Ransomware o supressió massiva accidental a Google Drive, OneDrive o Dropbox Sincronitza fitxers danyats amb tots els dispositius (historial de versions de 30 dies i rebobinat de volta)¶

Veure la icona de sincronització de la barra de tasques de Windows o de la barra de menú de macOS gira ràpidament mentre milers de documents comercials, registres fiscals, fotos familiars i fitxers de codi font dins Google Drive for Desktop, Microsoft OneDrive, Dropbox, o iCloud Drive estan xifrats per ransomware (.locked, .bianlian, .akira, .play, .lockbit) o esborrat per un mal configurat rsync --delete, l'arrossegar i deixar anar una carpeta accidental o l'escriptura fraudulenta és una catàstrofe de dades d'alta velocitat. Com que els clients de sincronització d'escriptoris al núvol estan dissenyats per a la replicació bidireccional en temps real (inotify a Linux, FSEvents a macOS i ReadDirectoryChangesW / Cloud Filter API a Windows), un ransomware binari o accidental Shift + Delete a un únic portàtil infectat es propaga immediatament al servidor del núvol i s'envia a a qualsevol altra carpeta d'escriptori, portàtil i equip compartit connectat a aquest compte en qüestió de segons.

Tanmateix, els motors de sincronització al núvol són no sobreescritures de disc en brut: darrere de les escenes, Microsoft OneDrive, Dropbox, Google Drive, i Box mantenir l'emmagatzematge immutable d'objectes del costat del servidor amb historials de versions puntuals de 30 dies a 180 dies, papers de reciclatge de segona etapa i eines de desactivació de tot el compte (OneDrive Restore Your OneDrive i Dropbox Rewind). Sempre que talleu immediatament l'ordinador infectat de la xarxa, poseu en pausa la sincronització a les màquines secundàries per recollir memòria cau local fora de línia i eviteu la trampa fatal de tornar a penjar fitxers xifrats per sobre de la vostra quota de l'historial de versions, podeu remuntar tota la vostra unitat al núvol al minut exacte abans que comencés el xifratge o la supressió sense pagar un cèntim de rescat. Per a la contenció de programari maliciós de les màquines locals i la talla del sistema de fitxers, consulteu les nostres guies resposta de ransomware i programari maliciós, eliminació accidental de fitxers i recuperació de la unitat formateada, i còpies de seguretat d'ordinadors: estratègia 3-2-1 i recuperació de desastres. Si un atac de ransomware afecta un hospital, una clínica o una xarxa d'enviament d'emergència, activeu immediatament els procediments d'inactivitat clínica fora de línia i truqueu al vostre número d'emergència local (911 als Estats Units i al Canadà, 112 a tota la Unió Europea, 999 al Regne Unit) o consulteu el nostre directori de números d'emergència.

Fes això ara¶

1. Desconnecteu el cable Ethernet i desactiveu la Wi-Fi a l'ordinador d'origen IMMEDIATAMENT (abans de tancar les aplicacions o fer clic a qualsevol cosa):
2. Per què tallar la xarxa estalvia la vostra volta al núvol: cada segon que l'ordinador infectat o que s'elimina roman en línia, el client de sincronització d'escriptori (OneDrive.exe, GoogleDriveFS.exe, Dropbox.exe) penja altres 50 a 200 operacions de fitxers xifrats o suprimits per segon a l'API del núvol. La reducció de Wi-Fi i Ethernet congela la cua de càrrega al núvol.
3. Vés a TOTS ELS ALTRES portàtils, ordinadors, tauleta i telèfon enllaçats al mateix compte al núvol i DESACTIVA la seva connexió Wi-Fi / Ethernet ABANS d'activar les seves pantalles:
4. El vostre ordinador portàtil secundari fora de línia és una càpsula del temps prístina: si l'escriptori de casa o el MacBook secundari ha estat adormit a la bossa des d'ahir, el seu local OneDrive, Dropbox, o Google Drive (Mirror files / Always keep on this device) encara conté còpies sense xifrar i sense tocar al 100% dels vostres fitxers.
5. Si despertes aquest ordinador portàtil secundari mentre la Wi-Fi està activada, el dimoni de sincronització al núvol es connecta immediatament, baixa els textos xifrats de supressió massiva o de ransomware del servidor i destrueix la còpia local prístina en menys de 60 segons. Apagueu l'encaminador Wi-Fi de casa (desendolleu el cable d'alimentació) abans d'activar qualsevol ordinador secundari i, a continuació, copieu les carpetes locals a una unitat USB externa sense connexió.
6. Si la causa és Ransomware, estireu el cable d'alimentació (o premeu força el botó d'engegada durant 10 segons) a l'ordinador infectat; si la causa és la supressió accidental d'un SSD, deixeu-lo aïllat i desmunteu/aturau el dimoni de sincronització:
7. Ransomware: tirar de l'energia atura els fils de xifratge (AES / ChaCha20 treballadors) de xifrar les carpetes sense xifrar restants a la vostra unitat local i conservar les claus de RAM volàtils si es necessita una anàlisi de memòria forense.
8. Supressió accidental: matar OneDrive.exe / Dropbox.exe / GoogleDriveFS.exe al Gestor de tasques (Ctrl + Shift + Esc) o Monitor d'activitat immediatament perquè el client local deixi de fer cua DELETE Trucades a l'API.
9. ** NO suprimiu manualment els fitxers xifrats amb ransomware (.locked) a la interfície web del núvol si el programari maliciós va canviar el nom de les extensions de fitxer**:
10. Entendre com interactua el ransomware amb l'emmagatzematge al núvol:
    • Cas A: sobreescritura al lloc (mateix nom de fitxer): el ransomware xifrat Tax_2025.xlsx i va desar la càrrega útil xifrada amb el mateix nom exacte Tax_2025.xlsx. Aquí, el servei al núvol tracta el fitxer xifrat com a Versió 2, mentre que el vostre fitxer original net es troba de forma segura a sota com a Versió 1 a Version History.
    • Cas B: Canvia el nom + Suprimeix l'original (Tax_2025.xlsx.lockbit): La majoria de les lectures de ransomware moderns Tax_2025.xlsx, escriu un fitxer nou anomenat Tax_2025.xlsx.lockbit, i esborra l'original Tax_2025.xlsx. Aquí, el teu original net Tax_2025.xlsx està assegut dins de la Paperera/Paperera de reciclatge del núvol (i la recuperació del compte puntual).
11. ** Inicieu sessió al portal web del núvol (onedrive.live.com, dropbox.com, drive.google.com, icloud.com) des d'un dispositiu NET I NO INFECTAT (com ara un telèfon intel·ligent amb dades mòbils o un ordinador aïllat)**:
12. No torneu mai a iniciar sessió al vostre compte al núvol des de l'ordinador infectat pel ransomware i immediatament revoqueu la sessió del dispositiu OAuth de l'ordinador infectat a la pàgina de seguretat del vostre compte de Google, Microsoft o Dropbox, de manera que l'ordinador infectat no pugui reprendre la sincronització si algú el torna a encendre.
13. Utilitza la recuperació puntual del compte (Restore your OneDrive o Dropbox Rewind) en lloc de restaurar 50.000 fitxers un per un:
14. Tant Microsoft OneDrive com Dropbox inclouen una màquina de temps automatitzada per a tot el compte que enrotlla cada carpeta, versió de fitxer i element suprimit a tota la unitat a una marca de temps específica (1 hour ago, Yesterday at 11:00 PM, o fins a 30 to 180 days ago) en una única operació del costat del servidor.

Arbre de decisions: contenció de desastres de sincronització al núvol i recuperació puntual¶

Executeu aquest flux de treball d'emergència per aturar la propagació de la sincronització entre dispositius i restaurar l'estat del vostre núvol net:

flowchart TD
    Start["Xifratge de ransomware O sincronització de supressió massiva accidental a través de Cloud Drive"] --> CutNet["PAS 1: desconnecteu Ethernet i apagueu el Wi-Fi a l'ordinador d'origen immediatament (o desconnecteu el cable d'alimentació de l'encaminador Wi-Fi)"]

    CutNet --> SaveSecondaries["PAS 2: Mantingueu tots els ordinadors portàtils/ordinadors secundaris fora de línia (mode avió) -> Copieu les carpetes de memòria cau local 'OneDrive / Dropbox / Google Drive' a una unitat USB externa"]

    SaveSecondaries --> RevokeSession["PAS 3: des d'un telèfon/navegador net, obriu Seguretat del compte (Google/Microsoft/Dropbox) -> Revoca/Desenllaça la sessió de sincronització d'escriptori de l'ordinador infectat"]

    RevokeSession --> WhichCloud{"Quina plataforma d'emmagatzematge al núvol va ser afectada?"}

    WhichCloud -->|"Microsoft OneDrive / SharePoint (Personal o Microsoft 365)"| OneDriveRestore["Utilitzeu 'Configuració -> Opcions -> Restaura el vostre OneDrive' (retreu totes les edicions, canvis de nom i supressions a tot el compte fins a 30 dies) + Comproveu la paperera de reciclatge de la 1a i la 2a etapa"]

    WhichCloud -->|"Dropbox (Plus, Family, Professional, Business o Basic)"| DropboxRestore["Utilitzeu 'Dropbox Rewind' a la carpeta arrel (rebobina tot el compte al minut exacte abans de l'atac) O feu servir 'Fitxers suprimits' + registre 'Esdeveniments' (30 a 180 dies)"]

    WhichCloud -->|"Google Drive (Gmail personal o Google Workspace)"| GDriveRestore["1. Ordena 'Paperera' per 'Data de la paperera' per a restaurar en bloc els originals suprimits. 2. Per als fitxers sobreescrits: feu clic amb el botó dret -> 'Informació del fitxer -> Gestiona les versions' O executeu l'script de retrocés de revisions massives de l'API de Google Drive v3"]

    WhichCloud -->|"Apple iCloud Drive"| iCloudRestore["Inicieu sessió a 'iCloud.com/recovery' -> Feu clic a 'Restaurar fitxers' (recupera els fitxers suprimits en els darrers 30 dies, encara que s'hagin buidat d'un suprimit recentment)"]

Fase 1: com processen els motors de sincronització al núvol el ransomware en comparació amb l'eliminació massiva (on viuen realment els vostres fitxers nets)¶

Abans de fer clic als botons de restauració amb pànic, inspeccioneu com s'han modificat els vostres fitxers al portal web del núvol (drive.google.com, onedrive.live.com, o dropbox.com). Cada incident de sincronització al núvol cau en un dels tres patrons tècnics:

Fase 2: recuperació del núvol plataforma per plataforma i recuperació de versions massives¶

Seguiu el procediment de recuperació exacte del vostre proveïdor de núvol des d'un navegador net i no infectat.

1. Microsoft OneDrive i SharePoint Online (Restore Your OneDrive & Paperera de reciclatge de 2 etapes)¶

Microsoft va dissenyar OneDrive específicament per sobreviure al xifratge de ransomware i a les supressions massives de sincronització:

1. Mètode A: retrocés puntual de tot el compte (Restore your OneDrive)*:
2. Disponible a Microsoft 365 Personal, Family, Business i Enterprise (SharePoint Online biblioteques de documents):
3. Inicia sessió onedrive.live.com (o el vostre portal web de Microsoft 365 OneDrive) en un ordinador net.
4. Feu clic a la icona d'engranatge de configuració (extrem superior dret) -> seleccioneu Options -> feu clic Restore your OneDrive al panell de navegació esquerre (als llocs d'equip de SharePoint, feu clic a Settings Gear -> Restore this library).
5. Sota Select a date, tria Yesterday (o Custom date and time).
6. Mireu el Gràfic de barres de l'histograma d'activitat: veureu un augment massiu a la línia de temps que marca el minut exacte en què va començar el xifratge o la supressió massiva del ransomware.
7. Arrossegueu el control lliscant de la línia de temps cap a l'esquerra d'aquesta punta (de manera que tots els fitxers maliciosos que es canvien de nom, es sobreescriuen i es suprimeixin després d'aquest minut es comproven per desfer).
8. Feu clic Restore. Els servidors de Microsoft desfaran automàticament cada modificació de fitxers, suprimiran el ransomware acabat de crear .locked fitxers i restaurar tots els fitxers originals suprimits a la seva estructura de carpetes exacta abans de l'incident.
9. Mètode B: la "paperera de reciclatge de la segona etapa" oculta (quan es va buidar la paperera de reciclatge normal):
10. Què passa si un atacant (o un script automatitzat) iniciés sessió a la vostra interfície web de OneDrive/SharePoint i fes clic a Empty recycle bin?
11. A OneDrive for Business/SharePoint Online (i als comptes de Microsoft 365), buidar la paperera de reciclatge principal NO suprimirà els vostres fitxers. En lloc d'això, els trasllada a una paperera de reciclatge de segona etapa oculta (Site Collection Recycle Bin) on romanen protegits fins a 93 dies en total:
    1. Obert Recycle bin a la barra lateral esquerra de OneDrive.
    2. Desplaceu-vos fins al final de la pàgina i feu clic al petit enllaç que llegeix: Can't find what you're looking for? Check the Second-stage recycle bin.
    3. Seleccioneu tots els fitxers i feu clic a Restore.

2. Dropbox (Dropbox Rewind, Events Rollback, i Deleted Files)¶

1. ** Mètode A: Ús Dropbox Rewind per recuperar carpetes senceres o tot el vostre compte**:
2. Disponible als plans de Dropbox Plus, Family, Professional i Business (30 days a 180 days mirada enrere):
3. Inicia sessió dropbox.com en un navegador net.
4. Per rebobinar tot el vostre compte de Dropbox alhora, passeu el cursor per sobre del All files capçalera (o feu clic a ... (Més accions) al tauler d'accions de la dreta quan no hi ha cap carpeta específica seleccionada) i feu clic a Rewind this folder (o Rewind Dropbox).
5. Feu clic Get started -> mireu el gràfic d'activitat dia a dia per trobar el pic quan es va produir el ransomware o la supressió -> feu clic a aquell dia per ampliar la cronologia hora a hora / minut a minut.
6. Col·loca la línia vertical blava just abans que comenci l'esdeveniment dolent, fes clic a Continue, i feu clic a Rewind.
7. Dropbox revertirà tots els fitxers sobreescrits, purgarà les notes de ransomware afegides recentment i ressuscitarà totes les carpetes suprimides al seu lloc.
8. ** Mètode B: què passa si esteu en un Free Dropbox Basic compte (on Dropbox Rewind està bloquejat)?**
9. Important: fins i tot de manera gratuïta Dropbox Basic (2 GB), ** Dropbox encara conserva 30 dies complets Version History i 30 dies Deleted Files recuperació de cada fitxer dels seus servidors**.
10. Opció 1 (recuperació manual gratuïta): feu clic a Deleted files a la barra lateral esquerra de dropbox.com per filtrar per data i restaurar de manera massiva els originals suprimits; o feu clic a ... -> Activity -> Version history en qualsevol fitxer sobreescrit per restaurar la revisió neta anterior.
11. Opció 2 (Instant Dropbox Plus Desbloqueig de l'actualització): com que Dropbox registra el registre d'esdeveniments subjacent a tots els comptes, independentment del nivell, actualitzeu un Dropbox Basic compte a Dropbox Plus ($11.99 durant 1 mes) després que un incident desbloquegi el Dropbox Rewind Interfície d'usuari durant els darrers 30 dies d'esdeveniments de fitxers ja enregistrats.

3. Google Drive i Google Workspace (Trash, Manage Versions, Admin Console 25-Day Post-Trash Recoveryi Rollback de l'API a granel)¶

A diferència d'OneDrive i Dropbox, Google Drive no té un sol botó "Rebobina tota la unitat" d'un sol clic a la interfície d'usuari del consumidor, de manera que heu d'utilitzar el mètode de recuperació adequat en funció de si els fitxers s'han suprimit o s'han sobreescrit al seu lloc:

1. Recuperació d'originals suprimits de Google Drive Trash (Per canviar el nom + suprimir ransomware o supressió massiva):
2. Obert drive.google.com/drive/trash en un navegador d'escriptori.
3. Feu clic al Trashed date capçalera de columna per ordenar els fitxers suprimits més recentment a la part superior.
4. Feu clic al primer fitxer net eliminat pel ransomware/accident, desplaceu-vos cap avall, manteniu premut Shift + feu clic l'últim fitxer del lot, feu clic amb el botó dret i seleccioneu Restore (Ctrl + Z o la icona Restaura el rellotge). Cada fitxer torna directament a la seva carpeta principal imbricada original.
5. ** I si el Google Drive Trash ja estava buidat? (Google One Support & Google Workspace Admin 25-Day Rescue)***:
6. Google Workspace (empresa, empresa, educació, organitzacions sense ànim de lucre): fins i tot després que un usuari faci clic Empty trash -> Delete forever, els servidors de Google conserven els fitxers depurats durant 25 dies addicionals. Inicieu sessió admin.google.com com a superadministrador -> aneu a Directory -> Users -> feu clic a l'usuari afectat -> desplaceu-vos cap avall fins a More options (o feu clic al tauler esquerre sota el resum de l'usuari) -> feu clic a Restore data -> seleccioneu l'Interval de dates (fins a 25 dies enrere), seleccioneu Drive com a aplicació i feu clic a Restore.
7. Comptes personals de Gmail/Google One: si la vostra paperera personal de Google Drive s'ha buidat durant els darrers 25 dies, no escriu dades noves a la unitat; obert immediatament support.google.com/drive/gethelp (o el xat d'assistència de Google One) i sol·liciteu una Recuperació de fitxers eliminats de la unitat administrativa. Les eines d'assistència de Google poden activar exactament la mateixa restauració de backend posterior a la paperera de 25 dies per als comptes de consumidors.
8. Restauració massiva de fitxers sobreescrits mitjançant Manage Versions o l'API de Google Drive (rclone / Python):
9. Per a Google Docs, Fulls de càlcul i Presentacions: obriu el fitxer -> feu clic a File -> Version history -> See version history (Ctrl + Alt + Shift + H) i restaurar la marca de temps d'ahir.
10. Per a fitxers binaris (PDF, DOCX, XLSX, JPG, ZIP) sobreescrit al seu lloc: feu clic amb el botó dret al fitxer a Google Drive -> File information -> Manage versions, on Google conserva les versions anteriors durant 30 dies (o 100 versions).
11. Si milers de fitxers binaris es van sobreescriure al seu lloc: no feu clic Manage versions 10.000 vegades a mà. Utilitza rclone o una Google Apps Script/Drive API v3 revisions.list + revisions.delete guió:
    • A l'API de Google Drive v3, quan un fitxer existent es sobreescriu amb una versió nova incorrecta (Revisió N), trucant Drive.Revisions.remove(fileId, latestRevisionId) només elimina la revisió superior maliciosa creada avui, promociona automàticament la revisió neta d'ahir N - 1 tornar a ser el fitxer actual actiu a totes les carpetes:

      // Run inside script.google.com (with Advanced Drive Service v3 enabled) to roll back files modified after cutoffTime
      function rollbackOverwrittenFiles() {
        const cutoff = new Date("2026-11-01T00:00:00Z"); // Set to 5 minutes BEFORE the ransomware started
        const files = DriveApp.searchFiles('modifiedDate > "2026-11-01T00:00:00" and trashed = false');
        while (files.hasNext()) {
          const file = files.next();
          const revs = Drive.Revisions.list(file.getId()).revisions;
          if (revs && revs.length > 1) {
            const latest = revs[revs.length - 1];
            if (new Date(latest.modifiedTime) > cutoff) {
              Drive.Revisions.remove(file.getId(), latest.id);
            }
          }
        }
      }
      

12. ** Poma iCloud Drive (iCloud.com/recovery Recuperació de dades de 30 dies)**:
13. Fins i tot si els fitxers s'han eliminat de l'iCloud Drive i s'han purgat de l' Recently Deleted carpeta al vostre Mac o iPhone, inicieu sessió icloud.com/recovery en un navegador web:
14. Feu clic Restore Files -> comprovar Select All (o filtra per data d'eliminació) i fes clic a Restore. El servidor de fons d'Apple manté una caixa de recuperació independent de 30 dies que restaura els documents d'iCloud Drive, les carpetes d'escriptori/documents, les adreces d'interès, els contactes i els calendaris.

Fase 3: recollida de memòria cau local fora de línia de dispositius secundaris i Google DriveFS / Windows Shadow Copies¶

Abans de tornar a connectar qualsevol ordinador a Internet, comproveu si els vostres discs durs locals encara contenen còpies no danyades dels vostres fitxers:

Fase 4: protocol de reconnexió segur (com tornar a connectar els ordinadors nets sense tornar a corrompre el núvol)¶

Un dels errors més comuns en la recuperació del núvol es produeix després de restaurar correctament els fitxers a la interfície web del núvol: l'usuari torna a encendre el seu ordinador portàtil, el client de sincronització local es desperta, veu 20.000 .locked fitxers de ransomware (o carpetes buides) al disc dur local i sincronitza la corrupció directament a la unitat de núvol acabada de restaurar.

Seguiu aquesta estricta llista de verificació de reconnexió: 1. A l'ordinador que va provocar l'incident (ransomware o script accidental): - Si Ransomware l'atropella: Mai torneu a connectar la instal·lació del sistema operatiu al vostre compte al núvol. Després d'imatges de la unitat per a investigacions forenses o de rescatar els fitxers només locals sense còpia de seguretat, netegeu completament el SSD (Secure Erase / suprimiu totes les particions) i instal·leu Windows o macOS de manera neta des d'un instal·lador USB conegut construït en un ordinador independent. - Canvia les contrasenyes del teu compte de Google, Microsoft, Dropbox i Apple i revisa Account Security -> Devices i Third-Party App Permissions per verificar que no hi hagi galetes de sessió de robatori d'informació romanen actives. 2. En ordinadors secundaris abans de tornar a activar la Wi-Fi: - Si ja heu restaurat la unitat de núvol a un estat net mitjançant Restore your OneDrive o Dropbox Rewind: 1. Inicieu l'ordinador secundari amb la Wi-Fi encara desactivada. 2. Desactivar OneDrive / Dropbox / Google Drive a Aplicacions d'inici (Task Manager -> Startup apps) de manera que el dimoni de sincronització no es pot iniciar automàticament. 3. Canvia el nom del local C:\Users\<Name>\OneDrive (o Dropbox) carpeta a OneDrive_OLD_LOCAL_BACKUP. 4. Torneu a activar la Wi-Fi, inicieu l'aplicació de sincronització al núvol, deixeu-la desenllaçar i tornar-la a enllaçar de manera neta i permeteu que baixi l'estat del núvol net acabat de restaurar a una carpeta nova.

3. Restauració de Windows Volume Shadow Copies (Previous Versions) i macOS APFS Imatges locals a l'ordinador d'origen¶

Què passa si una carpeta que s'ha xifrat o esborrat es exclosa de la sincronització al núvol (com ara una carpeta local? Desktop carpeta o un fitxer més gran que el límit de sincronització), o el client de sincronització al núvol no havia acabat de penjar les edicions de la setmana passada abans de l'error? 1. A Windows 10/11 (ShadowExplorer & vssadmin)*: - Tot i que moltes famílies de ransomware intenten executar-se vssadmin.exe delete shadows /all /quiet, Control del compte d'usuari (UAC), Detecció i resposta de punt final (EDR), o l'execució no administrador sovint bloqueja l'esborrat de còpies d'ombra. - Executeu el símbol del sistema com a administrador a la màquina aïllada i escriviu:

vssadmin list shadows

Preguntes freqüents¶

Té sentit pagar el rescat del desxifrador de la banda de ransomware si els meus fitxers es sincronitzen amb OneDrive, Dropbox o Google Drive?¶

Gairebé mai. A diferència d'un disc dur local autònom sense còpia de seguretat, els serveis d'emmagatzematge al núvol (OneDrive, Dropbox, Google Drive, Caixa, i iCloud Drive) emmagatzema fitxers en backends d'emmagatzematge d'objectes immutables on cada modificació crea una nova versió de l'objecte i cada supressió mou l'objecte a un contenidor d'escombraries de 30 dies (o de 93 a 180 dies). Tant si el ransomware va sobreescriure els vostres fitxers al seu lloc o si en va crear nous .bloquejat fitxers i esborrat els originals, El 100 per cent dels vostres fitxers originals sense xifrar encara es troben als servidors del proveïdor del núvol dins de l'Historial de versions o a la Paperera. Utilitzant Restaura el teu OneDrive, Dropbox Rewind, o la recuperació de la paperera i la revisió de Google Drive restaura els vostres fitxers exactes abans de l'atac de forma gratuïta amb zero risc de desxifrar el ransomware trencat.

Per què el ransomware al meu PC amb Windows va aconseguir xifrar el meu Google Drive o OneDrive en primer lloc? El núvol no protegeix contra programari maliciós?¶

Per fer que els fitxers al núvol funcionin amb programes d'escriptori com Microsoft Word, Excel, Photoshop i AutoCAD, els clients de sincronització d'escriptori (Google Drive per a escriptori, OneDrive.exe, Dropbox.exe) munteu el vostre emmagatzematge al núvol com a carpeta local o lletra de la unitat virtual (G:\ o C:\Usuaris\Nom\OneDrive) sota els vostres permisos d'usuari de Windows. Quan el ransomware s'executa amb el vostre compte d'usuari de Windows, té exactament els mateixos permisos de modificació de fitxers que teniu: recorre totes les lletres de la unitat muntada (C:\, D:\, G:\) i la carpeta d'usuari, llegint cada fitxer, xifrant-lo i desant-lo. Fins i tot els fitxers establerts a "Només en línia / Fitxers de flux" (Fitxers sota demanda) Windows es descarrega automàticament ("hidratat") sobre la marxa sempre que el procés de ransomware obre el controlador del fitxer per llegir-lo. És per això que desconnectar la xarxa immediatament és fonamental: trenca la descàrrega d'hidratació sota demanda dels fitxers al núvol només en línia abans que el ransomware els pugui llegir.

Què passa si he suprimit accidentalment una carpeta compartida massiva a Google Drive o Dropbox i altres membres de l'equip són propietaris d'alguns dels fitxers que hi ha al seu interior?¶

En Dropbox, pot utilitzar qualsevol membre amb permisos d'edició Fitxers suprimits o Dropbox Rewind a la carpeta compartida per restaurar tota la jerarquia de carpetes per a tot l'equip. En Google Drive, l'arquitectura de propietat és única: quan suprimiu una subcarpeta dins de la carpeta compartida d'una altra persona (on ells sou el propietari i sou un editor), eliminant el fitxer de la carpeta compartida orfes el fitxer en comptes d'enviar-lo a la paperera per al propietari, o mou només els fitxers tu propi en teu Paperera (drive.google.com/drive/trash) mentre entren els fitxers propietat del vostre company els seus Paperera (o quedar-se orfe a la seva unitat arrel on es pot cercar mitjançant is:propietari no organitzat:jo a la barra de cerca de Google Drive).

El ransomware pot suprimir el meu historial de versions al núvol o buidar automàticament la paperera de reciclatge de OneDrive/Google Drive?¶

Binaris estàndard de ransomware del sistema de fitxers (LockBit, Akira, BlackCat, Jugar, Fobos) funcionen exclusivament a través de les API locals del sistema de fitxers de Windows (CreateFileW, WriteFile, DeleteFileW) i no pot interactuar només amb la web Historial de versions, Paperera de reciclatge de la segona etapa, o Google Workspace Admin Vault. Tanmateix, si l'atacant també va desplegar un robatori d'informació (Lumma, RedLine) o tenia escriptori remot interactiu (RDP / AnyDesk) accedeixen al vostre navegador web obert, poden obrir-lo manualment i fer clic Buida la paperera. Fins i tot si ho fessin, recordeu els dos límits de seguretat finals: (1) Activat OneDrive / SharePoint, els elements buits van al Paperera de reciclatge de la segona etapa fins a 93 dies; i (2) Activat Google Drive / Google Workspace, els elements de la paperera buidats poden ser recuperats per un administrador de l'espai de treball o per al servei d'assistència de Google One 25 dies després de la supressió permanent.

Guies relacionades¶

• Ransomware i programari maliciós: aïllament i recuperació immediats
• Supressió accidental de fitxers, unitat formateada i recuperació de fotos
• Fitxer de Word, Excel, PDF o base de dades danyat i recuperació de documents no desats
• Còpies de seguretat d'ordinadors: estratègia 3-2-1 i recuperació de desastres
• Segrest de galetes de sessió, programari maliciós de robatori d'informació i revocació de claus de pas
• Números d'emergència per països

Fonts i orientació oficial¶

• Suport oficial de Microsoft (support.microsoft.com/en-us/office/restore-your-onedrive-fa231298-759d-41cf-bcd0-25ac53eb8a15): Restaureu el vostre OneDrive (histograma de retrocés puntual de 30 dies, alertes de detecció de ransomware i recuperació de la paperera de reciclatge de SharePoint de primera/segona etapa).
• Centre d'ajuda oficial de Dropbox (help.dropbox.com/delete-restore/rewind & recover-older-versions): Utilitzar Dropbox Rewind per desfer ransomware o supressions massives, historial de versions de 30 a 180 dies i .dropbox.cache Escenificació.
• Ajuda per a administradors de Google Workspace i documentació oficial de Google Drive (support.google.com/a/answer/6052340 & developers.google.com/drive/api/reference/rest/v3/revisions): Restauració de les dades de Google Drive suprimides permanentment en un termini de 25 dies mitjançant la Consola d'administració i l'API Drive v3 revisions Gestió.
• Agència de Ciberseguretat i Seguretat de les Infraestructures (CISA / StopRansomware.gov): Pràctiques recomanades d'aïllament de la sincronització de l'emmagatzematge al núvol i de la versió posterior al ransomware.