Ransomware bitlocker slachtoffer

[Godlikev]

Goedemiddag tweakers,

Gisterenmiddag kon ik opeens niet meer in loggen op de server op het werk, wat nog nooit voorgekomen was, direct ben ik er naar toe gereden, wat bleek, slachtoffer van bitlocker ransomware.

Heb ik goede backups, uiteraard, laatste van vrijdagavond 8 uur, via Acronis true image, alleen als ik deze terug ga zetten, zet ik dan niet ook de ransomware terug en gebeurt het binnen een halve dag weer.
Oftewel hoe check ik of de ransomware actief is en hoe verwijder ik deze, hebben jullie nog andere tools dan hitmanpro/adwcleaner etc die effectief zijn?
Of zat de ransomware simpelweg in het geheugen en kan ik mijn backup zonder zorgen terugzetten?

Hoe kan het zijn dat ik toch slachtoffer ben geworden? Alleen officiële software gebruikt, up to date Windows 10 pro installatie ( afgelopen week de server gemigreerd), heb alleen mijn twijfels over notepad++, want die site was heel traag wat die normaal nooit was, voor de rest alleen onze erp en office365 geinstalleerd.

Iemand nog tips of dingen waar ik iets mee kan ?

[JdM]

Of je de ransomware terugzet bij het herstellen via een backup van een bepaalde tijd, zul je moeten proberen te achterhalen wanneer, hoe en waarmee je besmet bent geraakt. Alleen dan heb je zekerheid lijkt me.

[Rolfie]

Godlikev schreef op zondag 10 november 2019 @ 13:18:
bitlocker ransomware.

Daar heb ik nog nooit last van gehad? Is toevallig niet bitlocker geactiveerd, of heb je een crypto malware binnen gekregen?

Iemand nog tips of dingen waar ik iets mee kan ?

Eerst uitzoeken wat je nu werkelijk hebt en daarna uitzoeken hoe je dit binnen hebt gekregen. Terugzetten heeft geen nut als je root cause niet oplost. Het komt anders direct weer terug, of binnen aanzienlijke tijd.

[HKLM_]

Is er vanuit Office 365 niet een policy actief die verplicht de harddisk te encrypten?

[Godlikev]

Voor de duidelijkheid, het is een soort wannacry ransomware, alleen deze heeft de naam “bitlocker”, vraagt dus ook om losgeld. Zal straks een screenshotje sturen.

[F_J_K]

Restore naar een andere (bijv virtuele) server. Dan wel 'air gapped', zonder verbinding met internet of je netwerk. Bekijk de data op de backup. Zie je de data ->nog niet versleuteld. Of je al besmet bent, is daar nog niet mee te zeggen omdat versleutelen niet -perse- direct gebeurt.

Misschien kan je @Google / antimalwaresites opzoeken wat de indicaties zijn van de besmetting. En bedenk idd hoe je besmet kunt zijn geraakt, anders gebeurt het een dag later weer Andere software ook uptodate? Werkt er ooit iemand met adminrechten? (Hopelijk niet by default)

Sowieso voorlopig even extra backups maken en er geen weggooien.

[ Voor 8% gewijzigd door F_J_K op 10-11-2019 14:41 ]

[Godlikev]

Het gaat btw om deze versie: https://www.pcrisk.nl/ver...jnen/9529-wiki-ransomware