Efter et hack eller ransomware: genopret uden at blive smittet igen

Modul 8: Når det går galt · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du gennemføre genopretningsfasen efter et hack eller ransomware: inddæmme, finde ud af hvordan det skete, genoprette rent, anmelde det, kommunikere og lære af det.

Kernebegreber: inddæmning, isolering, indledende adgang, persistens, retsteknisk undersøgelse, ren geninstallation, genopretningsrækkefølge, anmeldelse, No More Ransom, løsesum, cyberforsikring, evaluering

Den største fejl: at "gendanne det hele" for hurtigt

En webudvikler får tirsdag en besked: kundens WordPress-side sender besøgende videre til en falsk webshop. Han gendanner backuppen fra ugen før, siden virker igen, færdig. Torsdag sker det igen. Angriberen var kommet ind via et forældet plugin og havde efterladt en ekstra administratorkonto og en skjult fil. Backuppen fra ugen før indeholdt allerede dette. At gendanne uden at vide hvordan nogen kom ind, sætter også døren tilbage på plads, åben.

Det samme sker med ransomware i et kontornetværk. Kriminelle er ofte inde i dagevis eller ugevis, før de krypterer. I den tid opretter de ekstra konti, installerer software til fjernadgang og leder efter backupperne. Den der kun gendanner de krypterede filer, holder angriberen inde i systemet.

Genopretning foregår derfor i fem trin, i denne rækkefølge.

Trin 1: inddæmme

Inddæmme betyder: sørge for at det ikke bliver værre. De første minutter står på dit incidentkort (lektion 8.1).

• Isolér ramte enheder: træk netværkskablet ud, sluk wifi og mobilnetværk, eller brug flytilstand. Det nederlandske NCSC anbefaler ikke at slukke ramte systemer, men at koble dem fra; dvaletilstand er i orden. Sådan bevares spor i arbejdshukommelsen, og spredningen stopper.
• Kobl eksterne diske og backupmedier fra, og tilslut dem ikke til en enhed, der muligvis er inficeret.
• Kan du ikke isolere et system, så afbryd forbindelsen til netværksdrevet. Er hele netværket ramt, så luk det af fra internettet (for eksempel ved at lukke internetforbindelsen eller firewallen).
• Skift adgangskoder fra en ren enhed, start med de vigtigste: administratorkonti, mail, adgangskodeadministratoren, banken. Log alle sessioner ud alle steder. Gør dette ikke fra en computer, der måske indeholder en infostealer eller keylogger (lektion 1.4), for så læser du straks det nye password op for angriberen.
• Gem beviser: foto af løsesumsbeskeden, mails, betalingsanmodninger, cryptoadresser, tidspunkter. Smid intet ud.

Ved en hacket hjemmeside betyder inddæmning: at tage siden offline midlertidigt eller sætte den i vedligeholdelsestilstand, skifte alle adgangskoder (administration, FTP, database, hosting) og kontakte dit hostingfirma.

Trin 2: find ud af hvad der skete

Du vil gerne vide tre ting:

1. Hvordan kom de ind? Den indledende adgang: en phishingmail, en stjålet adgangskode uden 2FA, en forældet VPN-server eller et forældet plugin, en åben forbindelse til fjernadministration.
2. Hvad efterlod de? Persistensen: ekstra konti, planlagte opgaver, software til fjernadministration, videresendelsesregler i mailbokse, ekstra filer på webserveren.
3. Hvad har de taget med sig? Ved moderne ransomware kopierer kriminelle ofte først data og truer med offentliggørelse (dobbelt afpresning, lektion 1.3). Så har du også et databrud (lektion 8.2).

For en lille virksomhed er dette sjældent til at klare selv. Kontakt din IT-leverandør, eller et specialiseret firma til incidentrespons. Mange cyberforsikringer har et fast nummer til sådan et team. Spørg et eksternt firma hvilken erfaring det har med din type incident, og aftal på forhånd hvad undersøgelsen omfatter.

Ved en hjemmeside hjælper adgangsloggen og fejlloggen fra webserveren, en malwarescanning af filerne og en sammenligning med en ren kopi af CMS'et og pluginsene.

Trin 3: genoprette rent

Først når du ved, hvordan angriberen kom ind, og den vej er lukket, begynder du genopretningen.

Genopret i den rækkefølge, du har fastlagt i din plan (lektion 8.1 og 6.3): først det virksomheden har brug for for at kunne køre videre. Hold den genoprettede del adskilt fra det, der endnu ikke er kontrolleret.

Her viser det sig, om din backup duer. En backup, der hang på netværket, er ofte også krypteret eller slettet. En offline eller uforanderlig backup (lektion 6.2) og en testet gendannelsesprocedure (lektion 6.3) gør forskellen mellem dages og ugers nedetid.

Trin 4: anmeldelse, indberetning og løsesum

Anmeldelse. Anmeld det til politiet. Kontakt politiet (https://politi.dk/). Medbring beviser (løsesumsbesked, mails, betalingsoplysninger). Anmeldelse er nødvendig for undersøgelsen, hjælper politiet med at se sammenhænge, og forsikringsselskaber spørger ofte efter det.

No More Ransom. På https://www.nomoreransom.org (et initiativ blandt andet fra Europol og det nederlandske politi) kan du få en krypteret fil eller løsesumsbeskeden genkendt. For nogle ransomwarefamilier findes en gratis dekrypteringsnøgle. For de fleste nye varianter ikke, men det tager kun få minutter at tjekke.

Indberetning. Find ud af hvilke indberetninger der er nødvendige: et databrud skal anmeldes til Datatilsynet (https://www.datatilsynet.dk/) digitalt inden for 72 timer (lektion 8.2), en betydelig hændelse skal registreres via virk.dk (med MitID), hvis du er omfattet af NIS 2-loven (lektion 9.1), samt hvad du har aftalt med kunder eller opdragsgivere.

Løsesum. Det nederlandske NCSC anbefaler ikke at betale løsesum, politiet siger "betal helst ikke". Grundene er:

• Du har ingen garanti for, at du får en fungerende nøgle, eller at dataene alligevel ikke bliver offentliggjort.
• Data, du får tilbage, kan være beskadiget eller ændret.
• Den der betaler, bliver kendt som en der betaler. Ofre bliver nogle gange afpresset igen eller angrebet igen senere.
• Du finansierer det næste angreb.

Overvejer du alligevel at betale, eller har du betalt, så anmeld det altid til politiet: betalingsoplysningerne kan hjælpe efterforskningen. Denne beslutning hører til hos beslutningstageren i din incidentplan, ikke hos den der ser beskeden først.

Cyberforsikring. En cyberforsikring kan dække omkostninger til undersøgelse, genopretning og driftstab, og giver ofte adgang til et incidentteam. Læs betingelserne: mange policer kræver grundlæggende foranstaltninger som 2FA og backup, og kræver at du anmelder hurtigt. Det nederlandske NCSC skrev i april 2025, på baggrund af en undersøgelse af over 500 ransomwarehændelser hos små og mellemstore virksomheder, at angribere efter indbrud leder efter filer med navne som "forsikring" eller "police" for at styrke deres forhandlingsposition. Tjek derfor hvor let en indtrænger kan finde din police, og gem den helst ikke på et delt drev. En forsikring erstatter ikke foranstaltninger: den betaler skaden, men forhindrer den ikke.

Trin 5: kommunikere og lære

Lad kommunikatøren fra din plan fortælle én klar historie til medarbejdere, kunder og leverandører: hvad der er sket, hvad det betyder for dem, hvad de skal gøre (for eksempel: vær opmærksom på mails der ser ud til at komme fra os), og hvornår de hører fra dig igen. Ærlig og rettidig kommunikation virker bedre end tavshed indtil det lækker ud.

Planlæg en evaluering inden for få uger: hvad gik godt, hvad gik galt, hvad ændrer du? Næsten altid kommer de samme punkter frem: 2FA manglede et sted, et system var ikke opdateret, backuppen var ikke testet, eller ingen vidste hvem der måtte beslutte. Sæt disse punkter ind i din plan fra lektion 9.3, med en ansvarlig og en dato.

I praksis: sådan ser det ud

Ved en hacket hjemmeside på en hostingpakke arbejder du ofte med dit hostingfirmas værktøjer. Hos WebOké er det for eksempel en malwarescanning (Imunify360), logfilerne i DirectAdmin, gendannelse af en backup fra WebOké Backups og en trinvis vejledning i DirectAdmin-manualen. Hos andre hostingfirmaer findes tilsvarende værktøjer; spørg din udbyder hvad der findes, og hvor langt tilbage backupperne går, før du får brug for det.

Opsummering

• Genopret i fem trin: inddæmme, undersøge, genoprette rent, anmelde og indberette, kommunikere og lære.
• Isolér, sluk ikke, og skift kun adgangskoder fra en ren enhed.
• Gendan intet før du ved, hvordan angriberen kom ind; ellers sætter du også døren tilbage på plads.
• Geninstallér inficerede enheder, og genopret fra en backup fra før indbruddet.
• Anmeld det, kig på No More Ransom, og betal helst ikke løsesum.

Quiz

Opgave

Opgave A8.3: Sæt genopretningen i den rigtige rækkefølge. Du får en case og ti enkeltstående trin (for eksempel "gendan backup", "træk netværkskablet ud", "find ud af hvordan angriberen kom ind", "anmeld det"). Sæt dem i den rigtige rækkefølge. Programmet kontrollerer om de faste rækkefølgeregler er overholdt (for eksempel: isolér før gendannelse, find årsagen før gendannelse, geninstallér før data gendannes) og forklarer ved hver fejl hvorfor.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på tilsvarende måde.

• DirectAdmin vejledning 18.2: Min hjemmeside er hacket: trin for trin plan
• Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
• Imunify360-scanner
• WebOké Backups: Se, gendan eller download en backup
• Det nederlandske NCSC, Hvad gør man ved et ransomwareangreb?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Det nederlandske NCSC, Ransomware hos små og mellemstore virksomheder: cyberkriminelle hæver løsesummen ved cyberforsikring: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org