আমরা র্যানসমওয়্যারের বিরুদ্ধে প্রতিরক্ষামূলক পদক্ষেপ সম্পর্কে আর্টিকেল সিরিজ চালিয়ে যাচ্ছি। গতবারেরে আমরা Windows ফাইল সার্ভারসে FSRM ব্যবহার করে এনক্রিপশন র্যানসমওয়্যার থেকে সুরক্ষার একটি সহজ উপায় বিবেচনা করেছিলাম। আজ আমরা কথা বলবো কীভাবে সহজে আপনার ফাইলগুলো রিকভার করতে পারেন যদি র্যানসমওয়্যার ইতিমধ্যে কম্পিউটারে প্রবেশ করে এবং ব্যবহারকারীর ডকুমেন্ট এনক্রিপ্ট করে দিয়েছে।
এনক্রিপ্টিং র্যানসমওয়্যারে ইনফেক্ট হওয়ার পর মূল ফাইলগুলো ফেরত পাওয়ার সবচেয়ে সহজ উপায় হচ্ছে ব্যাকআপ থেকে রিকভার করা। আপনি আপনার ফাইল সার্ভারসে সেন্ট্রালাইজড ব্যাকআপ আয়োজন করতে পারেন, কিন্তু ব্যবহারকারীর কম্পিউটারে ডেটা ব্যাকআপ করা কঠিন। सौভাগ্যবশত, Windows-এ একটি ইন্টিগ্রেটেড ব্যাকআপ মেকানিজম রয়েছে — শ্যাডো কপি যা Volume Shadow Copy Service (VSS) দ্বারা তৈরি হয়।
VSS স্ন্যাপশট থেকে ফাইলগুলোর পূর্ববর্তী ভার্সন রিকভার করতে নিচের শর্তগুলো পূরণ করতে হবে:
- প্রোটেক্টেড ভলিউমের জন্য VSS সক্রিয় থাকতে হবে
- স্ন্যাপশট সংরক্ষণের জন্য আপনার ডিস্কে পর্যাপ্ত ফ্রি স্পেস থাকতে হবে (কমপক্ষে ১০-২০%)
- ব্যবহারকারীর কম্পিউটারে লোকাল অ্যাডমিনিস্ট্রেটর প্রিভিলেজ থাকা উচিত নয় (আধুনিক এনক্রিপশন ম্যালওয়্যার এলিভেটেড চললে সকল উপলব্ধ VSS স্ন্যাপশন ডিলিট করে দেয়), এবং User Account Control (UAC) সক্রিয় থাকতে হবে
আসুন একটি মেকানিজম বিবেচনা করি যা Active Directory ডোমেন এনভায়রনমেন্টে স্ন্যাপশট তৈরির পলিসি সেন্ট্রালি ম্যানেজ করতে দেয় এবং এনক্রিপশন র্যানসমওয়্যার আক্রমণের পর মূল ফাইলগুলো সহজে রিস্টোর করতে দেয়।
কন্টেন্টস:
- GPO ব্যবহার করে ডোমেন কম্পিউটারে VSS সক্রিয় করা
- GPO ব্যবহার করে Vshadow.exe ইউজার কম্পিউটারে কপি করা
- সকল ভলিউমের শ্যাডো কপি তৈরির PowerShell স্ক্রিপ্ট
- VSS স্ন্যাপশট তৈরির শিডিউলড টাস্ক
- VSS স্ন্যাপশট থেকে মূল ফাইল রিকভার করা
- উপসংহার
GPO ব্যবহার করে ডোমেন কম্পিউটারে VSS সক্রিয় করা
প্রথমে, ডোমেন কম্পিউটারে Volume Shadow Copy (VSS) Service সক্রিয় করার জন্য একটি গ্রুপ পলিসি তৈরি করুন। সেজন্য, GPMC.msc কনসোলে VSSPolicy নামের একটি নতুন GPO অবজেক্ট তৈরি করুন এবং ইউজার কম্পিউটার ধারণকারী OU-তে অ্যাসাইন করুন।
এখন আপনার GPO এডিট করুন। Computer Configuration->Windows Settings->Security Settings->System Service-এ সার্ভিস লিস্টে Volume Shadow Copy খুঁজে বের করুন এবং Automatic স্টার্ট টাইপ সেট করুন।
GPO ব্যবহার করে Vshadow.exe ইউজার কম্পিউটারে কপি করা
ব্যবহারকারীর কম্পিউটারে শ্যাডো কপি তৈরি ও ম্যানেজ করতে, আমাদের Windows SDK-র vshadow.exe টুল দরকার। এই উদাহরণে, আমরা Windows 7 x64-এর SDK-র vshadow ব্যবহার করব (আমার কেসে এটি Windows 7 এবং Windows 10 x64-এ সঠিকভাবে কাজ করেছে)। vshadow.exe %windir%\system32-এ সব কম্পিউটারে GPP ব্যবহার করে কপি করুন।
টিপ. আপনি vshadow.exe নিচের লিংক থেকে ডাউনলোড করতে পারেন: vshadow_exe_win7x64.zip
তারপর Computer Configuration -> Preferences -> Windows Settings -> Files-এ একটি নতুন পলিসি তৈরি করুন যা vshadow.exe কপি করবে \\domain.loc\SYSVOL\domain.loc\scripts\vshadow.exe (ফাইলটি এখানে পূর্বে কপি করা থাকতে হবে) থেকে %windir%\system32\vshadow.exe-এ। এই পলিসি কনফিগার করা যাবে যাতে এটি শুধু একবার কাজ করে (Apply once and do not reapply)।
সকল ভলিউমের শ্যাডো কপি তৈরির PowerShell স্ক্রিপ্ট
পরবর্তী, আমাদের একটি স্ক্রিপ্ট দরকার যা সিস্টেমের ড্রাইভ লিস্ট ডিটেক্ট করবে, শ্যাডোইং সক্রিয় করবে এবং একটি নতুন VSS স্ন্যাপশট তৈরি করবে। আমার পাওয়া স্ক্রিপ্টটি নিচে:
$HDDs = GET-WMIOBJECT –query "SELECT * from win32_logicaldisk where DriveType = 3"
foreach ($HDD in $HDDs) {
$Drive = $HDD.DeviceID
$vssadminEnable ="vssadmin.exe Resize ShadowStorage /For=$Drive /On=$Drive /MaxSize=10%"
$vsscreatess = "vshadow.exe -p $Drive"
cmd /c $vssadminEnable
cmd /c $vsscreatess
}
প্রথম স্ট্রিং সিস্টেমের সকল ড্রাইভ খুঁজে বের করতে দেয়, এবং তারপর vshadow প্রতিটি ডিস্কের জন্য শ্যাডো সক্রিয় করে একটি নতুন কপি তৈরি করে। কপিগুলো ১০% এর কম স্পেস ঘেরবে।
এই স্ক্রিপ্টটি vss-script.ps1 ফাইলে সংরক্ষণ করুন এবং GPP ব্যবহার করে ইউজার কম্পিউটারে কপি করুন।
VSS স্ন্যাপশট তৈরির শিডিউলড টাস্ক
শেষ কাজ হলো সকল কম্পিউটারে একটি শিডিউলড টাস্ক তৈরি করা যা নিয়মিত vss-script.ps1 চালিয়ে সকল ড্রাইভের জন্য একটি নতুন স্ন্যাপশট তৈরি করবে। GPP ব্যবহার করে এটি করা সহজ। সেজন্য, GPO সেকশন Computer Configuration -> Preferences -> Scheduled Tasks-এ একটি নতুন শিডিউলড টাস্ক তৈরি করুন (New-> Scheduled Task (at least Windows 7)) নাম create vssnapshot, যা এলিভেটেড NT AUTHORITY\System-এ لتشغيل হবে।
মান লক্ষ করুন, টাস্কটি প্রতিদিন দুপুর ১.২০ টাতে চালাতে হবে (এখানে আপনাকে চিন্তা করতে হবে কত পর স্ন্যাপশট তৈরি করতে চান)।
চালানোর স্ক্রিপ্ট: %windir%\System32\WindowsPowerShell\v1.0\powershell.exe
আর্গুমেন্ট হিসেবে %windir%\system32\vss-script.ps1
টিপ। একইভাবে, আপনাকে একটি সাপ্তাহিক শিডিউলড টাস্ক দরকার পুরনো VSS স্ন্যাপশট রিমুভ করার জন্য। সেজন্য, একটি নতুন শিডিউলড টাস্ক তৈরি করুন নিচের কোড ধারণকারী একটি সিমিলার স্ক্রিপ্ট চালানোর জন্য:
$vssadminDeleteOld = “vshadow.exe -do=%$Drive” cmd /c $vssadminDeleteOld
VSS স্ন্যাপশট থেকে মূল ফাইল রিকভার করা
ব্যবহারকারীর কম্পিউটার যদি র্যানসমওয়্যার দ্বারা ইনফেক্ট হয়, তবে অ্যাডমিনিস্ট্রেটর বা টেক সাপোর্ট টিমের স্টাফ স্ন্যাপশট থেকে এনক্রিপ্টেড ডকুমেন্ট রিকভার করতে পারেন।
সকল উপলব্ধ স্ন্যাপশটের লিস্ট এই কমান্ড দিয়ে দেখানো যায়:
vssadmin.exe list shadows
আমাদের উদাহরণে, লেটেস্ট স্ন্যাপশট তৈরি হয়েছিল 10/6/2016 1:33:35 AM-এ এবং এর Shadow Copy ID = {6db666ac-4d42-4734-8fbb-fad64825c66c}।
এই স্ন্যাপশটকে রিড-অনলি মোডে এর ID দিয়ে একটি আলাদা সিস্টেম ড্রাইভ হিসেবে মাউন্ট করুন:
vshadow -el={6db666ac-4d42-4734-8fbb-fad64825c66c},Z:
এখন, File Explorer বা যেকোনো ফাইল ম্যানেজার ব্যবহার করে, ড্রাইভ Z:- থেকে মূল ফাইলগুলো কপি করুন।
স্ন্যাপশট যুক্ত ড্রাইভ আনমাউন্ট করতে:
mountvol Z:\ /D
উপসংহার
নিশ্চিতভাবেই, VSS এনক্রিপশন র্যানসমওয়্যারের বিরুদ্ধে একটি সুরক্ষা উপায় নয় এবং কম্পিউটার সিকিউরিটির সমগ্র পদ্ধতি (অ্যান্টিভাইরাস সফটওয়্যার, SRP / AppLocker পলিসি, রেপুটেশন ফিল্টার, SmartScreen, ইত্যাদি) ক্যాన্সেল করে না। যাইহোক, আমার মতামতে, ভলিউম শ্যাডো কপির সادگی ও সুলভতা এনক্রিপ্টেড ডেটা রিকভার করার এই পদ্ধতিকে একটি বড় সুবিধা করে তোলে, যা ব্যবহারকারীর কম্পিউটারে ম্যালওয়্যার প্রবেশের কেসে উপকারী হতে পারে।
