Вирус-шифровальщик: как защитить офис и что делать при заражении

Что такое шифровальщик

Шифровальщик (ransomware) — вредоносная программа, которая шифрует файлы на компьютере и в доступных сетевых папках, после чего требует выкуп за ключ расшифровки. Файлы получают новое расширение и перестают открываться, а в папках появляется записка с инструкцией по оплате. Современные группировки часто ещё и крадут данные перед шифрованием, угрожая их публикацией.

Для офиса это означает остановку работы: недоступны базы 1С, договоры, бухгалтерия, иногда и сам сервер. Если резервные копии лежали в той же сети — они, скорее всего, тоже зашифрованы.

Как шифровальщики попадают в сеть

• Открытый RDP. Самый частый путь в малом бизнесе: сервер с удалённым рабочим столом доступен из интернета, а пароль подбирают автоматически. Злоумышленник заходит как администратор и вручную запускает шифрование ночью или в выходные.
• Фишинговые письма. «Акт сверки», «счёт на оплату», «уведомление налоговой» с вложением или ссылкой.
• Уязвимости в необновлённых системах, роутерах, VPN-серверах.
• Взломанные программы и активаторы, скачанные сотрудниками.
• Украденные пароли — от VPN, почты, удалённого доступа.

Что делать в первые минуты

1. Изолируйте заражённые компьютеры: выдерните сетевой кабель, отключите Wi‑Fi. Не выключайте компьютер кнопкой, если шифрование ещё идёт и вы работаете со специалистом, — в памяти могут оставаться данные для анализа. Если специалиста нет — отключение от сети важнее.
2. Отключите от сети сервер и хранилище копий, если они ещё не зашифрованы.
3. Не удаляйте зашифрованные файлы и записки — они нужны для определения типа шифровальщика.
4. Не платите выкуп и не вступайте в переписку до оценки ситуации.
5. Смените пароли администраторов, VPN, почты — с чистого устройства.
6. Свяжитесь с IT-специалистом.

Можно ли расшифровать файлы

• Из резервной копии — самый надёжный путь, если копии не были зашифрованы.
• Публичные дешифраторы существуют для некоторых семейств шифровальщиков, в которых нашли ошибки, или после ареста группировок. Проверить можно на специализированных проектах антивирусных компаний и правоохранительных органов, загрузив пример файла и записку.
• Теневые копии Windows — иногда остаются, хотя большинство шифровальщиков их удаляют.
• Облачные версии файлов — если документы синхронизировались с облаком с историей версий, их можно откатить.

Для современных шифровальщиков без ошибок в криптографии расшифровка без ключа практически невозможна. Поэтому главная защита — профилактика и копии.

Восстановление после атаки

1. Определите, как злоумышленник проник в сеть, и закройте этот путь — иначе атака повторится.
2. Переустановите заражённые компьютеры и серверы с нуля, а не «чистите» их.
3. Восстановите данные из проверенных копий.
4. Смените все пароли, отключите лишние учётные записи.
5. Внедрите меры защиты (ниже), прежде чем возвращать систему в работу.

Как защитить офис от шифровальщиков

Резервные копии, которые нельзя зашифровать

Правило 3-2-1 с неизменяемой или отключённой копией: хранилище копий недоступно с рабочих компьютеров, есть копия в облаке с защитой от удаления, восстановление регулярно проверяется. Подробнее — «Резервное копирование: правило 3-2-1».

Никакого открытого RDP

Удалённый доступ к серверу — только через VPN, со сложными паролями и, по возможности, двухфакторной аутентификацией.

Обновления

Регулярные обновления Windows, серверов, роутеров, VPN и программ закрывают уязвимости, которые используют шифровальщики.

Минимальные права

Сотрудники работают без прав администратора, имеют доступ только к нужным папкам. Учётные записи администраторов — отдельные, не используются для повседневной работы.

Антивирус с центральным управлением

На всех компьютерах и серверах, с контролем состояния и уведомлениями. См. «Антивирус для организаций».

Защита почты и обучение сотрудников

Фильтрация вложений, предупреждения о внешних письмах и короткий инструктаж: не открывать неожиданные вложения, проверять отправителя, сообщать о подозрительных письмах.

План действий

Заранее определите, кто и что делает при атаке, где хранятся контакты IT-подрядчика, как быстро вы можете восстановить ключевые системы.

Проверим защиту вашего офиса

Мы проводим проверку защиты от шифровальщиков в рамках IT-аудита, настраиваем изолированное резервное копирование и безопасный удалённый доступ, а при атаке — помогаем восстановить работу. Подробнее — защита и информационная безопасность.