Tijdens ransomware-restore: hoe weten we welke snapshot nog schoon is?

Aanvallers zijn vaak dagen of weken stil binnen voordat ze versleutelen. De snapshot van gisteren is dus niet automatisch schoon. Snapshots binarie verifieren is werk, maar het alternatief is opnieuw versleuteld restoren.

Probeer dit eerst zelf

1. 1Stel allereerst de tijdslijn vast met je SIEM, EDR-logs of access-logs. Wanneer is het eerste verdachte gedrag (account-lockouts, lateral movement, nieuwe processen) gezien? Dat moment min 1 dag is je vertrekpunt.
2. 2Pak die snapshot, mount hem read-only op een isolated network. Niet direct restoren naar productie, dat is precies wat de aanvaller hoopt.
3. 3Scan met een onafhankelijk anti-malware-tool (Microsoft Defender Offline, Kaspersky, Bitdefender) en een EDR die nog niet eerder op die data draaide. 0 hits is pas een eerste signaal, geen garantie.
4. 4Check op IoCs: nieuwe accounts in AD, scheduled tasks, services, registry-run-keys, persistente RAT-binaries in temp-folders. Als die er staan, ga 1 snapshot terug.
5. 5Bevestig integriteit van kritieke configs: AD-replicatie-status, GPO's, DNS-records. Backup van een corrupte AD is corrupte AD.
6. 6Documenteer welke snapshot je gekozen hebt en waarom. Dat is later goud waard voor verzekering, audit en je eigen leerproces.

Past het bovenstaande niet?

Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.