de acesso remoto com senha vazada ou repetida;
• um anexo ou um link em um e-mail falso;
• um sistema sem as atualizações de segurança.

Depois de entrar, o ataque costuma se espalhar antes de criptografar, e as pastas compartilhadas, as unidades mapeadas como a Z: e os outros computadores da rede entram no alcance. Os grupos de ransomware também costumam apagar as cópias de sombra do Windows, que guardam as versões anteriores dos arquivos, e procuram as cópias de segurança acessíveis para apagar ou criptografar. Muitos grupos ainda copiam os dados antes da criptografia e ameaçam publicá-los, a chamada dupla extorsão.

Os sinais

Alguns sinais costumam aparecer juntos:

• arquivos que não abrem e passam a ter uma extensão desconhecida;
• um arquivo de texto com instruções de pagamento em várias pastas;
• o papel de parede trocado por um aviso de resgate;
• o antivírus desativado sem explicação;
• o serviço do MySQL que não inicia, porque os arquivos da pasta de dados foram criptografados.

A primeira resposta

A ordem das ações limita o estrago:

1. o isolamento dos computadores afetados, com o cabo de rede desconectado ou o Wi-Fi desligado, ou com a rede inteira desligada no switch quando vários computadores parecem afetados;
2. o computador mantido ligado, com o desligamento só quando não há como tirá-lo da rede, porque ele apaga vestígios que ajudam a investigação;
3. o aviso imediato ao responsável pela farmácia, que decide sobre a comunicação do incidente;
4. a preservação das mensagens de resgate, dos logs e dos horários;
5. a identificação da porta de entrada, para que a restauração não traga o ataque de volta;
6. a restauração a partir de cópias limpas, pela ordem de prioridade dos serviços, com a troca das senhas de todas as contas envolvidas.

O pagamento do resgate não garante a devolução dos arquivos. Durante todo o atendimento, nenhum disco de backup é ligado a um computador que ainda pode estar infectado.

As cópias que resistem ao ataque

Uma cópia ao alcance do ataque é criptografada junto. A cópia no mesmo disco, a cópia em uma pasta compartilhada do servidor da loja e o disco externo ligado o tempo todo não protegem contra o ransomware. Uma pasta sincronizada com a nuvem também não é uma cópia de segurança: os arquivos criptografados no computador seguem para a nuvem, e só o histórico de versões do serviço, quando existe, permite voltar.

A regra 3-2-1 resume uma estrutura que resiste:

• 3 cópias: os dados em uso e mais duas cópias;
• 2 tipos de mídia: como um disco externo e um serviço na nuvem;
• 1 cópia fora do local: longe da loja, para resistir também a um incêndio ou a um furto.

Algumas práticas completam a regra:

• uma cópia desligada da rede, conectada só durante a gravação, ou um armazenamento imutável, que impede apagar e alterar as cópias por um período;
• as cópias criptografadas, para que um disco perdido não exponha os dados pessoais;
• várias gerações de cópia, como diárias e semanais, porque o ataque pode ter começado dias antes de ser percebido;
• o teste periódico da restauração;
• uma imagem limpa da instalação dos caixas, que acelera a reconstrução.