Ransomware: vad du gör om utpressningsprogram låser dina filer

Ransomware, på svenska utpressningsprogram eller utpressningstrojan, krypterar datorns filer så att du behöver ett lösenord för att kunna läsa dem igen. Utpressarna kräver en lösensumma, ofta i någon kryptovaluta, för att lämna ut det, skriver Internetstiftelsen. Enligt Microsoft kan ett utpressningsprogram också spridas till andra datorer och lagringsenheter i nätverket, och även mobila enheter kan drabbas. Mot organisationer förekommer dessutom dubbel utpressning: angriparna kopierar först informationen och hotar sedan att offentliggöra den, beskriver CERT-SE.

Hur det tar sig in

• Genom falska programuppdateringar, till exempel en uppdatering som du uppmanas ladda ned via en länk i ett mejl.
• Via besök på osäkra, misstänkta eller falska webbplatser.
• Genom bilagor som du inte väntade dig eller som kommer från personer du inte känner.
• Via skadliga länkar i mejl, sociala medier och sms-chattar.
• Med andra skadliga program, till exempel trojaner.

Mobilen är inte immun. Internetstiftelsen har sett ett fåtal exempel på utpressningstrojaner som drabbar Android-mobiler och låser alla filer tills en lösensumma betalas. Det är dock framför allt datorer som drabbas.

Ett affärsupplägg för kriminella

De senaste åren har utpressningsangrepp blivit en populär inkomstkälla för kriminella, skriver NCSC. Allt vanligare är Ransomware as a Service (RaaS): hela angreppet genomförs på beställning. Beställaren köper en metod, väljer själv offer och lösensumma, sköter kontakten med offret och delar lösensumman med aktören bakom tjänsten. Följderna kan nå även medborgare och kunder, särskilt när många organisationer använder samma it-leverantör, som i fallet med Tietoevry i januari 2024.

Gör så här direkt

1. Koppla bort datorn från nätverket för att förhindra spridning.
2. Anslut inte den externa hårddisken med säkerhetskopian förrän säkerhetskopieringsappens instruktioner säger det, annars kan även säkerhetskopiorna krypteras.
3. Spara eller fotografera utpressningsmeddelandet. Du behöver det för att ta reda på om filerna går att återställa.
4. Betala inte lösensumman.
5. Polisanmäl utpressningen genom att ringa 114 14 eller besöka en polisstation.
6. Driver du ett företag och rör angreppet personuppgifter, anmäl det också till IMY. CERT-SE, som i dag finns vid NCSC, ger drabbade verksamheter råd och stöd dygnet runt på 010-382 80 00 eller cert@cert.se.

Ska du betala?

Nej. Polisen, NCSC och CERT-SE säger samma sak: betala aldrig. Det finns inga garantier för att filerna dekrypteras eller att angriparen inte återkommer med nya krav, och enligt Polisen är risken stor att du drabbas igen eller att den skadliga programvaran finns kvar i datorn. Har du redan betalat: kontakta din bank direkt, skriver Microsoft. Har du betalat med kreditkort kanske banken kan blockera transaktionen och lämna tillbaka pengarna.

Så får du tillbaka filerna

• No More Ransom, Europols tjänst, samlar nycklar och program som kan dekryptera filer som låsts av olika typer av utpressningsprogram. Ladda upp utpressningsmeddelandet där för att se om dina filer går att återställa utan att du betalar. Alla typer har ännu ingen lösning, men nya verktyg läggs till.
• Rensa datorn helt med Windows-säkerhet innan du försöker återställa filerna, råder Microsoft.
• Återställ sedan från en säkerhetskopia som togs före infektionen. CERT-SE påminner om att först kontrollera att kopiorna inte också är påverkade av angreppet.
• Har du viktiga filer i OneDrive kan appen Windows-säkerhet vägleda dig genom att återställa dem därifrån.
• Utan säkerhetskopia och utan lösning på No More Ransom måste du återställa datorn och installera om operativsystemet. Då försvinner alla filer. Vill du spara den krypterade lagringsenheten ifall utpressningsprogrammet knäcks i framtiden kan en datortekniker byta den innan du återställer datorn, om det går på din modell.

Skydda dig innan det händer

• Säkerhetskopiera ofta och helst automatiskt, och ha en egen kopia på en annan enhet som du förvarar på en säker plats, råder NCSC. Koppla ur säkerhetskopian från datorn mellan kopieringarna, råder Polisen. För organisationer rekommenderar CERT-SE 3-2-1-regeln: tre kopior på två olika media, varav en helt frånskild från nätverket.
• Slå på Reglerad mappåtkomst, som Microsoft på andra ställen kallar Kontrollerad mappåtkomst: Windows-säkerhet > Skydd mot virus och hot > Hantera skydd mot utpressningstrojaner. Den hindrar okända appar från att ändra filer i skyddade mappar som Dokument, Bilder, Videor, Musik och Skrivbord.
• Håll Windows uppdaterat och starta om datorn minst en gång i veckan, råder Microsoft.
• Öppna inte bilagor du inte väntade dig, och var misstänksam mot varningar om programuppdateringar.
• Använd inte ett administratörskonto till vardagliga sysslor som att läsa e-post eller surfa.

Mot utpressningsprogram förbereder du dig i förväg: en färsk säkerhetskopia, frånkopplad från datorn, som ingen kan kryptera.