Что такое программы-вымогатели

Программа-вымогатель (шифровальщик, по-английски ransomware) зашифровывает файлы на компьютере — документы, фото, базы данных — и требует выкуп за ключ расшифровки. Файлы остаются на месте, но открыть их нельзя. Многие вымогатели ещё и копируют данные себе и угрожают опубликовать их, если не заплатить.

Файлы уже зашифрованы — переходите сразу к разделу Если файлы уже зашифрованы: первым делом отключите компьютер от сети.

Как это выглядит

• файлы перестают открываться, у них меняется расширение — например, отчёт.docx становится отчёт.docx.что-то-незнакомое;
• в каждой папке появляется текстовый файл или страница с требованием выкупа и инструкцией по оплате;
• меняется картинка рабочего стола на сообщение о шифровании.

Как они попадают в компьютер

• вложения в письмах: «счёт», «акт сверки», «повестка» в архиве или документ с макросами;
• «кряки» и взломанные программы — вымогатель прячется в установщике;
• необновлённые программы и системы с известными уязвимостями;
• удалённый доступ, открытый в интернет — удалённый рабочий стол или панели управления со слабым паролем. Так чаще атакуют организации.

Как защититься

1. Резервные копии по правилу 3-2-1, и хотя бы одна копия — отключённая от компьютера. Это главная защита: с копией зашифрованные файлы просто восстанавливают. Урок Резервные копии: правило 3-2-1.
2. Обновления системы и программ — урок Обновления и антивирус.
3. Никаких «кряков» и программ с неофициальных сайтов.
4. Осторожность с вложениями: не открывать неожиданные архивы и не разрешать макросы в документах из писем.
5. Работа без прав администратора — обычная учётная запись ограничивает, куда может добраться программа.
6. Никакого удалённого доступа наружу без необходимости; если нужен — со вторым шагом входа.

В Windows есть дополнительная защита — контролируемый доступ к папкам в разделе защиты от программ-вымогателей приложения «Безопасность Windows». Она не даёт незнакомым программам менять файлы в защищённых папках. По умолчанию она выключена; включённая иногда мешает честным программам — их можно разрешить вручную.

Если файлы уже зашифрованы

1. Сразу отключите компьютер от сети — выньте кабель, выключите Wi‑Fi. Вымогатель может шифровать сетевые папки и заражать соседние компьютеры.
2. Отключите внешние диски с копиями, если они подключены, и не подключайте их к заражённому компьютеру.
3. Не платите выкуп. Оплата не гарантирует, что ключ пришлют, а заплативших атакуют снова.
4. Сохраните записку с требованием и пару зашифрованных файлов — они нужны, чтобы узнать, что это за вымогатель.
5. Поищите бесплатный расшифровщик. Для части вымогателей ключи найдены. Проект No More Ransom, созданный при участии Европола и полиции Нидерландов, собирает такие программы и помогает определить вымогателя по записке и файлу; у сайта есть русская версия.
6. Сообщите об инциденте: организации — в CERT.BY через раздел «Сообщить об инциденте» на cert.by, а при вымогательстве — в милицию.
7. Переустановите систему и восстановите файлы из копии. Подключайте копию только к чистой системе.