זו הייתה התראה מוזרה ממערכת של לקוח שטיפלתי בו בעבר. ניהול המחשוב כבר עבר לצוות אחר, אבל חיבור ישן למערכת נשאר פעיל וההתראה הגיעה אליי. במבט ראשון לא היה ברור מה עומד מאחוריה. כשהתחלתי לבדוק, התברר שמדובר בחדירה למחשב בתוך הרשת.
ברישומי הפעילות מצאתי התחברויות מרחוק ומשימה אוטומטית עם שם שנראה כמו עדכון תוכנה. המשימה הפעילה קובץ זדוני, והרישומים הראו שהוא כבר רץ. גם אחרי שתוכנת ההגנה מחקה את הקובץ, המשימה המשיכה לנסות להפעיל אותו שוב ושוב.
מתזמן המשימות של Windows נועד בין היתר לעדכונים ולתחזוקה. כאן השתמשו בו כדי להפעיל תוכנה זדונית באופן חוזר, בלי שמישהו יצטרך לפתוח אותה ידנית. גם הגישה מרחוק הייתה משמעותית: אותה יכולת שמאפשרת לאיש תמיכה לעבוד על מחשב יכולה, בידיים הלא נכונות, לאפשר גישה למידע והפעלת תוכנות. עדיין היה צריך לברר מה בדיוק בוצע ולאן הגיעה החדירה.
פעלתי במה שהיה נגיש לי. בדקתי את רצף האירועים, התקנתי כלי הגנה ותגובה, נטרלתי את המשימה ובודדתי את התחנה. את הקובץ שלחתי לבדיקה, ואת הממצאים ריכזתי בדוח למנהלי הרשת שהמשיכו את הטיפול. הדוח כלל בדיקות שנדרשו גם במערכות שלא היו בשליטתי. מהמחשב היחיד שנבדק כבר היה ברור שיש צורך לבדוק את התמונה הרחבה.
כעבור כמה ימים תחנות ננעלו ומערכות הושבתו. הוזעקתי לסייע לצוות שטיפל ברשת, הפעם בשיקום הנזק ובהחזרת המערכות לפעולה. אותה התראה שהובילה אותי לחקירה ראשונית הפכה כעת לרקע למשימה אחרת לגמרי: למצוא דרך להחזיר לעסק מערכת עובדת ואת המידע שאפשר לשחזר.
היו גיבויים, אבל השחזור המלא נכשל שוב ושוב. במכונה הווירטואלית הופיעו דיסקים זמניים ותצורה לא עקבית. ניסיון נוסף באותה דרך לא נתן פתרון יציב, ולכן הפרדתי בין העלאת המערכת לבין חילוץ המידע.
קודם איתרתי את דיסק מערכת ההפעלה וחיברתי אותו למכונה וירטואלית חדשה ונקייה. המערכת עלתה. כך אפשר היה להתקדם בלי להמשיך להסתבך בתצורה שנותרה מניסיונות השחזור שנכשלו.
אחר כך העברתי את הגיבויים לסביבה נפרדת ועברתי לחילוץ של תיקיות וקבצים. חלק מאזורי המידע לא נקראו בצורה תקינה. דילוג עליהם באותו שלב אפשר להמשיך לחלץ את יתר המידע, במקום שכל ניסיון ייעצר שוב באותה נקודה. המידע התקין ששוחזר הוחזר לשרת, והפערים שנותרו תועדו.
המערכת עלתה מחדש ומידע הוחזר לעבודה, גם אם השחזור לא היה מלא. מבחינתי, זה לב הסיפור: לשים לב לסימן חריג, להבין מה עומד מאחוריו, ובהמשך למצוא דרך מעשית להתקדם כשהשחזור הרגיל לא עובד. הניסיון נבחן בהחלטות האלה, וביכולת להסביר ללקוח מה הושג ומה עוד חסר.
Suntech מסייעת בטיפול בתקלות מורכבות, בגיבוי ובשחזור מערכות ומידע.