Записка шифровальщика означает возможный активный инцидент. Сначала остановите распространение.
Изолируйте устройство
Отключите сетевой кабель и Wi-Fi, не подключайте внешние диски и сообщите ответственному специалисту, чтобы он оценил другие компьютеры, общие папки и облачные ресурсы.
Не стирайте следы
Не переустанавливайте систему и не удаляйте файлы наугад до решения команды реагирования, поскольку журналы, снимки памяти и образ диска способны помочь расследованию, определению входной точки и масштаба инцидента.
Восстанавливайте после очистки
Используйте проверенную копию только после закрытия первоначального доступа, обновления систем, смены скомпрометированных учетных данных и подтверждения, что резерв не заражен.
Если сеть нельзя быстро отключить, выключение может ограничить распространение, но потеряет данные оперативной памяти, поэтому организациям нужен заранее согласованный план инцидента, ответственные роли и независимый резервный канал связи.
Копии планирует правило 3-2-1. Последовательность ответа публикует CISA.