O que fazer nas primeiras horas de um ransomware?
Nas primeiras horas de um ransomware, o que mais importa é conter antes de investigar: isolar da rede o que está afetado, desligar a sincronização com a nuvem e proteger o backup. Desligar tudo no impulso, formatar ou restaurar por cima costuma eliminar a chance de recuperação.
Começa parecendo outra coisa: arquivos que não abrem, nomes estranhos, um sistema que não sobe. Quando aparece o arquivo de texto pedindo resgate, já se passaram horas. O que a empresa faz nas horas seguintes determina quanto vai perder — e a maior parte dos danos que atendemos foi ampliada por reações compreensíveis e erradas.
Contenção: a primeira hora
A prioridade é parar a propagação, e nesta ordem:
- Desconecte da rede as máquinas afetadas — tire o cabo, desligue o sem fio. NÃO desligue o computador: memória desligada leva junto informação útil para entender o que aconteceu.
- Desconecte da rede o servidor de arquivos se ele estiver sendo atingido, para preservar o que ainda não foi criptografado.
- Pare a sincronização com a nuvem em todas as máquinas. Arquivo criptografado sincronizado sobrescreve a versão boa no serviço.
- Desconecte fisicamente qualquer disco de backup ligado. Ele é o alvo seguinte.
- Verifique se o repositório de backup em nuvem tem cópia intacta, mas sem restaurar nada ainda.
- Avise a direção. Isso deixa de ser assunto de TI na primeira hora.
Os erros que destroem a recuperação
Todos comuns, todos feitos com a melhor das intenções:
- Formatar e reinstalar rápido para 'voltar a trabalhar'. Elimina qualquer chance de análise e, às vezes, a de recuperação parcial.
- Restaurar o backup por cima, com o ambiente ainda comprometido. O que entra é criptografado de novo, e agora sem cópia limpa.
- Deixar o backup conectado. Disco externo ou pasta de rede montada é criptografado junto.
- Pagar o resgate por conta própria. Além de não garantir nada, é decisão da direção e tem implicações que extrapolam a TI.
- Baixar 'descriptografadores' de sites aleatórios. Boa parte é outro golpe.
- Ligar tudo de volta para testar. Sem saber por onde entrou, religar reinicia o processo.
O que fazer em seguida
Com a contenção feita, o trabalho passa a ser de ordem:
- Levantar o alcance: quais máquinas, quais pastas, desde quando. A data de início importa mais do que parece, porque define qual backup ainda é confiável.
- Identificar o ponto de entrada provável — anexo, acesso remoto exposto, credencial vazada — porque restaurar sem fechar a porta é repetir o episódio.
- Verificar qual é a cópia de backup mais recente ANTERIOR ao início da infecção, e validá-la antes de contar com ela.
- Reconstruir em ambiente limpo, e só então restaurar os dados.
- Trocar as senhas, principalmente as administrativas, depois do ambiente limpo — e não antes, porque senha nova em ambiente comprometido vaza junto.
- Registrar tudo com data e hora. A direção vai precisar disso, e possivelmente terceiros também.
Sobre comunicação e obrigações legais: incidente com dado pessoal envolve decisões que cabem à direção e à assessoria jurídica da empresa. Nós tratamos do lado técnico e fornecemos o registro; não somos quem avalia o dever legal.
O que teria mudado o desfecho
Falando do que realmente faz diferença, e não de promessa:
- Cópia de backup desconectada ou imutável. É o item que mais separa a empresa que volta em um dia da que não volta.
- Teste de restauração feito antes. Descobrir que o backup não presta durante o incidente é o pior momento possível.
- Acesso remoto fechado, atrás de VPN e com verificação em duas etapas. Porta de acesso remoto publicada é o caminho de entrada mais usado.
- Usuário sem privilégio de administrador no dia a dia, o que limita muito o alcance.
- Sistemas atualizados, porque boa parte das invasões usa falha antiga e conhecida.
- Monitoramento, porque a criptografia em massa gera sinais antes de terminar.
Como isso fica no contrato mensal
Nada disso se improvisa no dia. O contrato mensal existe para ter, antes do incidente, backup com cópia desconectada e testada, acesso remoto fechado, atualização em dia, privilégio controlado e monitoramento ligado — e, no dia, gente que conhece o ambiente e não precisa descobrir o que a empresa tem enquanto tudo está parado. Veja Backup gerenciado e os planos de suporte mensal.