קיבלתי הודעת כופר והקבצים ננעלו: מה עושים בשעה הראשונה

המדריך הזה למי שהדליק את המחשב וגילה שהקבצים לא נפתחים, ויש על המסך הודעה שדורשת תשלום. הוא מסודר לפי סדר הפעולות בשעה הראשונה, כי מה שעושים עכשיו קובע כמה אפשר להציל.

מה עושים בדקות הראשונות?

מנתקים את המחשב מכל רשת. וירוס כופר (תוכנה שמצפינה קבצים ודורשת תשלום כדי לפתוח אותם) יכול להמשיך להצפין קבצים בכוננים מחוברים ובמחשבים אחרים באותה רשת.

1. נתק את כבל הרשת, אם יש.
2. כבה את ה-Wi-Fi. הכי פשוט: מצב טיסה, דרך סמל הרשת בפינת המסך.
3. נתק כל דיסק חיצוני, דיסק און קי וכרטיס זיכרון שמחוברים למחשב.
4. אל תכבה ואל תאתחל שוב ושוב. הנחיות של סוכנות הסייבר האמריקאית CISA ממליצות לבודד את המחשב מהרשת, ולכבות רק אם אי אפשר לנתק אותו. כיבוי מוחק ראיות שנמצאות בזיכרון.
5. בדוק את שאר המחשבים בבית. אם יש תיקיות משותפות ביניהם, נתק גם אותם מהרשת עד שתבין מה קרה.

איך יודעים שזה באמת וירוס כופר?

לפי הקבצים, לא לפי ההודעה. וירוס כופר אמיתי משנה את הקבצים עצמם: לרוב מתווספת להם סיומת לא מוכרת, הם לא נפתחים, ובכל תיקייה מופיע קובץ טקסט עם הוראות תשלום. לפעמים גם תמונת הרקע של שולחן העבודה מוחלפת בהודעה.

בדיקה פשוטה: פתח את סייר הקבצים, היכנס לתיקיית “מסמכים” או “תמונות” ונסה לפתוח שני קבצים ישנים. אל תנסה לשנות להם את הסיומת בחזרה. זה לא מפענח אותם.

אם הקבצים נפתחים כרגיל, וההודעה מופיעה רק בדפדפן עם מספר טלפון או בקשה “להתקשר לתמיכה”, זה כנראה דף הונאה ולא הצפנה. סגור את הדפדפן דרך מנהל המשימות (Ctrl+Shift+Esc) וקרא את המדריך על הונאת “התמיכה הטכנית”.

למה לא לחבר עכשיו את דיסק הגיבוי?

כי אם הנוזקה עדיין פעילה, היא תצפין גם אותו. דיסק גיבוי שלא היה מחובר בזמן ההתקפה הוא אולי העותק הנקי היחיד שנשאר לך, וזה הדבר הכי יקר שיש לך עכשיו.

את הגיבוי מחברים רק למחשב נקי: מחשב אחר, או המחשב הזה אחרי שהותקן מחדש. לפני ששמים את הדיסק בצד, ודא שאף אחד בבית לא יחבר אותו “רק לבדוק”.

האם לשלם את הכופר?

ההמלצה הכללית היא לא לשלם. כך כתוב גם באתר No More Ransom, פרויקט שבו שותפים, בין היתר, Europol ומשטרת הולנד. הסיבות, בפשטות:

• אין שום הבטחה שתקבל מפתח שעובד. אתה משלם לגורם פלילי שאין לו שום מחויבות כלפיך.
• תשלום מאשר שהשיטה עובדת, ומממן את ההתקפה הבאה.
• אין לך דרך לדעת מה עוד נשאר במחשב. גם אם הקבצים נפתחו, הנוזקה או דרך הכניסה שלה עדיין שם.

גם מיקרוסופט כותבת בעמוד שלה על הגנה מפני תוכנות כופר שלא כדאי לשלם, ושתשלום לא מבטיח שתקבל את הקבצים בחזרה.

איך מתעדים את מה שקרה?

מצלמים ושומרים, לפני שמנקים משהו:

1. צלם את ההודעה בטלפון, ולא בצילום מסך שנשמר על המחשב הנגוע.
2. רשום את הסיומת שנוספה לקבצים, וכל כתובת מייל, אתר או כתובת ביטקוין שמופיעים בהודעה.
3. רשום מתי שמת לב, ומה עשית במחשב לפני זה: קובץ שפתחת, מייל, תוכנה שהתקנת.
4. אל תמחק את הקבצים המוצפנים. ייתכן שבעתיד יתפרסם להם כלי פענוח.

איך בודקים אם יש כלי פענוח חינמי?

באתר No More Ransom, ממחשב אחר. באתר יש מאגר של כלי פענוח לסוגי כופרה שונים, וכלי בשם “שריף ההצפנות” (Crypto Sheriff) שמנסה לזהות איזה סוג תקף אותך.

1. ממחשב או טלפון נקי, היכנס ל-nomoreransom.org. יש גרסה בעברית.
2. בחר בשריף ההצפנות.
3. העלה שני קבצים מוצפנים, כל אחד עד 1MB. העתק אותם מהמחשב הנגוע בדיסק און קי שאין עליו שום דבר אחר.
4. הוסף את קובץ ההוראות של הכופרה, או הקלד את כתובת המייל או הביטקוין מההודעה. האתר מבקש לדייק באיות.
5. אם יש כלי פענוח, האתר יפנה אליו עם הוראות. אם אין, שמור את הקבצים המוצפנים ובדוק שוב בעתיד.

למי מדווחים בישראל?

למערך הסייבר הלאומי, בטלפון 119 או בטופס דיווח מקוון באתר gov.il. המוקד פתוח לפניות בכל שעה, ומיועד גם לאנשים פרטיים ולא רק לארגונים. הדיווח עוזר להם לזהות התקפות שמתפשטות, ולפעמים הם יכולים לכוון אותך לצעד הבא.

איך מחזירים את הקבצים מגיבוי?

רק אחרי שהמחשב נקי, ורק מגיבוי שלא היה מחובר בזמן ההתקפה.

1. נקה את המחשב או התקן Windows מחדש. התקנה מחדש היא הדרך הבטוחה ביותר לוודא שלא נשאר כלום.
2. חבר את דיסק הגיבוי ובדוק ידנית כמה קבצים: שהם נפתחים ושאין להם הסיומת של הכופרה.
3. שחזר את הקבצים, ואז החלף סיסמאות לחשבונות החשובים.
4. מכאן והלאה, גבה לדיסק שמחובר רק בזמן הגיבוי. המדריך איך לגבות את המחשב בבית מסביר איך.

מה עושים אם גם OneDrive מלא בקבצים מוצפנים?

אם יש לך מנוי Microsoft 365, אפשר להחזיר את כל ה-OneDrive לנקודת זמן שלפני ההתקפה. לפי העמוד של מיקרוסופט על שחזור OneDrive, אפשר לבטל את כל השינויים מ-30 הימים האחרונים.

1. ממחשב נקי, היכנס ל-onedrive.com.
2. לחץ על גלגל השיניים, “אפשרויות” ואז “הגדרות”.
3. בחר “שחזר את OneDrive שלך”, ובחר תאריך ושעה שלפני שהקבצים הוצפנו.

בלי מנוי, אפשר לנסות לשחזר קובץ אחר קובץ דרך היסטוריית הגרסאות שלו ב-OneDrive. בתיקייה גדולה זו עבודה ארוכה, אבל היא עדיין עדיפה על תשלום.

איך נמנעים מזה בפעם הבאה?

גיבוי מנותק הוא ההגנה החשובה ביותר, כי הוא הופך את ההתקפה מאסון לאי נוחות. מעבר לזה:

• עדכוני Windows מותקנים, ו”אבטחת Windows” פועלת.
• “גישה מבוקרת לתיקיות” (Controlled folder access) ב”אבטחת Windows” חוסמת שינויים בתיקיות מוגנות על ידי תוכנות לא מוכרות. מיקרוסופט ממליצה להפעיל אותה.
• אימות דו-שלבי במייל ובחשבון Microsoft.
• זהירות עם קבצים מצורפים במייל, גם כשהם נראים כמו חשבונית או משלוח.
• לשים לב לסימנים מוקדמים. המדריך יש לי וירוס במחשב? סימנים אמיתיים מול אזעקות שווא עוזר לזהות נוזקה לפני שהיא מגיעה לקבצים.

ומה אם זה מחשב של עסק?

אם המחשב מחובר לרשת של עסק, עם שרת, תיקיות משותפות או כמה עמדות, הטיפול ברשת כולה נעשה אצל חברת האחות שלנו, א.מ.ש, שירותי IT לעסקים.

מה לא לעשות?

• לא לחבר דיסק גיבוי, דיסק און קי או טלפון למחשב הנגוע.
• לא לשלם ולא להתכתב עם התוקפים לפני שבדקת את האפשרויות האחרות.
• לא למחוק את הקבצים המוצפנים ולא לפרמט “כדי להתחיל מחדש” לפני שתיעדת והעתקת דוגמאות.
• לא להוריד “כלי פענוח” מאתרים לא מוכרים. חלק מהם הם בעצמם נוזקה. מקור אמין הוא No More Ransom.

מתי להביא את המחשב למעבדה

מיד, אם אין לך גיבוי נקי, או אם אתה לא בטוח מה עוד נפגע. את המחשב מביאים כשהוא מנותק, יחד עם דיסק הגיבוי, אבל בלי לחבר אותם.

בניקוי וירוסים מנקים את הנוזקה ובודקים מאיפה היא נכנסה. לגבי הקבצים, חשוב להיות ישרים: בלי מפתח או כלי פענוח, ברוב המקרים אי אפשר לפתוח קבצים מוצפנים. בדיקת שחזור מידע יכולה לבדוק אם נשארו עותקים ישנים במקומות אחרים בדיסק. אין הבטחה שהכול, או אפילו חלק, ישוחזר. אנחנו נעשה את המיטב.

לא הצלחת?

המטרה של המדריך היא שתעבור את השעה הראשונה בלי לאבד עוד קבצים, ותדע לבדוק בעצמך אם יש פתרון חינמי. אם נתקעת, ChipLab בחיפה מטפלת בניקוי וירוסים ובשחזור מידע, ואומרת לך מה הסיכוי לפני שמתחילים.