Op de pc van een medewerker veranderen de bestandsextensies de een na de ander en verschijnt een scherm dat losgeld eist. Wat is de meest geschikte eerste actie voor deze medewerker?

Antwoord: A. De pc van het netwerk loskoppelen, bijvoorbeeld door de netwerkkabel los te trekken en het draadloze LAN uit te schakelen, vastleggen wat er op het scherm staat en andere details, en het direct melden bij het aangewezen meldpunt (zoals het CSIRT)

Bij een vermoeden van een besmetting met ransomware moet de pc eerst van het netwerk worden losgekoppeld, zodat de schade zich niet naar andere pc's of bestandsservers uitbreidt. Leg daarna het getoonde scherm vast, het tijdstip waarop het werd opgemerkt, de e-mails of bestanden die kort daarvoor zijn geopend enzovoort, en meld het snel bij het meldpunt dat de organisatie heeft aangewezen (het CSIRT of de IT-afdeling). Of de stroom moet worden uitgeschakeld, hangt af van de procedures van de organisatie of de instructies van het meldpunt, omdat aanwijzingen voor het onderzoek in het geheugen verloren kunnen gaan. Direct wissen vernietigt de aanwijzingen (logbestanden en sporen in bestanden) die nodig zijn om de inbraakroute te vinden en vast te stellen wat er verder is gestolen, en laat het risico bestaan dat er via dezelfde route opnieuw wordt ingebroken. Een melding uitstellen laat de schade intussen groeien. Omdat bij een onderzoek wordt gereconstrueerd wat er in chronologische volgorde is gebeurd door de logbestanden van alle apparaten naast elkaar te leggen, is het belangrijk in normale tijden de klokken van alle apparaten gelijk te houden (bijvoorbeeld met NTP) en logbestanden een bepaalde periode te bewaren op een aparte plek waar ze moeilijk te manipuleren zijn.