ИТ-СкораяВирус-шифровальщик в офисе: что делать в первые 15 минут
Файлы не открываются, у них странные расширения, а на рабочем столе записка с требованием денег. Это вирус-шифровальщик. Он может перекинуться на весь офис, поэтому первые минуты решают, сколько данных вы сохраните.
Первые 15 минут
- Отключите заражённый компьютер от сети. Выдерните сетевой кабель, отключите Wi-Fi. Не выключайте его кнопкой питания, пока не посоветуетесь со специалистом: иногда важно сохранить состояние. Но если шифрование идёт на глазах, а отключить сеть нельзя, лучше выключить.
- Отключите от сети сервер с резервными копиями и внешние диски. Шифровальщики умеют находить и уничтожать копии. Копии, которые в момент заражения были отключены, часто остаются целыми.
- Сфотографируйте записку с требованием и названия зашифрованных файлов: по ним специалист определит, что за вирус.
- Предупредите коллег: не открывать почту и не работать с общими папками, пока не проверят остальные компьютеры.
- Позвоните специалисту. Чем быстрее, тем больше шансов.
- Платить выкуп. Нет гарантии, что вам пришлют ключ, а деньги получат те, кто атакует ваш бизнес.
- Удалять зашифрованные файлы или «лечить» компьютер первой попавшейся программой.
- Подключать к заражённому компьютеру флешки и внешние диски с копиями.
- Заходить с заражённого компьютера в почту, банк, кабинеты: ваши пароли могут быть похищены.
Что делает специалист
- проверяет все компьютеры в сети и определяет, откуда вирус проник;
- очищает или переустанавливает заражённую систему: оставлять «вылеченный» компьютер рискованно;
- восстанавливает данные из чистой копии (под другой учётной записью с нужными правами);
- меняет пароли с чистого компьютера;
- закрывает дыру, через которую пришёл вирус.
Можно ли расшифровать файлы
Честно: не всегда. Для некоторых семейств шифровальщиков бесплатные расшифровщики существуют, для многих нет. Проверить можно на международном проекте No More Ransom, но гарантий никто не даст. Поэтому основная защита это копия, до которой вирус не дотянулся.
Как защититься заранее
- Копии вне доступа вируса: отдельный носитель, который отключают после копирования, или облако с неизменяемыми копиями. Копия на том же компьютере и в той же сети не спасёт.
- Права сотрудников. Копирование выполняет отдельная учётная запись, у остальных нет права записи в папку с копиями.
- Обновления системы и программ: через старые дыры вирусы и приходят.
- Отключите удалённый доступ (RDP) из интернета, если он не нужен, а если нужен, закройте его паролем, двухфакторным входом и VPN.
- Осторожность с почтой: не открывать вложения от незнакомых, особенно архивы с паролем и файлы с двойным расширением вида «документ.pdf.exe».
- Антивирус и обучение сотрудников: большинство заражений начинается с письма.
Когда звонить нам
Звоните сразу, как только заметили признаки шифровальщика, и не включайте заражённую технику. Мы приедем по Севастополю или подключимся к чистой части сети, проверим компьютеры, восстановим данные из копий и закроем уязвимость. Гарантий вернуть всё не даём: поэтому лучше настроить правильные копии до беды.
Подробнее об услуге: Срочный ремонт. Цену называем до начала работ.
Частые вопросы
Как понять, что это именно шифровальщик?
Файлы получили незнакомое расширение и не открываются, рядом появляется текстовая записка с требованием, программы пишут, что файл повреждён. Часто всё происходит у нескольких пользователей.
Стоит ли заплатить, если нет копий?
Мы не советуем: нет гарантии, что вернут данные, а деньги поддержат нападающих. Сначала обратитесь к специалисту и проверьте возможность расшифровки.
Нужно ли сообщать в полицию?
Да, подайте заявление: это важно и для вашей защиты, и для возможного расследования. Сохраните записку и скриншоты.
