Восстановление после вируса-шифровальщика: файлы с непонятным расширением, записка с требованием выкупа — что делать в первый час, стоит ли платить и как вернуть данные и работу компании

Вирусы-шифровальщики, или вымогатели, — одна из самых серьёзных угроз для небольших компаний и частных пользователей. Сценарий почти всегда одинаков: в один момент документы, таблицы, фотографии, базы 1С перестают открываться, у файлов появляется новое непонятное расширение, а в каждой папке — текстовый файл с инструкцией, куда перевести деньги за ключ расшифровки. Часто зашифрованы не только файлы на одном компьютере, но и сетевые папки, сервер, подключённые внешние диски. Работа компании останавливается. В такой ситуации важно не паниковать и не совершать действий, которые уменьшат шансы на восстановление.

Первые действия

• Изолируйте заражённые устройства. Отключите сетевой кабель и Wi-Fi на компьютерах, где видны зашифрованные файлы, чтобы шифровальщик не добрался до других машин и сетевых дисков. Отключите внешние диски и NAS, если они ещё не пострадали.
• Не удаляйте записки с требованием выкупа и зашифрованные файлы. Они нужны, чтобы определить тип шифровальщика и, возможно, найти способ расшифровки.
• Не переустанавливайте систему и не форматируйте диски сразу — так можно уничтожить следы, по которым восстанавливают данные, и сами данные.
• Не запускайте случайные «дешифраторы» из интернета — среди них встречаются подделки, повреждающие файлы окончательно или устанавливающие новый вирус.
• Сообщите сотрудникам, чтобы они не подключали ноутбуки и флешки к заражённой сети.

Стоит ли платить выкуп

Специалисты и правоохранительные органы рекомендуют не платить. Оплата не гарантирует получения ключа: злоумышленники могут исчезнуть, прислать неработающий дешифратор или потребовать ещё. Кроме того, оплата финансирует следующие атаки, а компании, заплатившие однажды, нередко становятся целью повторно. В некоторых случаях оплата может быть связана и с юридическими рисками. Решение всегда остаётся за владельцем данных, но сначала стоит исследовать все другие варианты.

Какие есть способы вернуть данные

• Резервные копии. Самый надёжный путь — если есть копия, недоступная шифровальщику: на отключённом диске, в облаке с историей версий, на защищённом хранилище.
• Бесплатные дешифраторы. Для некоторых семейств шифровальщиков исследователи безопасности нашли ошибки в шифровании или получили ключи, и существуют официальные бесплатные инструменты. Важно точно определить тип вируса.
• Облачная история версий. Если файлы синхронизировались в облако, многие сервисы позволяют откатить папку на состояние до заражения.
• Теневые копии и остатки данных. Шифровальщики обычно удаляют системные теневые копии, но не всегда успешно. Иногда на диске остаются исходные файлы, удалённые после создания зашифрованных версий, и их можно восстановить.
• Частичное восстановление. Некоторые шифровальщики шифруют только начало больших файлов, и часть содержимого, например баз данных, можно извлечь.

После восстановления

Вернуть файлы — только половина задачи. Нужно понять, как шифровальщик попал в сеть: через открытый в интернет удалённый рабочий стол, вложение в письме, взломанный пароль, уязвимый NAS. Заражённые компьютеры должны быть полностью очищены — обычно это переустановка системы с нуля, а не просто проверка антивирусом, потому что злоумышленники часто оставляют себе дополнительный доступ. Все пароли, которые могли быть скомпрометированы, нужно сменить. Без этого повторная атака через несколько недель — частый сценарий.

Как защититься в будущем

• Резервные копии по правилу 3-2-1, хотя бы одна из которых отключена от сети или защищена от изменения.
• Закрытый удалённый доступ — только через VPN с двухфакторной защитой.
• Регулярные обновления Windows, программ, NAS и роутера.
• Антивирус с защитой от шифровальщиков на всех компьютерах.
• Ограниченные права пользователей: сотрудники работают не под администратором.
• Обучение сотрудников распознавать фишинговые письма.

Что делает мастер

1. Изолирует заражённые устройства и останавливает распространение.
2. Определяет тип шифровальщика и проверяет наличие известных дешифраторов.
3. Ищет уцелевшие копии: резервные, облачные версии, теневые копии, удалённые оригиналы.
4. Восстанавливает данные, полностью очищает и переустанавливает системы, меняет пароли.
5. Находит точку проникновения, закрывает её и настраивает защищённое резервное копирование.

Пример из практики

Стоматологическая клиника в Вазисубани утром обнаружила, что карточки пациентов, расписание и бухгалтерия на сервере и трёх компьютерах зашифрованы. Причиной оказался удалённый рабочий стол, открытый в интернет для приходящего бухгалтера, с простым паролем. Резервная копия была, но на внешнем диске, постоянно подключённом к серверу, — она тоже оказалась зашифрована. Мы определили тип шифровальщика, для которого, к сожалению, дешифратора не существовало, но нашли на диске сервера удалённые исходные файлы базы и восстановили её почти полностью, а документы — из облачной истории версий почты. Затем переустановили все системы, закрыли удалённый доступ VPN-ом и настроили копии на отключаемый диск и в облако.

Вызовите мастера

Если ваши файлы зашифрованы, изолируйте компьютеры и сразу свяжитесь с нами — мы поможем в любом районе Тбилиси круглосуточно. Подробнее — на страницах удаления вирусов, восстановления данных и настройки локальной сети.