Шифровальщик в корпоративной сети: первые действия без паники

Шифровальщик редко ограничивается одним компьютером. Современная атака может затронуть общие папки, серверы, резервные хранилища и облачные синхронизации. Скорость первых действий важна, но хаотичные команды способны уничтожить доказательства или усложнить восстановление.

Ниже — базовый порядок реагирования. Он не заменяет план инцидент-реагирования и работу специалистов, но помогает не усугубить ситуацию.

Признаки возможной атаки

• файлы перестали открываться;
• появились неизвестные расширения;
• в папках возникли записки с требованиями;
• массово изменяются даты файлов;
• серверы резко загружены;
• антивирус сообщает о множественных событиях;
• пользователи теряют доступ к общим ресурсам;
• резервное копирование внезапно прекращается;
• обнаружены неизвестные административные учётные записи.

Один симптом не всегда означает ransomware, но массовые изменения требуют немедленной проверки.

1. Изолируйте затронутые устройства

Отключите сетевое соединение подозрительных компьютеров: кабель, Wi-Fi, VPN. Не выключайте всю инфраструктуру без оценки, но остановите распространение между сегментами.

Если шифрование продолжается на файловом сервере, его может потребоваться изолировать от сети или остановить доступ к общим папкам. Решение должен принимать технический специалист с учётом состояния системы.

2. Не удаляйте всё сразу

Не запускайте массовую переустановку и не очищайте журналы. Для расследования могут понадобиться:

• системные логи;
• журналы антивируса;
• список процессов;
• сетевые соединения;
• образ диска или памяти;
• время первых событий;
• текст требования;
• примеры зашифрованных файлов.

Сохранение следов помогает понять точку входа и предотвратить повторное заражение.

3. Защитите резервные копии

Немедленно проверьте, не доступны ли хранилища резервных копий из заражённой сети. При необходимости изолируйте их, но не удаляйте задания и каталоги.

Не начинайте восстановление в ещё скомпрометированную среду. Иначе чистые данные могут быть зашифрованы повторно.

4. Определите масштаб

Нужно выяснить:

• какие устройства затронуты;
• какие учётные записи использовались;
• когда появились первые признаки;
• какие общие ресурсы были доступны;
• затронуты ли доменные контроллеры;
• изменялись ли резервные копии;
• есть ли признаки утечки данных;
• сохраняется ли активность злоумышленника.

Даже если зашифрован один компьютер, проверьте журналы аутентификации и административные действия в сети.

5. Смените скомпрометированные доступы

Пароли меняют с чистого устройства и по приоритету:

1. Административные учётные записи.
2. Почта и облачные кабинеты.
3. VPN и удалённый доступ.
4. Резервное копирование.
5. Сервисные учётные записи.
6. Пользовательские аккаунты, связанные с инцидентом.

Простая смена пароля не удаляет активные токены и сессии. Их также нужно отозвать.

6. Не доверяйте заражённой среде

Антивирусное сканирование полезно для диагностики, но не всегда гарантирует полное удаление инструментов злоумышленника. Для критичных систем безопаснее восстановление на проверенной инфраструктуре или чистая переустановка с последующим возвратом данных.

7. Восстанавливайте по приоритету

Порядок определяет бизнес, а не удобство администратора. Обычно сначала возвращают:

• идентификацию и сеть;
• базовые сервисы хранения;
• критичные базы и приложения;
• телефонию и коммуникации;
• рабочие места ключевых подразделений;
• остальные системы.

Каждый восстановленный узел проверяют до подключения к общей сети.

Стоит ли платить выкуп

Это не техническое решение одного администратора. Оно связано с юридическими, финансовыми, репутационными и операционными рисками. Нет гарантии получения рабочего ключа или удаления похищенных данных. Решение должно приниматься руководством после консультации со специалистами и оценки требований законодательства.

Коммуникация внутри компании

Сотрудникам нужно дать короткие инструкции:

• не включать отключённые компьютеры;
• не подключать внешние носители;
• не пересылать записки злоумышленников клиентам;
• сообщать о любых необычных окнах и файлах;
• использовать только утверждённые каналы связи.

Важно не скрывать факт технической проблемы от тех, чьи действия влияют на восстановление, но и не распространять неподтверждённые версии.

После восстановления

Инцидент нельзя считать закрытым после возвращения файлов. Нужно установить первопричину и устранить её. Частые направления проверки:

• слабый или открытый удалённый доступ;
• отсутствие многофакторной аутентификации;
• устаревшие системы;
• избыточные административные права;
• одинаковые пароли;
• уязвимый внешний сервис;
• фишинговое письмо;
• доступ резервных копий из рабочей сети;
• недостаточная сегментация.

Подготовка до инцидента

Самые полезные меры принимаются заранее:

• изолированные резервные копии;
• тестовые восстановления;
• многофакторная аутентификация;
• минимальные права;
• сегментация сети;
• мониторинг административных событий;
• инвентаризация внешних сервисов;
• план реагирования с контактами ответственных;
• учебная тренировка.

При атаке важна не идеальная реакция, а управляемая последовательность: остановить распространение, сохранить следы, защитить копии, очистить среду и только затем восстанавливать системы.

Материал носит общий информационный характер. Конкретные действия зависят от архитектуры, масштаба инцидента и требований к обработке данных.