DFIR та відновлення клініки після LockBit

Три причини, чому клініка була за крок від колапсу 

Атаці передували сигнали, які медичний заклад уже бачив: фішингові листи приходили й раніше, але їх щоразу блокували. А ось підозрілу активність на RDP один раз просто пропустили повз увагу. Саме цим вікном зловмисники й скористалися – і далі непомітно готувалися до удару. 

Формально проблема звучала просто: «сервери зашифровано». Насправді за цим стояло ось що – клініку, де щодня лікуються люди, за 72 години могли зупинити на невизначений строк, а базу пацієнтів злити в даркнет. Ситуацію ускладнювали одразу три чинники: 

1. Бекап теж зашифрували. Улюблений сценарій «просто піднімемо з резервної копії» не спрацював – бекап-сервер був такою ж ціллю атаки, як і робоча інфраструктура.
2. 45 днів непомітної підготовки. Зловмисники встигли витягти 12 ГБ даних і вивчити мережу зсередини – задовго до того, як хоч щось зашифрувалося.
3. Два дедлайни одразу. 72 години до публікації даних пацієнтів у даркнеті – і ті самі 72 години на повідомлення відповідно до GDPR. Час працював проти клініки з двох боків.

У сухому залишку: 4 сервери ЕМС, 2 файлові сервери на 120 ТБ, бекап-сервер і 45 робочих станцій – усе офлайн. Зловмисники вимагали викуп у $2,1 млн, а сукупні потенційні втрати – з урахуванням викупу, штрафів і втраченого доходу – оцінювали в $7–9 млн. 

І це ще не все. Робота зупинилася для 85 співробітників, а можливість приймати пацієнтів (заклад обслуговує понад 25 000 на рік) опинилася під загрозою. З юридичного боку теж було чим перейматися: оскільки оброблення даних підпадало під дію GDPR, інцидент створював ризик санкцій за цим регламентом і за українським Законом про захист персональних даних.

Додатково – ризики, пов'язані із захистом лікарської таємниці, та можливий вплив на відповідність вимогам ISO/IEC 27001, що важливо для роботи з міжнародними партнерами.

Перед командою Datami постало три завдання:

Перші 45 хвилин: рішення ухвалено, команда на об'єкті 

Рішення ухвалили одразу: викуп не платимо і не чекаємо, поки одна точка відновлення врятує ситуацію. Розслідування, відновлення даних і закриття вразливостей йшли паралельно, а не по черзі – часу на «спочатку одне, потім інше» просто не було. Наданий white-box-доступ – повні права адміна, фізичний вхід у дата-центр, резервні ключі – усунув затримки на погодження. 

Команда була на місці вже через 45 хвилин після дзвінка. Роботу організували у п'ять частково паралельних фаз – від ізоляції загрози до довгострокового захисту, – і швидкість на кожному етапі вимірювали не загальними фразами, а конкретними годинами: 

1. Закрито відкритий RDP – 1 година.
2. Змінено паролі на всіх облікових записах – 24 години.
3. Розгорнуто EDR – 48 годин.
4. Впроваджено MFA для всіх – 72 години.
5. Завершено сегментацію мережі – 7 днів.

CIO отримував апдейт кожні 4 години, керівництво – щоденний бриф.

Коли основні системи вже працювали, ми протестували відновлену інфраструктуру на наявність вразливостей за допомогою пентесту. Що саме він показав – у розділі нижче.

Відновлення після інциденту, пентест і аудит відповідності 

У межах проєкту команда Datami надала три послуги: відновлення після інциденту, пентест уже захищеної інфраструктури та аудит відповідності вимогам GDPR – одну за одною, у міру завершення попередніх етапів.

Команда паралельно перевіряла кілька варіантів відновлення, і кожен мав свої обмеження. Бекап-сервер виявився зашифрованим разом із рештою інфраструктури, тож класичний сценарій «підняти з резервної копії» одразу відпав. 

Локальні Shadow Copies дозволили повернути частину файлів, але доступних копій не вистачило для відновлення повного масиву; додатково аналіз ускладнював intermittent encryption – вибіркове шифрування частин файлів, яке LockBit 3.0 застосовував, щоб діяти швидше.

Основним джерелом відновлення став ізольований накопичувач (офлайн NAS), який на момент атаки не був підключений до мережі. Саме з нього відновили основний масив даних – через Veeam і SQL Recovery для структурованих записів ЕМС.

І ще одна проблема, суто фізична. За наявної пропускної здатності передати 120 ТБ мережею у встановлений строк було неможливо, тому частину накопичувачів транспортували фізично.

Слід, який залишив зловмисник

Дрібниця, яка чіпляє: серед 80 000 медичних карток три лишилися незашифрованими. Команда припустила, що зловмисники могли використовувати їх для перевірки доступу ще до основної атаки. Хронологію 45-денного вторгнення відновили передусім за логами та іншими цифровими артефактами.

Паралельно заблокували зв'язок інфраструктури з C2-сервером зловмисників. Команда допомогла клієнту повідомити компетентні органи про компрометацію та вивантаження 12 ГБ даних відповідно до застосовних вимог.

Кастомні рішення

Готового рішення «з коробки» не було на кожен крок, тож частину інструментів писали самі:

• скрипт для розбору дампів пам'яті (Volatility) під конкретну збірку LockBit 3.0;
• автоматичне зіставлення індикаторів компрометації з логами Active Directory та Exchange – щоб простежити всі 45 днів присутності зловмисника;
• прискорене відновлення записів SQL Server із пошкоджених .mdf/.ldf файлів.

Архітектура «До / Після»

До: пласка мережа без сегментації, незахищений RDP-порт у відкритому доступі без MFA, EDR немає, паролі на 12 облікових записах не мінялися роками.

Після: мережа сегментована, доступ тільки через VPN, EDR на кожному кінцевому пристрої, MFA всюди, паролі ротуються, бекап за схемою 3-2-1 з офлайн-копією.

Валідаційний пентест і аудит відповідності 

Усунути наслідки інциденту – це одне, довести, що їх усунули, – зовсім інше. Тому після відновлення команда провела пентест уже захищеної інфраструктури – змоделювала атаку та перевірила систему на наявність вразливих місць у кіберзахисті: ми виявили вразливі до перебору слабкі паролі у 12 облікових записах.

Перевірка підтвердила, що зовнішній доступ до RDP закрито, MFA та сегментацію налаштовано коректно, а колишній шлях проникнення більше не відтворюється.

Після усунення виявлених під час пентесту проблем провели аудит відповідності вимогам GDPR – він став завершальною перевіркою після відновлення та посилення захисту інфраструктури.

Тільки після цього команда сказала клієнту: тепер справді безпечно.

Технологічний стек

• Форензика й аналіз: Volatility, Wireshark, YARA, Velociraptor, Ghidra, IDA Pro
• Відновлення даних: PhotoRec, Veeam, SQL Recovery, Shadow Copy
• Захист і посилення безпеки: Microsoft Defender EDR, Azure MFA, FortiGate
• Стандарти й бейзлайни: NIST SP 800-61, MITRE ATT&CK, Microsoft та CIS Security Baselines
• Координація проєкту: Slack, Zoom, Teams, Signal (encrypted), Jira, Confluence, SecureDrop

Від хаосу до контролю: п'ять фаз за 45 днів проєкту

Роботу над інцидентом команда організувала у п'ять фаз:

1. Ізоляція загрози та стримування (Containment) – 0–4 год.
2. Розслідування – 4–24 год.
3. Відновлення – 24–72 год.
4. Усунення наслідків – до 14 днів.
5. Зміцнення захисту – до 30 днів.

На перших двох етапах команда відключила заражені системи, ізолювала мережу, зберегла криміналістичні докази, закрила зовнішній доступ до RDP та встановила вектор атаки. Паралельно проаналізували дампи пам'яті й логи, провели реверс-інжиніринг ransomware та підтвердили масштаб компрометації.

Дані відновлювали з офлайн NAS за допомогою Veeam і SQL Recovery, повернувши 99,2% зображень. Паролі на облікових записах змінювали на кількох етапах: спершу – одразу після виявлення проблеми під час розслідування, а згодом повторно, коли пентест показав ще 12 облікових записів зі слабкими паролями. Загалом за проєкт закрили 8 вразливостей і видалили 3 бекдори.

У підсумку інфраструктуру захисту перебудували практично з нуля: відмовилися від викупу, перебудували Active Directory, розбили мережу на сегменти, розгорнули EDR та впровадили MFA всюди, а віддалене підключення дозволили лише через VPN. Паралельно розробили IR- та DR-плани, впровадили принцип найменших привілеїв, запланували щоквартальні тренінги з кіберобізнаності для ІТ-команди клієнта та підготували документацію для відповідності GDPR і ISO/IEC 27001. Етап посилення захисту, розрахований на 30 днів, завершили за 28.

Результати проєкту: кіберзахист і фінансовий ефект 

На виході клієнт отримав фінальний звіт на 85 сторінок і практичний воркшоп із безпеки для ІТ-команди клієнта, щоб знання залишилися у закладі, а не тільки в нашому звіті.

Що змінилось на рівні інфраструктури:

• Дані: 100% медичних карток і 99,2% зображень відновлено.
• RDP: зовнішній доступ закрито, підключення лише через VPN.
• MFA: впроваджено з покриттям 100%.
• EDR: розгорнуто на кожному кінцевому пристрої, забезпечує автоматизоване виявлення та моніторинг активності.
• Сегментація мережі: мережу розділено на ізольовані сегменти, критичні системи ЕМС відокремлено від решти інфраструктури.
• Вразливості: 8 закрито, 3 бекдори видалено.
• Архітектура: перебудована на HA-інфраструктуру з багаторівневим захистом і моніторингом 24/7.

Що це означає для бізнесу:

• Вимога викупу $2,1 млн: відхилено, сплачено $0.
• GDPR-повідомлення наглядовому органу: надіслано за 66 годин, у межах установленого строку (виконання цієї вимоги не гарантує відсутність санкцій).
• Фінансовий ризик: вдалося уникнути $7–9 млн потенційних витрат (вимога викупу, втрати через простій, ризик GDPR-штрафу, можливий відтік пацієнтів).
• Умови страхування: за оцінкою клієнта, покращилися приблизно на 30%.
• Кіберстійкість за внутрішньою шкалою Datami (0–10 балів): зросла до 8 (після впровадження EDR, MFA, сегментації та віддаленого доступу).
• Повне відновлення: завершено за 13 днів замість запланованих 14.

Що порадили на майбутнє:

Найближчим часом: щоквартальні DR-навчання, пентест раз на рік, ретест одразу після етапу посилення захисту.

На перспективу: перехід на хмарну ЕМС, впровадження SIEM (Sentinel) і SOAR, рух у бік Zero Trust.

Швидка реакція та експертиза: результат без викупу 

Медичні організації – приваблива ціль для зловмисників через цінність даних і критичну залежність від безперервної роботи цифрових систем. 

Завдяки досвіду та швидкій реакції команди Datami клініці не довелося платити викуп у $2,1 млн. Було відновлено 80 000 медичних карток і 99,2% зображень, а репутаційні наслідки – мінімізовано.

Цей кейс показує просту річ: навіть після масштабної атаки на критичну інфраструктуру є шанс вийти без викупу, якщо оперативно залучити команду з досвідом реагування саме на такі інциденти.

Кібератака вже сталася? Не зволікайте! 

Кожна згаяна година підвищує вартість відновлення та ризик остаточної втрати даних.

Якщо ваша компанія зіткнулася з кібератакою просто зараз, одразу зверніться до Datami – допоможемо відновитися після кіберінциденту.