כאשר מסמכים, תמונות או קבצי עבודה מפסיקים להיפתח, מקבלים סיומת חדשה או מופיעה הודעה הדורשת תשלום, חשוב לעצור לפני שמנסים “לתקן” את המחשב. לא כל שינוי בשם קובץ מעיד בהכרח על כופרה: לפעמים מדובר בתקלה ב-OneDrive, בהרשאות, בדיסק תקול או בקובץ שנפתח באמצעות תוכנה לא מתאימה. עם זאת, תגובה מהירה וזהירה יכולה לצמצם את הסיכון להתפשטות ולשמור על אפשרויות השחזור.
איך מזהים חשד לכופרה במחשב?
כופרה בדרך כלל משנה או מצפינה קבצים רבים בפרק זמן קצר, ולעיתים משאירה קובץ טקסט או HTML עם הוראות לתשלום. הסימנים הבולטים הם:
- מסמכים, תמונות או גיליונות אלקטרוניים אינם נפתחים, אף שהסיומת שלהם השתנתה.
- נוספה סיומת לא מוכרת לשמות הקבצים, ולעיתים כל הקבצים קיבלו סיומת דומה.
- נוצרו תיקיות רבות עם הודעת כופר או קובץ הוראות.
- קבצים בכוננים משותפים, בכונן חיצוני או בתיקיות מסונכרנות השתנו גם הם.
- המחשב עובד באיטיות חריגה, הכונן פעיל ללא הפסקה או מופיעים תהליכים לא מוכרים.
בדיקה ראשונית חשובה היא להשוות בין כמה קבצים מסוגים שונים. אם רק סוג אחד של קובץ אינו נפתח, ייתכן שמדובר בבעיה בתוכנה או בפורמט. אם קבצים רבים מסוגים שונים השתנו באותו זמן, רמת החשד עולה. גם שינוי סיומת בלבד אינו הוכחה שהמידע הוצפן, ולכן אין לשנות את הסיומות בחזרה באופן גורף.
כדאי לשלול גם בעיית סנכרון. בשירותי ענן, קובץ שנמחק או הוחלף במחשב אחד עלול להסתנכרן למכשירים נוספים. בדקו, אם אפשר ממכשיר נקי, את היסטוריית הגרסאות ואת סל המיחזור של השירות. מדריך על OneDrive שלא מסתנכרן ב-Windows יכול לעזור להבחין בין תקלה בסנכרון לבין שינוי זדוני.
מה לעשות מיד כדי לעצור את ההתפשטות?
- נתקו את המחשב מהרשת. נתקו כבל רשת או כבו Wi-Fi ו-Bluetooth. אם המחשב מחובר לכונני רשת, נתקו גם את הגישה אליהם. בעסק, חשוב לעדכן את מנהל הרשת לפני שמחברים מחדש מחשבים אחרים.
- נתקו כוננים חיצוניים שאינם נחוצים. אם כונן USB או דיסק גיבוי מחובר, נתקו אותו בלי להעתיק אליו דבר. אם הוא כבר מכיל קבצים שנפגעו, אל תפעילו עליו פעולות תיקון או סריקה אגרסיבית.
- אל תמשיכו לעבוד על המחשב כרגיל. אל תפתחו מסמכים רבים, אל תפעילו תוכנות לא מוכרות ואל תנסו לבצע ניקוי מהיר מתוך לחץ. כל כתיבה לדיסק עלולה להקשות על בדיקה או שחזור במקרים מסוימים.
- תעדו את המצב. צלמו את הודעת הכופר, שמות הסיומות, השעה שבה הבחנתם בתקלה והפעולות שבוצעו לפני כן. אל תמחקו את הודעת הכופר או קבצים חשודים לפני תיעוד.
- אל תשלמו ואל תנהלו משא ומתן לבד. תשלום אינו מבטיח קבלת מפתח, אינו מבטיח מחיקה של עותקים שנגנבו, ועלול להקשות על קבלת החלטה מושכלת. קודם כול יש לבודד, לתעד ולהעריך את המצב.
אם זהו מחשב בארגון, יש לבודד גם מחשבים נוספים שעלולים להיות מחוברים לאותו משתמש, שרת או שיתוף קבצים. אין לחבר כונן גיבוי למחשב החשוד רק כדי לבדוק אם הוא “עובד”. פעולה כזו עלולה לסכן גיבוי שהיה תקין.
בדיקת גיבויים בלי לסכן אותם
לפני שחזור, חשוב לברר איזה גיבוי קיים ומתי הוא עודכן לאחרונה. גיבוי מקוון או תיקייה מסונכרנת אינם בהכרח גיבוי מבודד: אם ההצפנה הסתנכרנה, ייתכן שגם הגרסאות הישנות הושפעו. בדקו אם קיימות גרסאות קודמות, היסטוריית קבצים, snapshots או עותק שאינו מחובר דרך קבע למחשב.
אל תשחזרו את כל התיקייה מיד. עדיף לבדוק תחילה עותק קטן ולא קריטי במחשב נקי או בסביבה מבודדת, ולוודא שהקבצים אכן נפתחים. לאחר מכן אפשר לתכנן שחזור הדרגתי. מומלץ לשמור את המדיה המקורית ללא שינוי ככל האפשר ולהימנע מתוכנות שחזור אקראיות שמבטיחות פענוח מיידי.
אם אין גיבוי תקין, המחשב ממשיך להציג פעילות חשודה, או שהמידע עסקי ורגיש, פנו לאבחון מקצועי לפני פירמוט. מידע נוסף על שחזור מידע וגיבוי קבצים יכול לסייע להבין את ההבדל בין שחזור מגיבוי לבין ניסיון להציל מידע מהכונן עצמו.
מה לא לעשות במקרה של חשד להצפנה?
- לא לפרמט את המחשב לפני תיעוד ובדיקת אפשרויות השחזור.
- לא להפעיל איפוס Windows, שחזור מערכת או כלי “ניקוי” בלי להבין אם הם משנים את הדיסק או מוחקים קבצים.
- לא לשנות שמות וסיומות של מאות קבצים בתקווה שהם ייפתחו.
- לא להוריד מפענח מאתר לא מוכר, ולא להפעיל קובץ שנשלח בהודעת כופר.
- לא לחבר את כונן הגיבוי למחשב החשוד לצורך בדיקה מהירה.
- לא למחוק את הקבצים המוצפנים. ייתכן שהם נחוצים לזיהוי גרסת הכופרה או לניסיון שחזור עתידי.
מתי צריך טכנאי או איש אבטחת מידע?
פנו לאיש מקצוע כאשר יש שינוי נרחב בקבצים, פגיעה בכונני רשת, חשש לדליפת מידע, מחשב עסקי, כונן שמתחיל להיכשל, או מצב שבו אין לכם גיבוי בדוק. גם אם הצלחתם לעצור את ההצפנה, עדיין צריך לבדוק כיצד נכנסה התוכנה, האם נוצר משתמש לא מוכר, האם נשארה משימה מתוזמנת, והאם סיסמאות או חשבונות נחשפו.
במחשב ביתי, טכנאי יכול לעזור לבודד את המערכת, לאסוף מידע בסיסי, לבדוק את מצב הכונן והגיבויים, ולהמליץ אם לנקות, לשחזר או להתקין מחדש. בעסק נדרשת לעיתים פעולה רחבה יותר הכוללת בידוד תחנות, בדיקת שרתים ושינוי סיסמאות ממכשיר נקי. למידע כללי על הסרת וירוסים מהמחשב חשוב לזכור: כופרה אינה רק “וירוס רגיל”, ולכן ניקוי אוטומטי לבדו אינו בהכרח פתרון מלא.
לאחר הטיפול, בנו שיטת גיבוי עם לפחות עותק אחד שאינו מחובר באופן קבוע, הפעילו עדכונים ואימות דו-שלבי היכן שניתן, וצמצמו הרשאות מיותרות. בדקו את הגיבוי בפועל ולא רק את קיומו. כך תדעו מראש אם הקבצים באמת ניתנים לשחזור במקרה הבא.
