Новое вредоносное ПО для Android шифрует данные: признаки и защита
Не уверены, что именно сломалось?
Опишите симптомы мастеру — подскажем, с чего начать диагностику и стоит ли нести технику в ремонт.
Вымогатель на Android чаще всего проявляется полноэкранным окном с требованием «заплатить за разблокировку», которое не даёт пользоваться телефоном. Настоящее шифрование файлов на смартфонах встречается реже: в основном это «блокировщики» и запугивание, которые лишь имитируют потерю данных. Тем не менее и с ними нужно действовать осторожно. Главное правило: не платите, не спешите с форматированием и сначала зафиксируйте, что именно происходит.
Как вымогатель выглядит на практике
Типичные проявления: окно с требованием оплаты, которое перекрывает экран; внезапно переименованные файлы или фотографии, которые не открываются; сообщения с обратным отсчётом времени и угрозами; приложение, которое не удаётся закрыть или удалить. Часто всё начинается с APK, установленного с неофициального сайта, поддельного «обновления» или программы, которой дали доступ к специальным возможностям или права администратора устройства. Эти права позволяют накладывать окна поверх других приложений и затрудняют удаление, поэтому проверять в первую очередь стоит именно их.
Отдельно о запугивании: сообщение вроде «ваш телефон заблокирован полицией» или «файлы зашифрованы» не доказывает, что данные действительно зашифрованы. Это может быть обычное окно поверх системы. Проверить это можно только после выхода из него, например в безопасном режиме.
Первые действия
- Отключите сеть.Выключите Wi-Fi и мобильный интернет (если экран не даёт это сделать, воспользуйтесь шторкой уведомлений или режимом «в самолёте»). Это не расшифрует файлы, но может оборвать связь с сервером злоумышленников. Общие рекомендации по реагированию на вымогатели, в том числе в руководстве CISA, тоже начинаются с изоляции поражённого устройства от сети.
- Зафиксируйте ситуацию.Сфотографируйте сообщение другим устройством, запишите название подозрительного приложения и примерное время, когда появились симптомы.
- Ничего не подключайте.Не вставляйте флешку или внешний диск и не вводите пароли от банка или почты на этом телефоне.
- Не платите.Оплата не гарантирует возврата доступа, а ваши платёжные данные попадут к злоумышленникам. Официальные рекомендации советуют вместо этого обратиться в правоохранительные органы и к специалистам, которые могут знать рабочие способы восстановления.
Как избавиться от вредоносного приложения
Если окно вымогателя не закрывается, перезапустите телефон в безопасном режиме. Способ зависит от производителя: обычно долго удерживают кнопку питания, а затем долго удерживают пункт «Выключить» или «Перезагрузить». Если не получается, найдите инструкцию именно для вашей модели. В безопасном режиме сторонние приложения не запускаются, поэтому блокирующее окно, скорее всего, не появится.
Дальше:
- просмотрите список приложений и удалите те, которые вы не устанавливали или которые были установлены незадолго до появления проблемы. Больше всего подозрений вызывают обновления, видеоплееры, «чистильщики» и «документы» с неизвестных сайтов;
- если удалить не получается, откройте в настройках безопасности список приложений администратора устройства (названия пунктов различаются в зависимости от версии Android и производителя), снимите права с подозрительной программы и повторите удаление;
- посмотрите также, какие приложения имеют доступ к специальным возможностям и к наложению поверх других окон, и отзовите ненужные права;
- откройте Google Play, нажмите на значок профиля и зайдите в Play Защиту. Там можно убедиться, что проверка приложений включена, и запустить сканирование. По данным справки Google, Play Защита может предупредить о вредоносной программе, отключить её до удаления или удалить сама.
Если после этого экран работает нормально, но вы не уверены, что вредоносная программа удалена полностью, самый надёжный вариант — сброс до заводских настроек. Делайте его только после того, как убедитесь, что нужные данные есть в резервной копии, и знаете пароль от своего Google-аккаунта.
Защита аккаунтов
С другого, чистого устройства смените пароль Google-аккаунта и просмотрите активные сеансы и устройства, у которых есть доступ. Включите двухэтапную проверку, если она ещё не настроена. Просмотрите банковские уведомления, почту и облачные хранилища: если есть признаки стороннего входа, приоритет — заблокировать доступ, а не искать «волшебный декриптор». Пароль от банковских приложений лучше менять уже после очистки телефона.
Восстановление файлов
Не форматируйте телефон сразу, если там единственная копия фотографий. Проверьте Google Фото, Google Диск, мессенджеры и копии на компьютере, которому вы доверяете. Если файлы успели синхронизироваться уже зашифрованными, не удаляйте облачную копию, пока не выяснено, когда именно произошла синхронизация: в истории версий может остаться чистый вариант.
Не устанавливайте многочисленные «антивирусы для расшифровки» из рекламы: они могут стать второй проблемой. Когда данные действительно важны, лучше не делать десятки попыток самостоятельно: состояние памяти и способ шифрования влияют на шансы восстановления, а бесконтрольные сбросы могут уничтожить остатки информации. В таком случае обратитесь за восстановлением данных и сохраните оригинальное устройство без дальнейших экспериментов. Если вы не уверены, что телефон чист после всех шагов, можно также заказать диагностику.
Как снизить риск заранее
- Устанавливайте приложения из Google Play и не оставляйте разрешение на установку из неизвестных источников для браузера или мессенджеров. Перед установкой смотрите количество загрузок, отзывы и разработчика.
- Держите Play Защиту включённой (Google Play, профиль, Play Защита, Настройки, «Проверять приложения с помощью Play Защиты»).
- Не давайте доступ к специальным возможностям и права администратора устройства приложениям, которым они не нужны по назначению. Калькулятору или фонарику они не требуются.
- Не открывайте ссылки из сообщений о «посылке», «штрафе» или «обновлении» и не скачивайте APK по таким ссылкам.
- Обновляйте Android и приложения: часть атак использует уже исправленные уязвимости.
- Делайте резервные копии заранее и периодически проверяйте, что из них действительно можно восстановиться. Практическая схема описана в материале о правиле резервного копирования 3-2-1. Копия, которая постоянно подключена к заражённому устройству, может быть повреждена вместе с ним, поэтому одна из копий должна храниться отдельно.
Коротко
Увидели требование выкупа: отключите сеть, зафиксируйте сообщение, не платите и не вводите пароли. Попробуйте безопасный режим, удалите подозрительное приложение, снимите с него права администратора и смените пароли с чистого устройства. Сброс до заводских настроек — запасной вариант после проверки резервной копии. А лучшая защита — официальные источники приложений, включённая Play Защита и регулярные резервные копии.
Подробнее о принципах реагирования на вымогатели — в руководстве CISA #StopRansomware и в справке Google о Play Защите.
Частые вопросы
Нужно ли платить, если вымогатель требует деньги?
Не спешите. Оплата не гарантирует расшифровку и может поддержать дальнейшее вымогательство. Сначала сохраните доказательства, проверьте резервные копии и получите консультацию специалиста.
Можно ли сразу сбросить Android до заводских настроек?
Если важные файлы хранятся только на телефоне, лучше не делать этого до оценки ситуации. Сброс может удалить единственную доступную копию и усложнить последующее восстановление.
Безопасны ли приложения, которые обещают расшифровать данные?
Нет гарантии. Случайные APK из рекламы могут быть новым вредоносным ПО. Используйте только проверенные источники и не устанавливайте программы на зараженный телефон без необходимости.
Что делать, если пострадали банковские аккаунты?
С чистого устройства смените пароли, завершите неизвестные сеансы, включите двухфакторную защиту и свяжитесь с банком по официальному номеру. Не вводите новые данные на подозрительном телефоне.
