Co zrobić od razu?
- odłącz zagrożone urządzenia od sieci LAN/Wi‑Fi,
- zatrzymaj automatyczne synchronizacje oraz przywracanie kopii,
- zachowaj notatkę okupu, rozszerzenia plików oraz logi,
- opisz, które systemy są krytyczne biznesowo.
Dysk i Spółka • Incydent ransomware
Ransomware: analiza incydentu i bezpieczne przywracanie danych
Ransomware to atak, w którym pliki lub całe zasoby zostają zaszyfrowane. Po takim incydencie zatrzymaj niekontrolowane działania: najpierw zabezpieczamy materiał, kopie oraz objawy ataku, potem oceniamy realną ścieżkę odzysku danych lub odbudowy środowiska.
Ransomware
Analiza incydentu
Kopie zapasowe
NDA dla firm
Pilny incydent ransomware
Serwer, NAS albo komputer firmowy po szyfrowaniu? Najpierw zatrzymaj incydent oraz zabezpiecz materiał
Utraciłeś dane po ataku ransomware? Komputer, serwer lub NAS pokazuje rozszerzenia typu .locked, .encrypted, .crypt, .[email]? Pliki przestały się otwierać?
Dysk i Spółka – Laboratorium Odzyskiwania Danych specjalizuje się w analizie incydentów ransomware, bezpiecznym odzyskiwaniu kluczowych plików oraz przywracaniu środowisk firmowych po ataku.
Najpierw zabezpieczamy nośniki, kopie i materiał do analizy. Dopiero potem oceniamy, czy realny jest odzysk, odszyfrowanie, wykorzystanie kopii zapasowych albo rekonstrukcja danych z nośników.
Działamy na terenie całej Polski — nośniki, serwery oraz NAS-y przyjmujemy także wysyłkowo po wcześniejszym kontakcie. Przy pilnych sprawach możemy rozpocząć wywiad techniczny od razu po zgłoszeniu.
Co przygotować do kontaktu?
- nazwę rozszerzenia i kilka zaszyfrowanych plików,
- informację o kopiach, migawkach i eksporcie konfiguracji,
- opis środowiska: komputer, serwer, NAS, liczba dysków,
- listę działań wykonanych po ataku.
Dlaczego laboratorium?
- oceniamy realne scenariusze odzysku i ryzyko,
- najpierw zabezpieczamy materiał i środowisko,
- w sprawach poufnych możemy działać pod NDA.
Szybka decyzja techniczna
Przy ransomware najpierw opisz objawy incydentu
Po pierwszej konsultacji wskazujemy, co zabezpieczyć, które działania zatrzymać i czy nośniki lepiej odłączyć, dostarczyć do laboratorium czy przygotować do wysyłki.
Zakres obsługi
W ramach obsługi incydentu wykonujemy
Pełną analizę techniczną ataku
- identyfikacja rodzaju ransomware,
- analiza rozszerzeń, notatek oraz nagłówków plików,
- sprawdzenie zweryfikowanych publicznych deszyfratorów oraz znanych luk — bez uruchamiania przypadkowych narzędzi na danych źródłowych.
Ocenę realnych możliwości odzysku
- sprawdzamy, czy dane zaszyfrowano w całości,
- weryfikujemy kopie zapasowe, migawki i wersje poprzednie,
- szukamy fragmentów, które nadal są nienaruszone.
Analizę możliwych źródeł danych
- odzysk niezaszyfrowanych fragmentów,
- praca z dyskami HDD/SSD/NAS po częściowym uszkodzeniu,
- rekonstrukcja plików, gdy ma to techniczny sens.
Pomoc firmom w powrocie do pracy
- NAS/Synology/QNAP po ataku,
- analiza strat i raport po incydencie,
- doradztwo dotyczące kopii, zabezpieczeń i okupu.
Deszyfrowanie tylko w kontrolowanych warunkach
- gdy są dostępne publiczne deszyfratory,
- gdy wariant ransomware ma znane błędy,
- gdy klucz da się odzyskać z procesu lub kopii.
Uczciwe zasady
Czego nie obiecujemy
Nie deklarujemy odszyfrowania bez analizy wariantu ataku. Najpierw zatrzymujemy incydent, zabezpieczamy kopie, sprawdzamy nośniki i dopiero wtedy wskazujemy realne ścieżki odzysku lub odbudowy.
- nie twierdzimy, że da się odszyfrować każde ransomware,
- nie sprzedajemy „autorskich algorytmów łamania AES‑256”,
- nie pobieramy pieniędzy za obietnice bez pokrycia,
- Jeśli odszyfrowanie konkretnego wariantu ransomware nie jest możliwe, sprawdzamy alternatywne scenariusze odzyskania plików (np. kopie zapasowe, shadow copies).
Sygnały ostrzegawcze
Objawy ataku ransomware — co widzisz na komputerze
Po ransomware zachowaj ślady: zaszyfrowane pliki, notatkę okupu, logi, kopie i migawki. Nie uruchamiaj przypadkowych deszyfratorów na danych źródłowych i nie przywracaj produkcji bez zabezpieczenia kopii.
Pliki mają dziwne rozszerzenia
Jeśli dokumentów i zdjęć nie można otworzyć, a nazwy lub rozszerzenia się zmieniły — nie uruchamiaj „napraw” i nie reinstaluj systemu.
W folderach pojawiła się notatka okupu
Odłącz komputer od sieci, zachowaj notatkę, próbki plików i logi. Te elementy pomagają odróżnić problem odzysku danych od odbudowy środowiska.
Zaszyfrowane są NAS, serwer albo kopie
Nie przywracaj kopii na ten sam zasób bez planu. Najpierw trzeba ustalić, kiedy zaczął się zapis zaszyfrowanych danych i czy migawki są nienaruszone.
Proces pracy
Jak wygląda proces po ataku ransomware — krok po kroku
- 1
Kwalifikacja incydentu z inżynierem
Krótko ustalamy objawy, rodzaj ataku i najważniejsze systemy.
- 2
Diagnostyka
Weryfikujemy rodzaj ransomware, stopień zaszyfrowania i możliwości odzysku. Wstępna kwalifikacja incydentu jest bezpłatna.
- 3
Analiza laboratoryjna
Oceniamy skalę uszkodzeń, możliwości deszyfracji i potencjał odzysku z innych warstw danych.
- 4
Wycena odzysku
Po analizie przedstawiamy realne możliwości i uczciwe widełki zależne od skali oraz typu danych.
- 5
Realizacja
Pracujemy na zabezpieczonych kopiach, odzyskujemy dane zakwalifikowane podczas analizy i przekazujemy raport z wynikiem oraz ograniczeniami.
Dla kogo jest ta usługa?
Dla firm
Biura rachunkowe, gabinety lekarskie, spółki handlowe, prawnicy, fotografowie, filmowcy oraz małe i średnie firmy z NAS/Synology/QNAP/Dell/HP.
Dla osób prywatnych
Zdjęcia rodzinne, dokumenty, materiały zawodowe i prywatne.
Jakie dane najczęściej odzyskujemy?
Scenariusze B2B
NAS, RAID, serwer, bazy danych
W firmowym incydencie ransomware najpierw zabezpiecza się materiał do analizy: zaszyfrowane pliki, notatkę okupu, nośniki, kopie zapasowe i informacje o środowisku.
Jeżeli incydent dotyczy księgowości, ERP, SQL, udziałów NAS albo macierzy RAID, w pierwszym kontakcie podaj systemy krytyczne, ostatnią sprawną kopię oraz działania wykonane po ataku.
Procedura i poufność
Kontrolowana analiza incydentu ransomware
- analiza nośników i kopii w odizolowanym środowisku laboratoryjnym,
- narzędzia PC‑3000, MRT, DeepSpar i Gardiox dobierane do rodzaju nośnika oraz zakresu incydentu,
- możliwość zawarcia umowy NDA przed rozpoczęciem diagnostyki,
- oddzielenie zabezpieczenia materiału, analizy technicznej i odbudowy środowiska,
- ocena możliwości odzysku zgodna z rodzajem szyfrowania, stanem nośników i dostępnością kopii.
FAQ
Najczęstsze pytania po ransomware
Czy po ransomware da się odzyskać dane bez płacenia okupu?
Możliwość odzysku zależy od wariantu szyfrowania i stanu nośników. Najpierw zabezpieczamy materiał i wykonujemy obraz nośników do analizy.
Co zrobić od razu po wykryciu szyfrowania?
Odłącz urządzenie od sieci, nie uruchamiaj procedur modyfikujących, nie reinstaluj systemu i skontaktuj się z laboratorium.
Czy pomagacie po incydencie na serwerze lub NAS?
Tak. Wykonujemy kopie nośników, analizę struktury danych i dobieramy metodę odzysku w zależności od scenariusza ataku.
Czy mogę sam usuwać malware przed odzyskiem?
Najpierw zabezpiecz dane. Czyszczenie bez kopii może usunąć artefakty potrzebne do odzysku lub analizy.
Kwalifikacja techniczna
Przekaż incydent do analizy
Dysk i Spółka – Laboratorium Odzyskiwania Danych, Warszawa — Białołęka. Przyjmujemy nośniki z całej Polski, także kurierem. Dane analizujemy w kontrolowanym środowisku laboratoryjnym; przy sprawach firmowych możemy podpisać NDA przed rozpoczęciem diagnostyki.
Zgłoś incydent ransomware i opisz objawy
Opisz incydent ransomware — wskażemy, jak zabezpieczyć materiał i co robić dalej.
Omów incydent z inżynierem 573 532 490
Omów incydent z inżynierem 573 532 490