I backup possono essere infettati dal ransomware?
Sì, in due modi diversi. I file di backup stessi possono essere cifrati o cancellati se il ransomware o l'attaccante raggiunge lo storage di backup, ed è per questo che contano le copie immutabili e offline. Meno ovvio: i backup possono contenere fedelmente la presenza dell'attaccante. Gli attaccanti restano spesso nella rete per giorni o settimane prima di cifrare, quindi i backup recenti possono includere le loro backdoor, attività pianificate, nuovi account amministrativi o file malevoli, pronti a riattivarsi dopo un ripristino. Per questo si conservano diversi punti di ripristino su un periodo più lungo, si ripristina prima in un ambiente isolato, si analizzano i sistemi ripristinati e si cercano account e strumenti di accesso remoto che non dovrebbero esserci. Sapere quando l'intrusione è iniziata davvero, dai log e dalla cronologia di rete, indica quale punto di ripristino è probabilmente pulito.