Fidye yazılımının dosyalarınızı şifrelediği nasıl anlaşılır

Erken işaretler, genelde geldikleri sırayla

Şifreleme, neyi dinleyeceğinizi biliyorsanız gürültülüdür. Hiçbir şey duyurulmadan önce makine, tek tek alışılmadık ama bir arada kuşkuya yer bırakmayan birkaç şey yapar.

Bunlardan biri tek başına masum olabilir. Bir yedekleme programı çok dosyaya dokunur. Bir kurulum kodlanmış komut çalıştırır. Aynı dakika içinde iki üç tanesi ise masum değildir.

• Gölge kopyalar ve yedek kataloğu siliniyor — geri dönüş yolunuzu kaldıran adım budur.
• Açık hiçbir program bunu açıklamazken disk yoğun çalışıyor.
• Dosyalar adlarını koruyor ama artık açılmıyor ya da hiç görmediğiniz bir uzantı alıyor.
• Birkaç klasörde aynı anda aynı adlı bir metin dosyası beliriyor.
• BitLocker, şifrelemesini istemediğiniz bir sürücüyü birden şifrelemek istiyor.

Şifrelenen dosya neden kendine benzemeyi bırakır

Hemen her dosya biçimi sabit bir imzayla başlar: Word belgesi PK ile, PDF %PDF ile, PNG kendi sekiz baytıyla. Şifreleme dosyanın tamamını değiştirir ve imza da onunla gider.

Bunun yanına ikinci bir ölçüm gelir. Bir dosyadaki rastgelelik puanlanabilir ve sıradan içerik düşük puan alır: düz metin bayt başına 4,2 bit dolayında durur, JPEG veya ZIP gibi zaten sıkıştırılmış biçimler 5 ile 7 arasındadır. Şifreli olan 7,5'in üstündedir, çünkü şifreleme tam olarak bunun içindir. Tek başına hiçbir ölçüm çok şey söylemez: ZIP haklı olarak yüksektir, bozuk bir dosya haklı olarak başlıksızdır. İmzasını yitirip rastgelelik kazanan bir dosya yeniden yazılmıştır.

İlk dakikada ne yapılmalı

Burada sıra hızdan önemlidir ve çoğu insanın ilk içgüdüsü — durumun ne kadar kötü olduğunu görmek için dosyaları açmak — yanlış olanıdır.

Böyle bir vakayı yürütmüş biriyle konuşmadan ödeme yapmayın. Windows'u diskin üzerine yeniden kurmayın: bu, izleri ve bazen anahtar malzemesinin tek kopyasını yok eder.

• Ağı kesin — kabloyu çıkarın, Wi-Fi'ı kapatın. Paylaşılan sürücüler bir makineyi ona çevirir.
• Yeniden başlatmayın. Bazı anahtarlar yalnızca bellekte durur ve yeniden başlatma onları atar.
• Fidye notunu ve uzantıyı telefonla fotoğraflayın; tanımlama ikisine birden bağlıdır.
• Şifreli dosyaları yerinde bırakın. Bazı aileler için ücretsiz çözücüler var ve onlar orijinallere ihtiyaç duyar.

Kullanıcı modundaki bir program dürüstçe ne yapabilir

Güvenlik pazarlaması genelde tam burada doğruluğunu yitirir, o yüzden sınır açıkça söylensin. Çekirdek sürücüsü olmayan bir program, başka bir programla disk arasına giremez. Duvar olamaz. Gerili bir tel ve bir tanık olabilir.

Rain Cleaner önemli klasörlere yem dosyaları koyar — klasör başına üç tane, adları öyle seçilir ki biri her alfabetik listelemenin başına, biri ortasına, biri sonuna düşer; çünkü bir klasörü şifreleyen program onu sırayla dolaşır. Gördüğünü, bir komutun biçiminin alarm yükseltebildiği ama yalnızca tamamlanmış bir eylemin — silinmiş gölge kopyalar, yeniden yazılmış bir yem, öldürülmüş bir güvenlik hizmeti — bir programı durdurabildiği bir ölçekte puanlar. Ve her satırın bir öncekinin özetini taşıdığı bir günlük tutar; böylece silinen satır temiz bir kaçış değil, görünür bir delik bırakır.

Kimsenin beklemediği BitLocker çeşidi

Bazı saldırılar kendi şifrelemesini hiç getirmez. BitLocker'ı sizin hiç görmediğiniz bir anahtarla açar, sizinkini kaldırır ve giderler. Verileriniz, tam tasarlandığı gibi çalışan bir Microsoft özelliğiyle şifrelenmiştir.

Windows bunu kaydeder: bir koruyucu askıya alındığında 773, kaldırıldığında 776 olayı. BitLocker'ı hiç kurmadıysanız, olay günlüğünüzdeki bunlardan herhangi biri hemen bakmayı hak eder.