ChainBreak — це підрозділ PWN•ALL, що займається відновленням даних після атак програм-вимагачів. Коли ваш периметр проривається, ми обмежуємо зону ураження, відновлюємо дані з резервних копій або за допомогою досліджень дешифрувачів, вистежуємо зловмисника у вашій мережі та зміцнюємо те, що залишилося — щоб ті самі двері ніколи не відчинилися двічі.
На основі наших внутрішніх даних про реагування на інциденти та перевірених публічних звітів за 2024–2025 роки — у різних галузях та регіонах.
Дайте відповідь на чотири запитання. Ми миттєво розрахуємо рівень серйозності ситуації та визначимо перші чотири дії, які ваша команда має вжити негайно — до того, як хтось у гніві торкнеться клавіатури.
Ми обробляємо кожен інцидент на єдиному, перевіреному мості реагування — ваша команда, наші аналітики DFIR, спільна хронологія та підтвердження на кожному етапі.
Ізоляція на рівні мережі без знищення доказів. Ми зупиняємо латеральне переміщення на комутаторі, блокуємо C2, заморожуємо привілейовані облікові записи та зберігаємо пам'ять на хостах-посередниках.
Криміналістична сортування всіх зашифрованих активів, векторів початкового доступу, слідів персистентності та витоку даних. Ми ідентифікуємо штам, тактики, техніки та процедури (TTP) оператора, а також час перебування.
Відновлення в «чистій кімнаті», перевірка цілісності резервних копій, зіставлення дешифратора з нашою внутрішньою бібліотекою та — за наявності ключів — поетапне дешифрування виробничих даних.
Усунення першопричини, очищення ідентифікаційних даних, впровадження EDR/MFA, якщо їх немає, та письмовий звіт, який зможуть прочитати ваша рада директорів, страховик та регулятор.
Наша бібліотека досліджень дешифрувачів та інформація про переговори оновлюються на основі реальних випадків, які ми закриваємо щотижня. Якщо є спосіб відновити дані без оплати, ми знайдемо його першими.
У момент вашого дзвінка запускається спільний міст із зафіксованими за часом діями, зберіганням доказів та дошкою серйозності в режимі реального часу. Ваша страхова компанія та юридична команда можуть приєднатися в режимі «тільки для читання».
Кожен інцидент ChainBreak відбувається за тим самим шаблоном, який вже прийнятий вашими регуляторними органами та кіберстраховиками. Ви бачите те саме, що й ми. Ви затверджуєте кожну деструктивну дію. Ніщо не шифрується, не видаляється та не оплачується без вашого підпису.
Після локалізації ви отримуєте звіт про ланцюжок відповідальності, хронологію подій, відображену за методологією MITRE ATT&CK, та план зміцнення безпеки на 30/60/90 днів — а не PDF-файл, заповнений скріншотами.
Це майже ніколи не є правильним першим кроком. Ми ведемо переговори лише як крайній захід, поки оцінюються варіанти відновлення, і лише за умови отримання юридичного дозволу та дозволу на санкції. У ~94% наших випадків повне або часткове відновлення можливе без оплати.
Наш SLA передбачає, що ми з’явимося на спільній платформі з вашою командою протягом 60 хвилин від першого дзвінка до аналітика. Зазвичай рекомендації щодо локалізації починають надаватися протягом перших 15 хвилин, а паралельно проводиться оцінка масштабів інциденту.
Це не ідеальний варіант — у оперативній пам'яті зберігаються ключі, введені процеси та сліди оператора — але ситуацію можна виправити. Не запускайте нічого, доки ми не підключимося. У нас є процедури для «холодної» сортування.
Так. ChainBreak побудований так, щоб підключатися до стандартних панелей IR. Ми надаємо страховику дії з часовими мітками, контроль витрат та остаточний звіт у форматі, який приймають більшість страховиків.
Ми окремо аналізуємо витік: що було викрадено, звідки та на який термін. Потім ми координуємо розкриття інформації, юридичні питання та — за необхідності — моніторинг сайтів, з яких стався витік, і комунікацію з операторами.
З кожною годиною затримки резервні копії стираються, докази втрачають чинність, а оператори заглиблюються ще далі. ChainBreak відповідає в робочі дні, у вихідні та у святкові дні — час не має значення, і для нас теж.