Gaan ransomwarebendes eerst achter de back-ups aan?
Heel vaak wel. Voordat ze gaan versleutelen, zoeken aanvallers de back-upserver, de console van de back-upsoftware en eventuele snapshots of schaduwkopieën, en verwijderen, versleutelen of beschadigen die, zodat het slachtoffer zich niet zonder betalen kan herstellen. MITRE ATT&CK noemt dit Inhibit System Recovery (T1490), en het verwijderen van schaduwkopieën komt in veel ransomwarewaarschuwingen van CISA voor. Beheerdersaccounts voor back-ups en back-upservers die in hetzelfde domein hangen als al het andere zijn veelvoorkomende zwakke plekken. Verdediging: houd minstens één onveranderbare of offline kopie, draai het back-upsysteem met aparte inloggegevens en meervoudige authenticatie, houd het waar mogelijk buiten het hoofddomein en beperk welke machines ermee mogen verbinden. Aan de netwerkkant zijn verbindingen met de back-upserver vanaf machines die er normaal nooit mee praten een waarschuwingssignaal. De netwerkkaart van NetSenX toont welke hosts elke server bereiken, en ongebruikelijke interne verbindingen worden gemarkeerd als mogelijke laterale beweging.