بازیابی فایل های قفل شده به وسیله باج افزار
به گزارش کاناداکو، حملات باج افزاری یکی از تهدیدهای جدی دنیای دیجیتال امروز هستند که با قفل کردن فایل های شخصی و سازمانی، قربانی را در موقعیتی بحرانی قرار می دهند. این نوع بدافزارها معمولاً پس از نفوذ به سیستم، فایل ها را رمزنگاری نموده و در ازای بازگردانی آن ها، درخواست پرداخت پول می نمایند. اما برخلاف تصور عمومی، همواره احتیاج به پرداخت باج نیست. اگر واکنش مناسبی داشته باشید، در بسیاری از موارد می توان فایل های قفل شده را بدون توجه به خواسته مهاجمان بازیابی کرد. در این مقاله، پس از آنالیز روش های شناسایی باج افزار و حذف آن، به سراغ سه راه حل موثر برای بازیابی فایل های قفل شده به وسیله باج افزار می رویم که می توانند تفاوت بین از دست دادن کامل اطلاعات و بازگرداندن آن ها را رقم بزنند.
روش های شناسایی نوع باج افزار؛ گام اول برای حذف Ransomware
یکی از واضح ترین نشانه های وجود باج افزار، وجود یادداشت باج گیری روی دسکتاپ یا در پوشه های مختلف سیستم است که مهاجم در آن، خواهان پرداخت وجه در ازای رمزگشایی فایل ها می گردد. اما در بسیاری از موارد، پیش از نمایش این یادداشت، نشانه های دیگری قابل مشاهده هستند که می توانند هشدارهای اولیه باشند. برای مثال، بعضی آنتی ویروس ها هنگام اجرای فایل مخرب، هشدار می دهند یا رفتار مشکوکی شناسایی می نمایند که نباید نادیده گرفته گردد.
از دیگر علائم شایع می توان به تغییر ناگهانی پسوند فایل ها به رشته هایی نامفهوم مانند .hjyyvci یا .dyzr و سایر موارد این چنینی اشاره نمود. بعلاوه حضور فایل های ناشناس در درایوها، افزایش شدید فعالیت دیسک یا CPU و حتی افزایش غیرعادی ترافیک شبکه، نشانه هایی هستند که از فعال بودن یک باج افزار در پس زمینه خبر می دهند. توجه به این علائم و ثبت آن ها، به تحلیل نوع باج افزار یاری می نماید.
روش حذف باج افزار و جلوگیری از توسعه آن ها
به گفته سایت cynet برای حذف باج افزار و جلوگیری از آسیب های بیشتر، ضروری است سریع و با برنامه عمل کنید. در این مسیر، سه گام اساسی وجود دارد که باید به ترتیب انجام شوند:
1. ایزوله کردن سیستم آلوده: اولین اقدام، قطع اتصال سیستم مشکوک از شبکه است. به محض مشاهده علائم وجود باج افزار در سیستم، دستگاه را از شبکه Wi-Fi یا اتصال کابلی جدا کنید. این کار از توسعه باج افزار به سایر سیستم ها و برقراری ارتباط با سرورهای مهاجم جلوگیری می نماید. در محیط های سازمانی، این مرحله اهمیت بسیار بالایی دارد.
2. شناسایی نوع باج افزار: برای تشخیص نوع باج افزار، می توانید از ابزارهای رایگان و قابل اعتمادی مانند Cyber Sheriff (ارائه شده به وسیله Europol و McAfee) بهره ببرید. این ابزار با تحلیل فایل ها و نشانه های موجود، اطلاعات دقیقی درباره نوع باج افزار و الگوریتم رمزگذاری آن ارائه می دهد. شناسایی دقیق نوع بدافزار به تصمیم گیری درباره روش های بازیابی یاری می نماید.
3. گزارش به متخصصین یا نهادهای امنیتی: در صورت آلوده شدن سیستم، بهتر است موضوع را سریعاً با کارشناس امنیت شبکه، مدیر IT یا پلیس امنیت سایبری در میان بگذارید. آنالیز و حذف دقیق باج افزار نیازمند تخصص فنی است و ورود حرفه ای ها می تواند از آسیب های بیشتر جلوگیری کند و امنیت اطلاعات را حفظ نماید.
پس از حذف باج افزار، سیستم را با آنتی ویروس معتبر اسکن نموده، فایل های مشکوک را حذف کنید و پیش از بازیابی نسخه پشتیبان، از پاک سازی کامل اطمینان حاصل نمایید. بعلاوه با به روزرسانی منظم سیستم عامل و نرم افزارها، از حملات آینده پیشگیری کنید.
نحوه بازیابی فایل های قفل شده به وسیله باج افزار
پس از حذف باج افزار یا غیرفعال سازی آن، گام بعدی و حیاتی، کوشش برای بازگرداندن فایل های رمزگذاری شده است. بسته به نوع حمله و ابزار رمزنگاری مورداستفاده، راه حلهای مختلفی برای بازیابی فایل های قفل شده به وسیله باج افزار وجود دارد. در ادامه سه روش رایج و مؤثر برای این کار را معرفی می کنیم.
1. شناسایی نوع باج افزار و استفاده از ابزارهای رمزگشایی
برای آغاز، باید تعیین گردد که سیستم شما به چه نوع باج افزاری آلوده شده است. ابزارهایی مثل ID Ransomware به شما اجازه می دهند تا به وسیله بارگذاری فایل قفل شده، یادداشت باج یا ایمیل مهاجم، نوع باج افزار را شناسایی کنید. پس از شناسایی، اگر برای آن نوع خاص ابزار رمزگشایی رایگان در دسترس باشد، لینک آن به شما نمایش داده می گردد. این ابزارهای حذف باج افزار، به طوراتوماتیک الگوریتم رمزگذاری را تحلیل نموده و در صورت امکان، کلید رمزگشایی متناسب را اعمال می نمایند.
نکته: اگر ابزار ID Ransomware یا سایت های مشابه پیروز به ارائه راه حل رمزگشایی نشدند، نام نوع باج افزار را در گوگل جست وجو کنید. منابع امنیتی بسیاری وجود دارند که به مرور ابزارهای تازه رمزگشایی را منتشر می نمایند.
2. استفاده از نسخه های پنهان (Shadow Copies)
در سیستم عامل ویندوز، ویژگی ای به نام Shadow Copy وجود دارد که به طور اتوماتیک نسخه های پشتیبان از فایل ها ایجاد می نماید. اگر باج افزار پیروز به حذف این نسخه ها نشده باشد، می توانید با یاری ابزارهایی مانند ShadowExplorer به آن ها دسترسی پیدا نموده و فایل هایتان را بازگردانید.
نرم افزارهایی مانند ShadowExplorer محیطی ساده فراهم می نمایند که در آن می توانید تاریخچه فایل ها را ببینید، نسخه ای سالم از زمان قبل از حمله انتخاب نموده و آن را در مکانی امن بازیابی کنید. این روش، به خصوص زمانی مؤثر است که فایل های رمزگذاری شده نسخه سالمی در گذشته داشته باشند.
3. استفاده از نرم افزارهای بازیابی اطلاعات
اگر دو روش بالا نتیجه بخش نبود، می توانید از ابزارهای تخصصی ریکاوری داده بهره ببرید. یکی از گزینه های رایگان و مؤثر، Recuva است. این برنامه با اسکن عمقی درایوها، فایل های حذف شده یا بازنویسی نشده را شناسایی نموده و به شما امکان بازیابی آن ها را می دهد.
برای برترین نتیجه، توصیه می گردد Recuva را از روی یک حافظه جانبی اجرا کنید تا داده های فعلی روی سیستم شما بازنویسی نشوند. بعلاوه گزینه هایی مثل حفظ ساختار پوشه ها در تنظیمات برنامه می تواند به بازگردانی بهتر و مرتب تر فایل ها یاری کند. پس از اتمام اسکن، فایل های قابل بازیابی نمایش داده می شوند و می توانید آن ها را روی درایوی دیگر ذخیره کنید.
پس از حذف باج افزار، بازیابی را اصولی آغاز کنید
مواجهه با یک حمله باج افزاری می تواند تجربه ای استرس زا و پرهزینه باشد، اما این سرانجام راه نیست. با شناسایی سریع نوع باج افزار، استفاده از ابزارهای رمزگشایی موجود، آنالیز نسخه های پنهان سیستم و بهره گیری از نرم افزارهای بازیابی اطلاعات، در بسیاری از مواقع می توان بخش قابل توجهی از فایل های قفل شده را بازگرداند. نکته کلیدی در مسیر بازیابی فایل های قفل شده به وسیله باج افزار، حفظ آرامش، اقدام سریع و استفاده از منابع قابل اعتماد است. بعلاوه پیشنهاد می گردد پیش از هر کوشش برای ریکاوری، سیستم آلوده را کاملاً ایزوله نموده و از مشورت با کارشناسان امنیتی غافل نشوید.
منبع: همگردی