Вирус зашифровал файлы: что делать в первый час

Утром документы на компьютере не открываются, у файлов появилось странное расширение, а в каждой папке лежит записка с требованием заплатить за расшифровку. Если вирус зашифровал файлы, первый час решает многое: можно остановить заражение на одном компьютере, а можно потерять сервер, общие папки и резервные копии.

Ниже — пошаговый план для руководителя или бухгалтера, который заметил беду первым: что делать, если сработал вирус-шифровальщик, чего делать нельзя, как восстановить данные и закрыть дыру, через которую он пришёл.

Шаг 1. Сразу отключите заражённые компьютеры от сети

Вирус-шифровальщик — программа, которая шифрует файлы и требует выкуп за ключ. Пока заражённый компьютер в сети, он может шифровать общие папки на сервере и заражать соседние машины. Поэтому первое действие — изоляция:

• выдерните сетевой кабель и отключите Wi-Fi на компьютере, где появились зашифрованные файлы;
• если пострадали сервер или общие папки, отключите от сети и сервер: источником может быть любой компьютер, у которого есть к ним доступ;
• отсоедините внешние диски и сетевые хранилища с резервными копиями, если они подключены;
• предупредите сотрудников: не подключать к офисной сети ноутбуки и флешки, пока не станет ясен масштаб, и сразу сообщать о странных файлах.

Выключать компьютер — по ситуации. Если отключить его от сети не получается или видно, что файлы на нём продолжают шифроваться прямо сейчас, выключите его. Если шифрование уже закончилось, лучше оставить компьютер включённым, но без сети: в оперативной памяти могут остаться следы, которые помогут специалистам разобраться в атаке. И не перезагружайте его без нужды — после перезагрузки вирус может запуститься снова.

Шаг 2. Не платите выкуп

Вымогатели обещают ключ сразу после оплаты, но:

• гарантий нет: ключ могут не прислать или прислать неработающий;
• их программы-расшифровщики бывают с ошибками, и часть файлов остаётся испорченной;
• компанию, которая заплатила, могут атаковать снова — она уже показала, что платит;
• оплата не выгоняет злоумышленников из вашей сети: если у них остался доступ, они вернутся;
• деньги идут на следующие атаки.

Не торопитесь и с перепиской по адресам из записки. Сначала выясните, что можно восстановить без вымогателей: проверьте резервные копии и бесплатные дешифраторы.

Шаг 3. Не удаляйте зашифрованные файлы и записку

Первое желание — стереть всё и переустановить Windows. Не делайте этого раньше времени:

• по записке и новому расширению файлов определяют, какой именно шифровальщик сработал, а от этого зависит, существует ли дешифратор;
• для некоторых шифровальщиков ключи появляются позже — например, когда полиция закрывает серверы вымогателей. Сохранённые файлы тогда можно будет расшифровать;
• переустановка системы уничтожает следы, по которым ищут точку входа.

Сфотографируйте экран с запиской и запишите время, когда заметили проблему. Не запускайте случайные «лечащие» программы из интернета и не переименовывайте файлы.

Шаг 4. Определите масштаб

Пока компьютеры отключены, составьте картину целиком. Проверьте:

• какие компьютеры затронуты, а какие нет;
• в каком состоянии сервер, общие папки и базы 1С;
• не попали ли зашифрованные файлы в облачный диск — синхронизация переносит их туда. У многих облачных дисков есть история версий или корзина, с их помощью можно откатиться;
• главное — целы ли резервные копии. Проверяйте их с чистого компьютера, не подключая носитель к заражённым машинам.

Посмотрите дату изменения зашифрованных файлов: она подскажет, когда началась атака и из какой копии восстанавливаться.

Шаг 5. Вирус зашифровал файлы: как восстановить данные

Файлы зашифрованы — как восстановить их, зависит прежде всего от того, есть ли резервная копия, сделанная до атаки. Если есть, это самый надёжный путь. Порядок такой:

1. Очистите заражённые компьютеры и сервер — надёжнее всего переустановить систему начисто, предварительно сохранив зашифрованные файлы и записку на отдельный диск. Если вернуть данные на заражённую машину, вирус зашифрует их снова.
2. Выберите копию, сделанную до заражения. Учтите, что злоумышленники порой несколько дней находятся в сети, прежде чем запустить шифрование.
3. Сначала восстановите то, без чего стоит работа: базы 1С, почту, папки текущих проектов. Архив подождёт.
4. Прежде чем пускать пользователей, убедитесь, что базы открываются, а документы читаются.

Как устроить копии, чтобы они пережили такую атаку, рассказали в статье о правиле 3-2-1.

Если копии нет

Восстановление зашифрованных файлов без копии возможно не всегда, но попробовать стоит:

• Дешифраторы. Антивирусные лаборатории выкладывают на своих сайтах бесплатные дешифраторы для шифровальщиков, в которых нашли слабое место. Их собирает и международный проект No More Ransom: туда можно загрузить записку и пару зашифрованных файлов, и сервис подскажет, что это за вирус и есть ли для него решение. Для многих современных шифровальщиков дешифратора нет — к этому нужно быть готовым.
• Теневые копии Windows — встроенные снимки дисков. Шифровальщики обычно их удаляют, но проверить стоит.
• Почта и облако. Часть документов могла сохраниться во вложениях писем, в облачных дисках, у контрагентов.

Осторожнее с теми, кто обещает гарантированно расшифровать любые файлы за деньги. Бывает, что за этим стоит та же оплата выкупа вымогателям, только с наценкой.

Шаг 6. Смените пароли и найдите точку входа

Шифрование — финал атаки, а не начало. До этого злоумышленник как-то попал в сеть, и пока эта дверь открыта, всё может повториться.

Пароли меняйте с чистого компьютера: учётные записи администраторов, удалённого доступа, почты, 1С, облачных сервисов. Пароли, сохранённые в браузерах на заражённых компьютерах, считайте известными злоумышленникам.

Самые частые точки входа:

• Удалённый рабочий стол (RDP), открытый в интернет. Это способ подключиться к компьютеру или серверу Windows издалека. Если он доступен из интернета напрямую, пароли к нему подбирают автоматически и без перерыва.
• Письмо с вложением — «счёт», «акт сверки», «требование», архив с паролем или документ, который просит «включить содержимое».
• Необновлённые программы и оборудование — уязвимости в роутере, VPN-шлюзе, сетевом хранилище.
• Забытый доступ — учётная запись подрядчика или уволенного сотрудника, которую не отключили.

Если вымогатели пишут, что скопировали данные и опубликуют их, отнеситесь к этому серьёзно: данные нередко сначала крадут, а потом шифруют. Когда среди них есть персональные данные клиентов или сотрудников, закон о персональных данных обязывает сообщить об инциденте в Роскомнадзор в течение суток после его выявления — обсудите это с юристом. Также можно подать заявление в полицию.

Защита от шифровальщиков: как не допустить повторения

• Копии вне досягаемости вируса. Хотя бы одна копия хранится отдельно: на диске, который подключают только на время копирования, в облаке с защитой от удаления или в хранилище, куда пишет только программа копирования под отдельной учётной записью.
• Обновления. Windows, офисные программы, браузеры, прошивки роутера и сетевого хранилища — регулярно, без многомесячных откладываний.
• Права пользователей. Сотрудники работают без прав администратора и видят только те папки, которые нужны им для работы. Тогда вирус на одном компьютере зашифрует меньше.
• Закрытый RDP. Удалённый рабочий стол — только через VPN, со сложными паролями и, где возможно, с двухфакторной проверкой. Как это устроить, рассказали в статье об удалённом доступе к 1С.
• Антивирус на всех компьютерах и серверах — лицензионный, с актуальными базами и с контролем, что его никто не отключил.
• Обучение сотрудников. Короткий разбор поддельных писем раз в полгода и простое правило: увидел странное — сразу сообщи, а не жди.

Если не хотите разбираться сами, настроим резервное копирование по схеме 3-2-1 с шифрованием и проверим, что из копий можно восстановиться. На абонентском обслуживании лицензионный антивирус входит без доплаты, а начать можно с бесплатного экспресс-аудита.

Главное в первый час — не делать необратимого: изолировать заражённые компьютеры, сохранить файлы и записку, не платить и проверить копии. Дальше всё решает то, что было сделано заранее, — есть ли копия, до которой вирус не дотянулся.