restauração de um backup nunca deve ser iniciada em uma estação ainda conectada à rede e possivelmente infectada.

Em incidentes envolvendo ransomware, a restauração não deve ser iniciada imediatamente em equipamento possivelmente infectado e conectado à rede. É necessário conter o ataque, isolar os sistemas comprometidos, eliminar a ameaça e verificar a integridade dos backups antes da recuperação. A simples sobrescrita dos arquivos criptografados não remove automaticamente o código malicioso, podendo ocorrer nova criptografia ou propagação de infecção. Conforme orientações do CERT.br e da CISA, a restauração deve ocorrer em ambiente seguro.

GAB: ERRADO

Dois erros graves na assertiva:

1) Restaurar na máquina ainda conectada e infectada. O ransomware continua ativo: ele pode criptografar de novo os arquivos restaurados, se espalhar pela rede e até atingir o próprio backup se ele estiver acessível. O certo é isolar a máquina primeiro (desconectar da rede).

2) "Sobrescrever os arquivos elimina automaticamente o código malicioso". Falso. O ransomware não mora nos arquivos criptografados. Os arquivos são a vítima, não o vírus. O código malicioso fica no sistema (processos, executáveis, registro, tarefas agendadas). Trocar os arquivos não remove nada.

Ordem certa da resposta a incidente (NIST):

1. Contenção -> isolar a estação da rede, pra parar o estrago;

2. Erradicação -> remover o malware (limpeza com antimalware ou, melhor, formatar e reinstalar o sistema);

3. Recuperação -> só então restaurar o backup num ambiente limpo, conferindo se o próprio backup não está comprometido.

Por isso a regra 3-2-1 (3 cópias, 2 mídias, 1 fora do local) e o backup offline/imutável são tão cobrados: o ransomware tenta atingir também o backup que está na rede.

Macete: ISOLA -> LIMPA -> RESTAURA. Restaurar em máquina infectada é jogar o backup no fogo.