Атака программы-шифровальщика (ransomware), это критическая ситуация, требующая мгновенных и правильных действий. От скорости реакции зависит возможность восстановления данных и предотвращение распространения угрозы в корпоративной сети. В этой статье подробно разберем алгоритм действий «здесь и сейчас» и, что самое главное, куда именно отправить образцы зашифрованных файлов для идентификации угрозы и поиска дешифратора.

Первые 15 минут: Критически важные шаги

Обнаружив зашифрованные файлы (измененные расширения, записки с вымогательством), не паникуйте и не спешите платить выкуп. Оплата не гарантирует возврат данных и финансирует преступников.

1. Изолируйте зараженное устройство. Немедленно отключите компьютер от локальной сети (выдерните кабель Ethernet, отключите Wi-Fi, Bluetooth). Это остановит шифрование сетевых папок и других хостов.
2. Не перезагружайте систему «жестко» без необходимости. В оперативной памяти могут остаться ключи шифрования или процессы вредоноса, которые помогут аналитикам. Если возможно, сделайте дамп памяти (RAM dump) перед выключением.
3. Зафиксируйте расширение зашифрованных файлов. Например: .lockbit, .phobos, .makop, .* (уникальное для каждой кампании).

Идентификация шифровальщика: Узнайте врага в лицо

Прежде чем отправлять файлы, попробуйте определить тип вымогателя самостоятельно. Это сэкономит время.

• Сервис ID Ransomware (id-ransomware.malwarehunterteam.com). Загрузите записку с вымогательством и 1-2 зашифрованных файла (маленьких размеров, до 1 МБ). Сервис сравнит их с базой сотен семейств и выдаст название.
• Проект No More Ransom (nomoreransom.org). Официальный портал Европоля, полиции Нидерландов, Kaspersky и других вендоров. В разделе «Crypto Sheriff» можно загрузить файлы для проверки на наличие бесплатного дешифратора.
• Поиск по расширению и тексту записки. Введите в Google/Yandex расширение файла или фразу из записки (например, «Ваши файлы были зашифрованы» + контакты злоумышленников). Часто находятся обсуждения на форумах (BleepingComputer, антивирусные клубы) с инструкциями.

Куда отправить файлы для анализа: Основные адреса и порталы

Это самый важный раздел. Если автоматическая идентификация не дала результата или дешифратора нет в открытом доступе, необходимо отправить образцы в антивирусные лаборатории. Аналитики бесплатно исследуют вредоносный код и, в случае успеха, выпускают утилиту восстановления.

Лаборатория Касперского (Kaspersky Lab)

Одна из ведущих лабораторий по борьбе с вымогателями. Принимают образцы от всех пользователей.

• Электронная почта для подозрительных файлов: n@k.com (тема: «Возможный шифровальщик», в теле — описание инцидента).
• Клуб «Лаборатории Касперского» — раздел «Помощь в борьбе с шифровальщиками-вымогателями». Создайте тему, прикрепите зашифрованные файлы (архив с паролем virus или infected), записку и логи CollectionLog (сборщик логов AutoLogger). Помогают волонтеры и сотрудники компании.
• Техподдержка (для владельцев лицензий). Через личный кабинет My Kaspersky или портал поддержки — приоритетная очередь.

Doctor Web (Dr.Web)

Имеют мощный отдел вирусологии и сервис расшифровки.

• Служба технической поддержки: Через форму на сайте support.drweb.ru или почту s*@drweb.com.
• Dr.Web Rescue Pack. При обращении в поддержку (даже без лицензии, указав «Восстановление файлов») часто выдают временную лицензию на утилиту Dr.Web Rescue Pack, которая сканирует систему и пытается расшифровать файлы известными алгоритмами.
• Важно: Присылайте пару зашифрованных файлов (документы, фото, не системные!) и оригиналы, если есть бэкапы — это ускоряет подбор ключа.

Emsisoft / Malwarebytes / Другие вендоры

• Emsisoft Decrypter Submission: На сайте emsisoft.com есть форма отправки образцов для их базы дешифраторов.
• Malwarebytes Forum: Раздел «Ransomware Help & Tech Support» — требуется регистрация, но эксперты часто помогают с редкими семействами.

Российские специализированные ресурсы

• Антивирусная лаборатория «Деловые решения» / Spyware.ru: Форум spyware.ru или anti-malware.ru — раздел «Лечение от вирусов». Требуется выполнить правила оформления запроса (логи FRST, Addition.txt).
• SafeZone.cc: Крупное сообщество хелперов. Раздел «Помощь в удалении вирусов». Строгое соблюдение шаблона запроса обязательно.

Попытки самостоятельного восстановления (пока ждете ответа)

Пока аналитики изучают образец (ответ может прийти от нескольких часов до нескольких дней), можно попробовать:

1. Теневые копии (Shadow Copies / VSS). Если шифровальщик не удалил их (vssadmin delete shadows), восстановите файлы через «Свойства -> Предыдущие версии» или утилитой ShadowExplorer.
2. Восстановление удаленных файлов. Шифровальщики часто удаляют оригиналы, а не перезаписывают на месте. Утилиты Recuva, R.Saver, PhotoRec (для фото/видео) могут вернуть «сырые» данные с диска. Не пишите ничего на зараженный диск! Работайте с образом диска или подключите диск к другому ПК.
3. Проверка на наличие дешифратора в No More Ransom. Регулярно проверяйте проект — ключи публикуются по мере изъятия серверов злоумышленниками или их ареста.

Корпоративный инцидент: Эскалация и расследование

Если заражена сеть организации, действий «на коленке» недостаточно.

• Инцидент-респонс (IR). Привлеките профильную компанию (Group-IB, Solar Dozor, Kaspersky Incident Response, Positive Technologies и др.). Они проведут форензику: найдут вектор входа (Phishing, RDP-brute, VPN-уязвимость, Supply Chain), оценят масштаб утечки данных (Data Leak) и помогут с легальными аспектами (ФЗ-152, ГКРЧ, уведомление регулятора).
• Сохранение доказательств. Образы дисков, логи прокси, файрволов, DC (Security, System, PowerShell Operational) — передайте экспертам до переустановки систем.
• Смена всех паролей. После устранения бэкдора смените пароли всех учетных записей (админы, пользователи, сервисные аккаунты), перевыпустите сертификаты, ключи VPN.

Профилактика: Как не стать жертвой повторно

Статистика показывает: основные векторы входа — Фишинг (Email) и открытый RDP/VPN без MFA.

• MFA (Многофакторная аутентификация) везде: VPN, почта, админки, RDP (через RD Gateway + MFA).
• Запрет RDP в интернет; Только через VPN/Zero Trust.
• Регулярные бэкапы по правилу 3-2-1: 3 копии, на 2 разных носителях, 1 копия оффлайн/иммутабельная (недоступна для шифрования из сети). Проверяйте восстановление раз в квартал.
• Обучение персонала. Фишинг-тесты, правила работы с вложениями/ссылками.
• Сегментация сети. Ограничьте lateral movement (боковое перемещение) — учетные записи админов не должны работать на пользовательских станциях.
• EDR/XDR решения. Визуализация процессов, блокировка подозрительной активности (массовое переименование, доступ к VSS, запуск из Temp).

При атаке шифровальщика время — главный ресурс. Не платите выкуп сразу. Изолируйте сеть, соберите артефакты (записка, расширение, логи) и направьте образцы в лаборатории Касперского (newvirus@…), Dr.Web (support@…) и на портал No More Ransom. Параллельно проверяйте теневые копии и запускайте восстановление удаленных файлов.

Помните: даже если дешифратора нет сегодня, он может появиться завтра после анализа ваших образцов или ареста группировки. Сохраняйте зашифрованные данные — они не портятся со временем.

Статья подготовлена на основе открытых данных антивирусных вендоров и лучших практик Incident Response. Контактные данные поддержки частично маскированы в соответствии с политикой безопасности. Для актуальных адресов обращайтесь на официальные сайты вендоров.