Если расширение файлов на вашем компьютере или сервере внезапно изменилось, а на рабочем столе появилась записка с требованием выкупа, вероятнее всего, вы подверглись атаке вируса-вымогателя (ransomware). Это неприятная ситуация, однако если избежать паники и следовать правильным шагам, шанс на восстановление файлов можно сохранить — во многих случаях восстановление было успешным. Неверные же шаги, предпринятые в момент паники, могут серьезно снизить этот шанс. В этой статье рассматриваются шаги, которые необходимо предпринять в первые 24 часа.
1. Немедленно Отключите Сетевое Соединение
Зараженное устройство должно быть немедленно отключено от проводной/беспроводной сети, чтобы предотвратить распространение вируса-вымогателя на другие устройства в сети. Не следует забывать, что общие диски, серверы резервного копирования и подключенные внешние диски также могут быть затронуты вирусом.
2. Не Выключайте Систему, Изолируйте Ее
Полное выключение компьютера в некоторых случаях может привести к потере следов процесса шифрования, оставшихся в памяти; вместо этого устройство следует лишь изолировать от сети, по возможности сохранив его текущее состояние.
3. Не Платите Выкуп
Выплата выкупа не гарантирует возврата файлов; во многих случаях ключ расшифровки после оплаты вообще не отправляется или не работает. Кроме того, выплата выкупа финансово укрепляет злоумышленников и увеличивает риск повторного нападения.
4. Сохраните Записку с Требованием Выкупа и Образцы Зашифрованных Файлов
Записка с требованием выкупа, оставленная на рабочем столе или в папках, шаблон изменения расширения файлов и несколько образцов зашифрованных файлов играют важную роль в определении семейства вируса и возможного метода восстановления.
5. Запросите Профессиональную Оценку
Не каждое семейство вирусов-вымогателей использует одинаковую степень шифрования; для некоторых семейств файлы можно восстановить через известные уязвимости. Запрос профессионального анализа до выключения системы, удаления файлов и выплаты выкупа значительно повышает шансы на восстановление.
Распространенные Ошибки
- Попытки переименовать или «починить» зашифрованные файлы
- Запуск бесплатных «дешифраторов», загруженных из интернета, без проверки их надежности
- Форматирование системы (это может уничтожить и возможные данные для восстановления)
- Продолжение хранения системы резервного копирования в той же сети без проверки резервных копий
Самый правильный первый шаг при атаке вируса-вымогателя: изолировать сеть, сохранить систему как есть, не платить выкуп и запросить профессиональный анализ.
Вы не одиноки; многим пользователям и организациям уже была успешно оказана поддержка в этом процессе. Подробную информацию и бесплатный предварительный анализ по услуге восстановления после Cryptolocker и вирусов-вымогателей можно найти на странице Восстановление после Cryptolocker / Вируса-Вымогателя.