Etter et hack eller løsepengevirus: gjenopprette uten å bli smittet på nytt

Modul 8: Når noe går galt · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du gjennomføre gjenopprettingsfasen etter et hack eller løsepengevirus: begrense skaden, finne ut hva som skjedde, gjenopprette rent, anmelde, kommunisere og lære av hendelsen.

Nøkkelbegreper: begrense skade, isolere, første inntrengningspunkt, persistens, teknisk etterforskning, ren ominstallering, gjenopprettingsrekkefølge, anmeldelse, No More Ransom, løsepenger, cyberforsikring, evaluering

Den største feilen: å "gjenopprette alt" for raskt

En nettutvikler får en melding på en tirsdag: WordPress-nettstedet til en kunde sender besøkende videre til en falsk nettbutikk. Han gjenoppretter sikkerhetskopien fra forrige uke, nettstedet fungerer igjen, ferdig. Torsdag skjer det igjen. Angriperen hadde kommet inn via et utdatert programtillegg og hadde lagt igjen en ekstra administratorkonto og en skjult fil. Sikkerhetskopien fra forrige uke inneholdt allerede dette. Å gjenopprette uten å vite hvordan noen kom seg inn, setter også døren tilbake på vidt gap.

Det samme skjer ved løsepengevirus i et kontornettverk. Kriminelle har ofte vært inne i dagevis eller ukevis før de krypterer. I den tiden lager de ekstra kontoer, installerer programvare for fjerntilgang og leter etter sikkerhetskopiene. Den som bare gjenoppretter de krypterte filene, lar angriperen bli værende.

Gjenoppretting foregår derfor i fem steg, i denne rekkefølgen.

Steg 1: begrens skaden

Å begrense skaden betyr: sørge for at det ikke blir verre. De første minuttene står på hendelseskortet ditt (leksjon 8.1).

• Isoler rammede enheter: koble fra nettverkskabelen, slå av wifi og mobilnettverk, eller sett på flymodus. Det nederlandske NCSC anbefaler å ikke slå av rammede systemer, men å koble dem fra; hvilemodus er greit. Slik bevares spor i arbeidsminnet, og spredningen stanser.
• Koble fra eksterne disker og sikkerhetskopimedier og koble dem ikke til en enhet som muligens er smittet.
• Kan du ikke isolere et system, bryt da forbindelsen til nettverksdisken. Er hele nettverket rammet, koble det fra internett (for eksempel ved å stenge internettforbindelsen eller brannmuren).
• Endre passord fra en ren enhet, start med de viktigste: administratorkontoer, e-post, passordbehandleren, banken. Logg ut alle økter overalt. Ikke gjør dette fra en datamaskin som muligens inneholder en infostealer eller tastaturlogger (leksjon 1.4), for da leser du det nye passordet rett opp for angriperen.
• Ta vare på bevis: bilde av løsepengemeldingen, e-postene, betalingskrav, kryptoadresser, tidspunkt. Kast ingenting.

Ved et hacket nettsted betyr det å begrense skaden: ta nettstedet midlertidig offline eller sette det i vedlikeholdsmodus, endre alle passord (administrasjon, FTP, database, webhotell) og kontakte webhotell-leverandøren din.

Steg 2: finn ut hva som skjedde

Du vil vite tre ting:

1. Hvordan kom de inn? Det første inntrengningspunktet: en phishing-e-post, et stjålet passord uten 2FA, en utdatert VPN-server eller et utdatert programtillegg, en åpen forbindelse for fjernadministrasjon.
2. Hva etterlot de? Persistensen: ekstra kontoer, planlagte oppgaver, programvare for fjernadministrasjon, videresendingsregler i postbokser, ekstra filer på webserveren.
3. Hva har de tatt med seg? Ved moderne løsepengevirus kopierer kriminelle ofte data først og truer med å publisere dem (dobbel utpressing, leksjon 1.3). Da har du også et datainnbrudd (leksjon 8.2).

For en liten bedrift er dette sjelden noe du kan gjøre selv. Kontakt IT-leverandøren din, eller et spesialisert selskap for hendelsesrespons. Mange cyberforsikringer har et fast nummer til et slikt team. Spør et eksternt selskap hvilken erfaring det har med din type hendelse, og avtal på forhånd hva undersøkelsen omfatter.

Ved et nettsted hjelper tilgangsloggen og feilloggen til webserveren, en skadevareskanning av filene og en sammenligning med en ren kopi av CMS-et og programtilleggene.

Steg 3: gjenopprett rent

Først når du vet hvordan angriperen kom inn, og det hullet er tettet, begynner du med gjenoppretting.

Gjenopprett i rekkefølgen du har fastsatt i planen din (leksjon 8.1 og 6.3): først det bedriften trenger for å holde hjulene i gang. Hold den gjenopprettede delen adskilt fra det som ennå ikke er kontrollert.

Her viser det seg om sikkerhetskopien din holder mål. En sikkerhetskopi som var koblet til nettverket, er ofte kryptert eller slettet sammen med resten. En frakoblet eller uforanderlig sikkerhetskopi (leksjon 6.2) og en testet gjenopprettingsprosedyre (leksjon 6.3) utgjør forskjellen mellom dager og uker med driftsstans.

Steg 4: anmeldelse, melding og løsepenger

Anmeldelse. Anmeld forholdet til politiet (https://www.politiet.no/). Ta med bevisene (løsepengemeldingen, e-postene, betalingsopplysningene). Anmeldelse er nødvendig for etterforskning, hjelper politiet å se sammenhenger, og forsikringsselskaper ber ofte om det.

No More Ransom. På https://www.nomoreransom.org (et initiativ av blant annet Europol og det nederlandske politiet) kan du få en kryptert fil eller løsepengemeldingen gjenkjent. For enkelte familier av løsepengevirus finnes en gratis dekrypteringsverktøy. For de fleste nye varianter ikke, men det tar lite tid å sjekke.

Melding. Finn ut hvilke meldinger som kreves: et avvik meldt til Datatilsynet (digitalt skjema) innen 72 timer (leksjon 8.2), en betydelig hendelse registrert hos NSM dersom du omfattes av digitalsikkerhetsloven (leksjon 9.1), og det du har avtalt med kunder eller oppdragsgivere.

Løsepenger. Det nederlandske NCSC anbefaler å ikke betale løsepenger, politiet sier "betal helst ikke". Grunnene er:

• Du har ingen garanti for at du får en fungerende nøkkel, eller at dataene likevel ikke blir publisert.
• Data du får tilbake, kan være skadet eller endret.
• Den som betaler, blir kjent som en som betaler. Ofre blir noen ganger utpresset på nytt eller angrepet på nytt senere.
• Du finansierer det neste angrepet.

Vurderer du likevel å betale, eller har du betalt, meld det alltid til politiet (https://www.politiet.no/): betalingsopplysningene kan hjelpe etterforskningen. Denne avgjørelsen hører hjemme hos beslutningstakeren i hendelsesplanen din, ikke hos den som ser meldingen først.

Cyberforsikring. En cyberforsikring kan dekke kostnader til undersøkelse, gjenoppretting og driftstap, og gir ofte tilgang til et hendelsesteam. Les vilkårene: mange forsikringer krever grunnleggende tiltak som 2FA og sikkerhetskopier, og krever at du melder raskt. Det nederlandske NCSC skrev i april 2025, basert på en undersøkelse av over 500 løsepengevirus-hendelser hos små og mellomstore bedrifter, at angripere etter inntrengning leter etter filer med navn som "forsikring" eller "polise" for å styrke sin forhandlingsposisjon. Se derfor etter hvor lett en inntrenger finner forsikringen din, og oppbevar den helst ikke på en delt disk. En forsikring erstatter ingen tiltak: den betaler skaden, men forhindrer den ikke.

Steg 5: kommuniser og lær

La kommunikasjonsansvarlig i planen din fortelle én tydelig historie til ansatte, kunder og leverandører: hva som har skjedd, hva det betyr for dem, hva de må gjøre (for eksempel: vær oppmerksom på e-poster som ser ut til å komme fra oss), og når de hører fra deg igjen. Ærlig og tidsriktig fungerer bedre enn taushet til det lekker ut.

Planlegg en evaluering i løpet av noen uker: hva gikk bra, hva gikk galt, hva endrer du? Nesten alltid kommer de samme punktene opp: 2FA manglet et sted, et system var ikke oppdatert, sikkerhetskopien var ikke testet, eller ingen visste hvem som skulle ta avgjørelsen. Sett disse punktene inn i planen din fra leksjon 9.3, med en eier og en dato.

I praksis: slik ser det ut

Ved et hacket nettsted på en webhotellpakke jobber du ofte med verktøyene til webhotell-leverandøren din. Hos WebOké er dette for eksempel en skadevareskanning (Imunify360), loggfilene i DirectAdmin, gjenoppretting av en sikkerhetskopi fra WebOké Backups og en fremgangsmåte i DirectAdmin-veiledningen. Hos andre webhotell-leverandører finnes lignende verktøy; spør leverandøren din hva som finnes og hvor langt tilbake sikkerhetskopiene går, før du trenger det.

Oppsummering

• Gjenoppretting i fem steg: begrense skaden, finne ut hva som skjedde, gjenopprette rent, anmelde og melde, kommunisere og lære.
• Isoler, slå ikke av, og endre passord bare fra en ren enhet.
• Ikke gjenopprett noe før du vet hvordan angriperen kom inn; ellers setter du døren tilbake på vidt gap.
• Installer smittede enheter helt på nytt, og gjenopprett fra en sikkerhetskopi fra før innbruddet.
• Anmeld forholdet, sjekk No More Ransom, og betal helst ikke løsepenger.

Quiz

Oppgave

Oppgave A8.3: Sett gjenopprettingen i riktig rekkefølge. Du får en case og ti enkeltstående steg (for eksempel "gjenopprett sikkerhetskopi", "koble fra nettverkskabelen", "finn ut hvordan angriperen kom inn", "anmeld forholdet"). Sett dem i riktig rekkefølge. Programmet kontrollerer om de faste rekkefølgereglene stemmer (for eksempel: isolere før gjenoppretting, finne årsak før gjenoppretting, installere på nytt før data gjenopprettes) og forklarer per feil hvorfor.

Les mer

Stegene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 18.2: Nettstedet mitt er hacket: steg for steg
• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• Imunify360-skanner
• WebOké Backups: se, gjenopprette eller laste ned en backup
• Det nederlandske NCSC, Hva gjør du ved et løsepengevirus-angrep?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Det nederlandske NCSC, Løsepengevirus hos små og mellomstore bedrifter: kriminelle hever løsepengekravet ved cyberforsikring: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org