Программа-вымогатель зашифровала файлы: первые действия
Не уверены, что именно сломалось?
Опишите симптомы мастеру — подскажем, с чего начать диагностику и стоит ли нести технику в ремонт.
Изменившиеся расширения, недоступные документы и записка с требованием криптовалюты указывают на ransomware. Главная задача первых минут - остановить распространение и сохранить данные для анализа, а не пытаться наугад «починить» Windows.
Первые 10 минут
- Изолируйте компьютер.Отключите Wi-Fi, Bluetooth и сетевой кабель, чтобы защитить сетевые папки и другие устройства.
- Отсоедините незатронутые накопители.Особенно диск с резервной копией.
- Зафиксируйте признаки.Сфотографируйте записку, адреса, идентификатор и расширение файлов.
- Если шифрование явно продолжается, остановите устройство.Не перезапускайте его для экспериментов. В организации сразу сообщите ИТ-специалисту.
- Не связывайтесь со злоумышленниками с заражённого ПК и не платите поспешно.Оплата не гарантирует ключ и может повлечь повторное давление.
Чего не делать
- не форматировать и не переустанавливать Windows до сохранения образа нужных данных;
- не удалять зашифрованные файлы и записку;
- не устанавливать «дешифратор» с неизвестного сайта;
- не подключать резервный диск к заражённой системе;
- не входить в почту, банк и рабочие сервисы с этого компьютера.
Защитите аккаунты
С чистого телефона или другого компьютера начните с основной почты, затем смените пароли облака, банка, соцсетей и рабочих систем. Завершите активные сеансы и включите 2FA. Порядок настройки есть в статье про менеджер паролей и двухфакторную защиту.
Считайте сохранённые в браузере пароли потенциально скомпрометированными: некоторые семейства вредоносных программ одновременно крадут данные.
Определите семейство вымогателя
Используйте известные ресурсы вроде No More Ransom и ID Ransomware, передавая копию записки и не конфиденциальный зашифрованный образец. Бесплатный дешифратор существует не для каждого семейства. Проверяйте адрес сайта и не запускайте найденный файл на исходном диске без контроля специалиста.
Для компании важно сохранить журналы, письма и время первых признаков. Они помогают понять точку входа и масштаб инцидента.
Восстановление из копии
Если есть автономная копия по правилу 3-2-1, сначала создают чистую систему, устанавливают обновления и проверяют отсутствие вредоносного ПО. Только затем подключают копию и возвращают файлы. Резервную копию тоже стоит проверить до восстановления.
Если копии нет
Возможны официальный дешифратор, история версий в облаке, теневые копии или профессиональное восстановление. Шансы зависят от конкретного ransomware и состояния накопителя. Сохраните зашифрованные файлы: ключи иногда публикуют позже.
Не обещайте себе, что «программа восстановления» вернёт всё. На SSD с TRIM удалённые оригиналы часто исчезают быстро, а современные алгоритмы шифрования без ключа не обходятся.
Как снизить риск повторения
- держите одну копию данных отключённой от сети;
- обновляйте Windows, браузер и программы;
- не используйте активаторы и пиратские сборки;
- защищайте удалённый доступ длинным паролем и 2FA либо отключите его;
- ограничьте права обычного пользователя;
- обучите сотрудников распознавать вложения и поддельные страницы входа.
Для проверки и чистой установки доступны диагностика и установка Windows, а для оценки носителя - восстановление данных.
Частые вопросы
Нужно ли сразу выключать компьютер?
Если шифрование продолжается, остановка может сохранить часть файлов. В сложной корпоративной среде сначала изолируйте сеть и следуйте плану реагирования, чтобы не потерять важные доказательства.
Стоит ли платить выкуп?
Гарантий расшифровки нет, а платёж поддерживает преступников. Сначала оцените копии, официальные дешифраторы и помощь специалистов.
Можно ли переустановить Windows и потом восстановить файлы?
Сначала сохраните образ или копию зашифрованных данных. Переустановка перезаписывает накопитель и может уничтожить остаточные возможности восстановления.
