Ransomware: как действует шифровальщик и как подготовиться заранее

Шифровальщик, или ransomware, — вредоносная программа, которая шифрует документы, фото, базы и другие файлы, а затем показывает требование выкупа за ключ. Само шифрование выполняется стойкими алгоритмами, поэтому подобрать ключ самостоятельно на практике невозможно. Это не поломка: данные преобразованы математически и без ключа не читаются.

По этой причине борьба ведётся не на стадии «расшифровки», а на стадиях до и после: предотвращение и наличие копий.

Начало — проникновение: фишинговое письмо с вложением, слабый пароль удалённого доступа, незакрытая уязвимость в сетевой службе, заражённый установщик. Далее программа осматривается, повышает права, ищет сетевые диски и резервные копии, чтобы удалить или зашифровать их. Только после этого запускается массовое шифрование.

В атаках на организации распространена схема «двойного вымогательства»: сначала выгружают данные, потом шифруют и угрожают публикацией. Поэтому даже наличие копии не отменяет риска утечки.

Держите порядок действий под рукой. Первое: отключить устройство от сети. Второе: определить масштаб, то есть какие компьютеры и общие ресурсы затронуты. Третье: сохранить записку с требованием и образец зашифрованного файла, они помогут определить семейство. Четвёртое: не восстанавливать данные на том же заражённом устройстве, сначала очистить или переустановить систему, потом подключать копию.

Проверьте, не остались ли на устройстве закрепление и другие бэкдоры: атакующие часто оставляют себе второй вход. Смените пароли и ключи, которые могли быть украдены. Для организаций обязательно уведомление ответственных лиц и, если затронуты персональные данные, регуляторов. Если резервной копии нет, сохраните зашифрованные файлы: со временем появляются публичные инструменты для отдельных семейств, и данные иногда удаётся вернуть позднее.

Явные признаки: у файлов появилось неожиданное расширение, документы не открываются, на рабочем столе лежит текстовый файл с инструкцией или заменены обои. Ранние сигналы — резкая нагрузка на диск и сеть, массовое переименование файлов.

При подозрении сразу отключите устройство от сети и Wi-Fi, чтобы остановить распространение на общие диски. Не выключайте питание без необходимости: иногда в памяти остаются полезные следы. Не запускайте случайные «дешифраторы» из интернета — они сами бывают вредоносными.

Наконец, полезно заранее записать последовательность действий для семьи или команды: кому звонить, что отключать, где лежит копия. В стрессе такой листок экономит ценные минуты.

Правило 3-2-1: три копии данных, на двух разных типах носителей, одна из них вне основного места. Существенно, чтобы хотя бы одна копия была недоступна для записи с заражённого компьютера: отключённый диск или облачное хранилище с версиями и защитой от удаления. Копию, постоянно подключённую как обычная папка, шифровальщик может зашифровать вместе с оригиналом.

Обязательно проверяйте восстановление: копия, из которой ни разу не пробовали вернуть данные, — предположение, а не гарантия.

Обратите внимание и на журналы: если вы заметили массовое обращение программы к файлам и рост записи на диск, остановите её процесс и отключите сеть. Иногда удаётся прервать шифрование на ранней стадии, и значительная часть данных останется нетронутой. Чем быстрее реакция, тем меньше потерь.

Обновляйте системы, отключайте ненужный удалённый доступ, включайте двухфакторную аутентификацию, ограничивайте права учётных записей, разделяйте сеть. Не открывайте неожиданные вложения. Для организаций важны план реагирования на инциденты и раздельные учётные записи администраторов.

Относительно выкупа специалисты обычно советуют не платить: перевод денег не даёт уверенности, что ключ будет передан и работать, и поддерживает преступную схему. Иногда готовые ключи публикуются в открытых проектах по восстановлению, поэтому стоит обратиться к профильным специалистам.

Отдельное внимание заслуживают сетевые хранилища и облачные синхронизации. Синхронизированная папка не служит резервной копией: зашифрованный файл честно синхронизируется и заменяет исходный. Проверьте, что у сервиса есть история версий и срок хранения удалённого, и попробуйте восстановить файл прошлой версии, чтобы убедиться, что функция действительно работает.