Шифровальщик в офисе: что делать в первый час

Утро начинается как обычно, но файлы на общем диске не открываются: у документов странные расширения, а в каждой папке лежит файл с требованием заплатить за расшифровку. Это шифровальщик — вредоносная программа, которая зашифровывает данные и требует выкуп.

В такой момент легко растеряться. Ниже — что делать по шагам. От первого часа зависит, сколько данных удастся спасти.

Как понять, что это шифровальщик

Документы, фото и базы не открываются, у файлов появились незнакомые расширения.
В папках или на рабочем столе появились файлы вроде README.txt или HOW_TO_DECRYPT с инструкциями и суммой выкупа.
Компьютеры внезапно стали очень медленными, антивирус сообщает об угрозах.
Не открывается 1С, перестала работать почта или общий диск.

Если хотя бы два пункта совпали — действуйте так, будто это шифровальщик. Ложная тревога обойдётся дешевле, чем промедление.

Первые 15 минут: остановить распространение

Отключите заражённые компьютеры от сети. Выдерните сетевой кабель, отключите Wi-Fi. Шифровальщик ищет по сети другие компьютеры и общие папки — каждая минута подключения стоит новых файлов. Лучше отключить от сети, чем выключать: на включённом компьютере сохраняются следы, которые помогут понять, откуда пришла атака. Если быстро отключить от сети не получается — выключите.
Отключите от сети хранилище с резервными копиями, если оно подключено и ещё не пострадало. Копии — главное, что поможет восстановиться. Шифровальщики специально ищут их, чтобы лишить вас выбора.
Приостановите синхронизацию облаков — Яндекс Диска и других. Иначе зашифрованные файлы заменят нормальные копии в облаке.
Сообщите тому, кто отвечает за ИТ, и предупредите сотрудников: не включать выключенные компьютеры, не открывать общие папки, не подключать флешки.

Чего делать нельзя

Платить выкуп. Никто не гарантирует, что ключ придёт и сработает. Компании, которые однажды заплатили, нередко атакуют снова.
Удалять зашифрованные файлы. Иногда для них позже появляется бесплатный расшифровщик.
Запускать «расшифровщики» со случайных сайтов. Под их видом часто распространяют новые вирусы.
Сразу восстанавливать копии на те же компьютеры. Пока не найдена и не закрыта дыра, через которую пришла атака, данные зашифруют снова.
Переписываться с вымогателями от имени компании без решения руководителя.

Остаток первого часа: оценить ущерб

Составьте список пострадавшего. Какие компьютеры, серверы, общие папки и облака затронуты. Отдельно — в каком состоянии резервные копии: где лежат, когда сделаны последние, не зашифрованы ли они.

Сохраните улики. Сфотографируйте экран с требованием, сохраните файл с запиской и один-два зашифрованных файла. Они нужны, чтобы определить вид шифровальщика.

Проверьте, есть ли бесплатный расшифровщик. Проект No More Ransom, который ведут полиция и компании, разрабатывающие антивирусы, собирает бесплатные расшифровщики. По записке и зашифрованному файлу там можно определить вид шифровальщика.

Смените пароли — с чистого устройства. В первую очередь пароли администраторов, удалённого доступа к компьютерам, почты и облаков. Если на заражённом компьютере работал банк-клиент, позвоните в банк и попросите временно заблокировать платежи.

Подумайте о персональных данных. Современные шифровальщики часто не только шифруют, но и копируют данные. Если есть признаки, что утекли персональные данные клиентов или сотрудников, закон обязывает компанию сообщить об инциденте в Роскомнадзор в течение 24 часов. Обсудите это с юристом.

Заявление в полицию можно подать — вымогательство и распространение вредоносных программ являются преступлениями. Для страховой и для разговора с клиентами тоже пригодится официальный документ.

Как восстановить работу

Найти, как пришла атака. Чаще всего это письмо с вложением, открытый в интернет удалённый доступ к компьютерам или подобранный пароль. Пока вход не закрыт, восстанавливаться бессмысленно.
Очистить или переустановить заражённые компьютеры и серверы.
Проверить копии — что они не зашифрованы и из них действительно можно восстановиться.
Восстанавливать по важности: сначала то, без чего бизнес стоит, — 1С, почта, рабочие файлы, потом остальное.

Если копии были сделаны правильно и хранились отдельно, работу обычно удаётся вернуть без выкупа. Если нет — шансы зависят от того, есть ли расшифровщик именно для этого вида шифровальщика.

Как не попасть в эту ситуацию

Резервные копии по правилу 3-2-1: три копии, на двух разных носителях, одна — вне офиса и недоступна с обычных компьютеров. И регулярная проверка восстановления — подробно в статье «Резервная копия 1С: как проверить, что из неё можно восстановиться».
Удалённый доступ — только через защищённое подключение, а не открытым портом в интернет.
Обновления системы и программ — вовремя.
Сотрудники работают без прав администратора — так вирусу сложнее закрепиться.
Двухфакторный вход в почту, облака и удалённый доступ.
Мониторинг, который замечает странную активность и сбои копий раньше людей.
Короткий инструктаж сотрудников: не открывать неожиданные вложения и ссылки, а при подозрении — сразу звонить, а не ждать.

Если это уже случилось

Звоните — мы помогаем остановить распространение, оценить ущерб и восстановить работу из копий. А если хотите, чтобы это не случилось, настроим копии, удалённый доступ и мониторинг так, чтобы шифровальщику было не за что зацепиться. Оставьте заявку.