Que hacer durante un ataque de ransomware

 
Cuando decimos «que hacer durante un ataque de ransomware», nos referimos a lo que debe hacerse desde que nos damos cuenta de que estamos siendo atacados hasta el momento anterior a reconstruir nuestra red con seguridad y comenzar a cargar nuestros respaldos.

Tener un plan de respuesta y las herramientas adecuadas es vital para limitar los daños potenciales.

Debemos poder identificar el alcance del ataque, contenerlo rápidamente, proteger las máquinas no infectadas, aislar las infectadas, restaurar desde respaldos cuando eso sea posible, y actualizar y proteger las máquinas vulnerables.
 

• Contenidos ocultar

  1 Como reconocer un ataque de ransomware

  2 Para limitar los daños

  3 Acerca del uso de programas (antivirus, de recuperación, etc.)

  4 La importancia del clonado de particiones

  5 Que hacer ahora

  6 Comprueba por qué somos «Los especialistas en recuperación de datos».

  Como reconocer un ataque de ransomware

  Hay que estar atentos para identificar mensajes que demandan el pago del rescate para tener acceso a los datos.

  Debemos verificar si los usuarios están tratando de acceder a un archivo local o en nuestra red y si este está encriptado.

  Hay que revisar también si hay procesos extraños corriendo en el sistema.

  Es importante documentar el ataque, guardando copia de las notas o al menos fotografías legibles (puede tomarlas con su celular).

• Para limitar los daños

  Apague los equipos potencialmente infectados y desconéctelos de la red.

  Es buena idea apagar también cualquier otro dispositivo (incluyendo modems, routers y discos externos) durante el ataque y hasta que sepa con certeza que están limpios.

  Trabajar desconectado de internet, redes locales y servicios de sincronización de archivos (como Dropbox, GoogleDrive o OneDrive) impide la propagación del problema.

• Acerca del uso de programas (antivirus, de recuperación, etc.)

  Algunos virus copian los archivos, los encriptan y después borran los originales.

  Por esa razón se desaconseja la instalación de programas antivirus, de recuperación y de desencriptado, toda vez que ninguno de ellos es efectivo para desencriptar la información.

  Aunque pueda parecer anti intuitivo, no debe aplicar antivirus puesto que el escaneo hace crecer el archivo de intercambio, lo que causa sobrescritura en las particiones y contribuye a destruir los datos que pudieran permanecer ocultos, borrados o sin daño.

  Además, los programas antivirus pueden dañar los archivos encriptados, impidiendo su recuperación aunque se consiga el programa desencriptador y la llave correcta.

• La importancia del clonado de particiones

  Por experiencia aconsejamos que se realice una imagen (o clon) de cada partición completa.

  Esto puede servir como respaldo, para análisis posteriores y asegura que se pueda revisar la información sin sobrescribirla y sin que el ransomware siga activo.

  Hay ransomware que hacen el encriptado en varias fases, y mantener un respaldo de las particiónes nos permite suspender esos procesos para analizar y a veces reconstruir información.

  Si no sabe que hacer o cómo hacerlo, es mejor acudir a un profesional, porque es muy fácil destruir la información.

Que hacer ahora

 
Puede volver al índice de Ransomware.
 
Contamos con un Servicio de asesoría para enfrentar el daño por ransomware (con costo).

Haga clic aquí si desea mayor información.
 

Comprueba por qué somos «Los especialistas en recuperación de datos».