Als een bedrijf ransomware ontdekt, is de versleuteling meestal de laatste stap. Daarvóór zaten de aanvallers vaak al uren of dagen in het netwerk: ze zochten de belangrijke systemen, stalen data en zetten back-ups en beveiligingstools uit.
Die tussentijd is jouw kans. Hier zijn negen signalen die je vaak ziet voordat de versleuteling begint.
Binnenkomen
1. Vreemde logins op systemen die vanaf internet bereikbaar zijn. Een golf mislukte inlogpogingen op VPN, extern bureaublad of e-mail, gevolgd door één geslaagde. Of een login vanuit een land waar niemand van je bedrijf werkt.
2. Een actief misbruikte kwetsbaarheid op een randapparaat. Veel ransomware-aanvallen beginnen via een ongepatchte VPN-gateway, firewall of tool voor bestandsoverdracht. Heb je er een, ga er dan van uit dat hij wordt gescand.
3. Een gebruiker die ineens ’s nachts inlogt. Zeker een account met beheerrechten, of een oud account van iemand die al vertrokken is.
Verspreiden en voorbereiden
4. Nieuwe beheeraccounts of extra rechten. Aanvallers maken eigen accounts aan of voegen gestolen accounts toe aan beheerdersgroepen.
5. Tools voor externe toegang of scannen die niemand heeft geïnstalleerd. Legitieme beheertools, netwerkscanners of tools om wachtwoorden te stelen die op servers opduiken.
6. Beveiligingstools die uitgaan. Virusscanner of EDR uitgeschakeld, meldingen over manipulatie, of logging die plotseling stopt.
7. Back-ups verwijderd of uitgezet. Verwijderde schaduwkopieën, mislukte back-uptaken, of iemand die inlogt op het back-upsysteem die dat normaal nooit doet.
Vlak voor de klap
8. Grote uitgaande dataoverdrachten. Veel groepen stelen eerst data, zodat ze kunnen dreigen die te publiceren (“dubbele afpersing”). Let op ongebruikelijke uploads naar cloudopslag of onbekende servers, vaak ’s nachts.
9. Massaal hernoemde bestanden. Honderden bestanden die binnen enkele minuten van naam of extensie veranderen, is een van de laatste waarschuwingen. Dan telt elke minuut.
Wat je doet in het eerste uur
- Isoleer, zet niet uit. Haal getroffen systemen van het netwerk, maar laat ze zo mogelijk aanstaan: het geheugen kan bewijs bevatten.
- Bescherm je back-ups. Koppel ze los en controleer of ze intact zijn.
- Wijzig de belangrijkste wachtwoorden vanaf een schoon apparaat, te beginnen met beheer- en externe-toegangsaccounts.
- Haal hulp. Je IT-partner, de hulplijn van je cyberverzekeraar en zo nodig een incidentresponsbedrijf. Doe aangifte bij de politie. Controleer of je onder de Cyberbeveiligingswet een melding moet doen bij je toezichthouder, en bij de Autoriteit Persoonsgegevens als er persoonsgegevens zijn geraakt.
- Houd een logboek bij van wat je ziet en doet, met tijden.
- Betaal niet zonder advies. Kijk eerst op No More Ransom: voor sommige ransomwarefamilies bestaan gratis ontsleutelingstools.
Lees ook: NIS2 en de meldplicht: wat moet je melden, en wanneer?
Hoe OZAG Security helpt
OZAG Security let dag en nacht op deze signalen en koppelt ze tot één incident, met de tijdlijn, de getroffen systemen en de gebruikte technieken. Een detectie als “massaal hernoemen van bestanden” op een server krijgt de score kritiek, en je krijgt direct een melding. Probeer het 14 dagen gratis.