Efter en hackerattack eller ransomware: återställ utan att bli smittad igen

Modul 8: När något går fel · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du gå igenom återställningsfasen efter en hackerattack eller ransomware: begränsa, utreda vad som hände, återställa rent, polisanmäla, kommunicera och dra lärdomar.

Nyckelbegrepp: begränsning, isolering, initial åtkomst, persistens, forensisk utredning, ren ominstallation, återställningsordning, polisanmälan, No More Ransom, lösensumma, cyberförsäkring, utvärdering

Det största misstaget: att för snabbt "återställa allt"

En webbutvecklare får på en tisdag en anmälan: kundens WordPress-webbplats omdirigerar besökare till en falsk butik. Han återställer säkerhetskopian från förra veckan, webbplatsen fungerar igen, klart. På torsdagen händer det igen. Angriparen hade kommit in via ett föråldrat plugin och lämnat kvar ett extra administratörskonto och en dold fil. Säkerhetskopian från förra veckan innehöll redan det. Att återställa utan att veta hur någon kom in innebär att du även återställer den öppna dörren.

Samma sak händer vid ransomware i ett kontorsnätverk. Kriminella finns ofta kvar i systemet i dagar eller veckor innan de krypterar. Under den tiden skapar de extra konton, installerar programvara för fjärråtkomst och letar reda på säkerhetskopiorna. Den som bara återställer de krypterade filerna låter angriparen vara kvar.

Återställning sker därför i fem steg, i den här ordningen.

Steg 1: begränsa

Att begränsa betyder: se till att det inte blir värre. De första minuterna står på ditt incidentkort (lektion 8.1).

• Isolera drabbade enheter: dra ut nätverkskabeln, stäng av wifi och mobilnätet, eller använd flygplansläge. Det nederländska NCSC rekommenderar att drabbade system inte stängs av utan kopplas bort; viloläge är okej. På så sätt bevaras spår i arbetsminnet och spridningen stoppas.
• Koppla bort externa hårddiskar och säkerhetskopieringsmedier och anslut dem inte till en enhet som eventuellt är smittad.
• Kan du inte isolera ett system, bryt då anslutningen till nätverksdisken. Är hela nätverket drabbat, stäng av internetanslutningen (till exempel genom att stänga internetuppkopplingen eller brandväggen).
• Ändra lösenord från en ren enhet, börja med de viktigaste: administratörskonton, e-post, lösenordshanteraren, banken. Logga ut alla sessioner överallt. Gör inte detta från en dator som eventuellt innehåller en infostealer eller keylogger (lektion 1.4), för då läser du upp det nya lösenordet direkt för angriparen.
• Spara bevis: foto på lösensummebudskapet, mejlen, betalningsförfrågningar, kryptoadresser, tidpunkter. Släng inget.

Vid en hackad webbplats innebär begränsning: ta tillfälligt webbplatsen offline eller sätt den i underhållsläge, ändra alla lösenord (administration, FTP, databas, webbhotell) och koppla in ditt webbhotell.

Steg 2: utreda vad som hände

Du vill veta tre saker:

1. Hur kom de in? Den initiala åtkomsten: ett nätfiskemejl, ett stulet lösenord utan 2FA, en föråldrad VPN-server eller ett plugin, en öppen anslutning för fjärradministration.
2. Vad lämnade de kvar? Persistensen: extra konton, schemalagda uppgifter, programvara för fjärradministration, vidarebefordringsregler i e-postlådor, extra filer på webbservern.
3. Vad har de tagit med sig? Vid modern ransomware kopierar kriminella ofta data först och hotar med publicering (dubbel utpressning, lektion 1.3). Då har du även en personuppgiftsincident (lektion 8.2).

För ett litet företag går detta sällan att göra själv. Koppla in din IT-leverantör, eller ett specialiserat företag för incidenthantering. Många cyberförsäkringar har ett fast nummer till ett sådant team. Fråga ett externt företag vilken erfarenhet det har av din typ av incident och kom överens i förväg om vad utredningen omfattar.

Vid en webbplats hjälper åtkomstloggen och felloggen från webbservern, en skadlig kodgenomsökning av filerna och en jämförelse med en ren kopia av CMS:et och pluginen.

Steg 3: återställa rent

Först när du vet hur angriparen kom in och den vägen är stängd börjar du återställa.

Återställ i den ordning du har fastställt i din plan (lektion 8.1 och 6.3): börja med det företaget behöver för att fortsätta drivas. Håll den återställda delen separerad från det som ännu inte är kontrollerat.

Här visar det sig om din säkerhetskopia håller måttet. En säkerhetskopia som var ansluten till nätverket är ofta krypterad eller raderad tillsammans med resten. En offline eller oföränderlig säkerhetskopia (lektion 6.2) och en testad återställningsprocedur (lektion 6.3) gör skillnaden mellan dagars och veckors stillestånd.

Steg 4: polisanmälan, anmälan och lösensumma

Polisanmälan. Gör en polisanmälan. Ta med bevis (lösensummebudskap, mejl, betalningsuppgifter). Polisanmälan behövs för utredning, hjälper polisen att se samband, och försäkringsbolag efterfrågar det ofta.

No More Ransom. På https://www.nomoreransom.org (ett initiativ av bland andra Europol och nederländska polisen) kan du få en krypterad fil eller lösensummebudskapet identifierat. För vissa ransomwarefamiljer finns en gratis dekrypteringsverktyg. För de flesta nya varianter inte, men det tar liten tid att kolla.

Anmälan. Kontrollera vilka anmälningar som krävs: en personuppgiftsincident till IMY inom 72 timmar (e-tjänst) (lektion 8.2), en betydande incident via registrering hos tillsynsmyndigheten om du omfattas av cybersäkerhetslagen (2025:1506) (lektion 9.1), och vad du har kommit överens om med kunder eller uppdragsgivare.

Lösensumma. Det nederländska NCSC avråder från att betala lösensumma, polisen säger "betala helst inte". Orsakerna:

• Du har ingen garanti för att du får en fungerande nyckel, eller att uppgifterna ändå inte publiceras.
• Data du får tillbaka kan vara skadad eller förändrad.
• Den som betalar blir känd som någon som betalar. Offer blir ibland utpressade igen eller angripna på nytt senare.
• Du finansierar nästa attack.

Överväger du ändå att betala, eller har du betalat, anmäl det alltid till polisen: betalningsuppgifterna kan hjälpa utredningen. Detta beslut hör hemma hos beslutsfattaren i din incidentplan, inte hos den som ser meddelandet först.

Cyberförsäkring. En cyberförsäkring kan täcka kostnader för utredning, återställning och verksamhetsskada, och ger ofta tillgång till ett incidentteam. Läs villkoren: många försäkringar kräver grundläggande åtgärder som 2FA och säkerhetskopior, och kräver att du anmäler snabbt. Det nederländska NCSC skrev i april 2025, baserat på en undersökning av över 500 ransomware-incidenter hos mindre och medelstora företag, att angripare efter intrång letar efter filer med namn som "försäkring" eller "försäkringsbrev" för att stärka sin förhandlingsposition. Kolla därför hur lätt en inkräktare hittar din försäkringshandling, och spara den helst inte på en delad disk. En försäkring ersätter inte åtgärder: den betalar skadan, men förhindrar den inte.

Steg 5: kommunicera och lära

Låt kommunikatören i din plan berätta en tydlig historia för personal, kunder och leverantörer: vad som hänt, vad det betyder för dem, vad de ska göra (till exempel: var uppmärksam på mejl som verkar komma från oss), och när de hör av dig igen. Ärligt och i tid fungerar bättre än att tiga tills det läcker ut.

Planera en utvärdering inom några veckor: vad gick bra, vad gick fel, vad ändrar du? Nästan alltid kommer samma punkter fram: 2FA saknades någonstans, ett system var inte uppdaterat, säkerhetskopian var inte testad, eller ingen visste vem som fick besluta. Lägg in dessa punkter i din plan från lektion 9.3, med en ansvarig och ett datum.

I praktiken: så här ser det ut

Vid en hackad webbplats på ett webbhotellpaket arbetar du ofta med ditt webbhotells verktyg. Hos WebOké är det till exempel en skadlig kodgenomsökning (Imunify360), loggfilerna i DirectAdmin, återställning av en säkerhetskopia från WebOké Backups och en steg-för-steg-guide i DirectAdmin-manualen. Hos andra webbhotell finns jämförbara verktyg; fråga din leverantör vad som finns och hur långt bak säkerhetskopiorna sträcker sig, innan du behöver det.

Sammanfattning

• Återställ i fem steg: begränsa, utreda, återställa rent, polisanmäla och anmäla, kommunicera och lära.
• Isolera, stäng inte av, och ändra lösenord endast från en ren enhet.
• Återställ ingenting innan du vet hur angriparen kom in; annars återställer du även den öppna dörren.
• Installera om smittade enheter och återställ från en säkerhetskopia från innan intrånget.
• Gör en polisanmälan, kolla på No More Ransom, och betala helst inte lösensumma.

Quiz

Uppgift

Uppgift A8.3: Sätt återställningen i rätt ordning. Du får ett scenario och tio lösa steg (till exempel "återställ säkerhetskopia", "dra ut nätverkskabeln", "ta reda på hur angriparen kom in", "gör en polisanmälan"). Sätt dem i rätt ordning. Programmet kontrollerar om de fasta ordningsreglerna stämmer (till exempel: isolera före återställning, orsak före återställning, installera om före återställning av data) och förklarar varför vid varje fel.

Läs mer

Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 18.2: Min webbplats är hackad: steg för steg
• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• Imunify360-skanner
• WebOké Backups: visa, återställa eller ladda ner en backup
• Det nederländska NCSC, Vad göra vid en ransomwareattack?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Det nederländska NCSC, Ransomware hos mindre och medelstora företag: cyberkriminella höjer lösensumman vid cyberförsäkring: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org