Программа-вымогатель — это вредонос, который шифрует ваши файлы и требует выкуп за их восстановление. Вот как она работает и как не платить (без шагов атаки).
Как это работает: преступный бизнес с разделением ролей
Классическая программа-вымогатель шифрует каждый файл, до которого может дотянуться на устройстве или сервере, и оставляет записку: «платите, если хотите ключ расшифровки». Но настоящая природа сегодняшней угрозы — меньше про технологию и больше про то, как она зарабатывает деньги.
При двойном вымогательстве атакующие выносят данные до шифрования. Поэтому даже если жертва восстановится из своих бэкапов, остаётся вторая угроза: «платите, или опубликуем то, что украли». Этот сдвиг — причина, почему «у нас есть бэкапы, значит мы в порядке» больше не работает само по себе. Вдобавок RaaS (программа-вымогатель как услуга) разделяет работу — те, кто строит инструментарий, и те, кто проводит атаки, теперь разные люди — что резко снизило барьер входа.
Основные каналы проникновения
Программа-вымогатель не появляется из ниоткуда; она проникает через предсказуемый набор каналов. Их блокировка — первая мера защиты.
1. Фишинг
через вложения / ссылки в почте. Самый частый путь. защита = MFA, фильтрация почты, обучение
2. Открытый VPN/RDP
слабый / без MFA удалённый доступ. защита = требовать MFA, снижать открытость
3. Незакрытые уязвимости
известные уязвимости в ПО, обращённом в интернет. защита = быстро патчить
Реальный пример, который мы разбирали, — массовая утечка через MOVEit Transfer: группа вымогателей эксплуатировала незакрытую уязвимость в обращённом в интернет ПО и украла большие объёмы данных до того, как стало доступно исправление, — случай двойного вымогательства. Это хорошее напоминание, что «вложение в письме» — не единственный способ проникновения программы-вымогателя.
Программа-вымогатель и обычное вредоносное ПО
Программа-вымогатель — разновидность вредоносного ПО, но её цель и момент, когда вы её замечаете, сильно отличаются (→ что такое вредоносное ПО).
| Обычное вредоносное ПО (шпионские программы и т. п.) | Программа-вымогатель | |
|---|---|---|
| Цель | Незаметно красть информацию или управлять устройством | Остановить бизнес и получить выкуп |
| Когда замечают | Часто долго работает незамеченным | Проявляется внезапно — шифрование и записка с требованием выкупа |
| Основной ущерб | Утечки данных, мошеннические переводы, использование для атак на других | Простой, плюс публикация украденных данных |
| Что решает исход | Обнаружение (EDR) и защита учётных данных | Офлайн-бэкапы и недопущение атакующих внутрь |
Примеры: инциденты с программами-вымогателями в Японии
Это японские случаи, разобранные на этом сайте. Чаще всего точкой входа были VPN-устройства, доступные из интернета, или украденные учётные данные.
| Случай | Точка входа по сообщениям | Ущерб и восстановление |
|---|---|---|
| Capcom (2020) | Старое VPN-устройство, которое так и не вывели из эксплуатации | Возможно раскрыты персональные данные примерно до 390 000 человек; восстановились из бэкапов без оплаты |
| Больница Ханда (2021) | Незакрытая уязвимость VPN-устройства | Бэкапы находились в той же сети и тоже были зашифрованы; около двух месяцев на восстановление электронных медкарт |
| Общий медицинский центр Осаки (2022) | VPN-устройство подрядчика по питанию | Проникновение через подрядчика; ограничены амбулаторный приём, операции и экстренная помощь; чуть более двух месяцев до полного восстановления |
| KADOKAWA (2024) | Учётные данные, украденные с помощью фишинга, по объяснению компании | Многие сервисы группы надолго остановлены; утекли персональные данные около 250 000 человек |
| Medica Shuppan (2026) | Проникновение с использованием учётных данных легитимной учётной записи, по данным компании | Около 641 000 человек уведомлены о «возможной утечке» |
Общее у них — как управлялись точки входа, доступные из интернета, и где хранились бэкапы. Как защищать VPN-устройства, разобрано в статье VPN-устройства — главный вход программ-вымогателей (на английском).
Защита: сделайте возможным восстановление без оплаты
Держите офлайн / неизменяемые бэкапы (самое важное)
Бэкапы решают восстановление. Но всегда онлайн, доступный для записи бэкап может быть зашифрован вместе с остальным, поэтому держите хотя бы одну офлайн или неизменяемую (защищённую от подделки) копию и регулярно проводите тесты восстановления, чтобы подтвердить, что данные действительно можно вернуть. См. основы резервного копирования и восстановления (3-2-1).
Предотвратите проникновение: MFA и патчи
Требуйте многофакторную аутентификацию (MFA) на самых опасных путях (подверженных фишингу входах и открытом удалённом доступе) и быстро патчите известные уязвимости на всём, что обращено в интернет. Уже это останавливает большую долю проникновений (→ выбор MFA).
Ограничьте ущерб: минимум привилегий и сегментация
Чтобы одна компрометация не зашифровала всю компанию, держите привилегии на минимуме и сегментируйте сеть. Проектирование так, чтобы одна скомпрометированная машина не могла распространиться везде, локализует ущерб.
Имейте обнаружение и план «после того, как нас поразили»
Даже с этими мерами профилактика никогда не идеальна. Поэтому обнаруживайте аномалии рано и решите заранее — в плане реагирования на инциденты — кто что делает (изолировать, уведомить, восстановить, именно в этом порядке). Постройте способность сдержать и восстановить до того, как кто-то запаникует и заплатит.
Мнение этого сайта: не рассчитывайте на оплату, готовьтесь заранее
По вопросу оплаты наша позиция ясна: заранее постройте способность не платить. Оплата не гарантирует расшифровки; при двойном вымогательстве она и не останавливает утечку; и она финансирует преступность, помечая вас как плательщика, на которого нацелятся снова.
Поэтому важна подготовка, а не реагирование на инцидент: офлайн-бэкап, из которого можно восстановиться, плюс MFA и патчи, не пускающие атакующих внутрь. Когда есть и то и другое, ущерб от программы-вымогателя остаётся на уровне неприятного, но восстановимого инцидента.
Первые шаги, когда вы заметили заражение
Отключите от сети
Выньте сетевой кабель и выключите Wi-Fi, чтобы заражение не распространилось на другие устройства и бэкапы. Избегайте поспешных перезагрузок и выключения питания — они могут стереть записи, нужные для расследования.
Свяжитесь с ответственными внутри и с внешними органами
В организации используйте заранее согласованные контакты. Сообщите в полицию или в национальный канал приёма сообщений о киберпреступлениях, а если могли утечь персональные данные, проверьте правила уведомления вашего органа по защите данных.
Проверьте, есть ли расшифровщик и чистые бэкапы
Если из записки с требованием выкупа понятно семейство, поищите бесплатный инструмент расшифровки на No More Ransom. Параллельно убедитесь, что у вас есть бэкапы, которых атака не коснулась.
Как проверить свою настройку
- Составьте список названий и версий VPN-устройств и межсетевых экранов, доступных из интернета, и проверьте по бюллетеням вендоров и «Поиску CVE / KEV», не остались ли незакрытые эксплуатируемые уязвимости
- Убедитесь, что удалённый рабочий стол (RDP, обычно порт 3389) недоступен напрямую из интернета
- Проверьте, что для учётных записей VPN и удалённого доступа обязательна многофакторная аутентификация (MFA) и что не осталось неиспользуемых учётных записей
- Убедитесь, что хотя бы один бэкап хранится там, где его не могут удалить рабочие учётные данные (офлайн или с включённой неизменяемостью), и действительно восстановите из него один файл
«У нас есть бэкапы» больше не значит «мы в безопасности»
Раньше бэкапы делали программы-вымогатели безвредными. Но теперь, когда двойное вымогательство стало нормой, способность восстановиться — это другая проблема, чем предотвращение кражи данных. Атакующие вытаскивают данные до шифрования, а затем требуют оплаты «или опубликуем». Поэтому защите нужно и то и другое: не только способность восстановиться (бэкапы), но и не дать атакующим проникнуть или вынести данные (предотвращение проникновения). Отправная точка современной защиты от программ-вымогателей — отказ остановиться на «но у нас же есть бэкапы».
Источники (первичные)
- Национальное полицейское агентство Японии, «Меры по предотвращению ущерба от программ-вымогателей» (на японском) — npa.go.jp (что делать при заражении и профилактика)
- No More Ransom, «About the project» — nomoreransom.org (бесплатные инструменты расшифровки)
- CISA, «#StopRansomware Guide» — cisa.gov (офлайн-бэкапы и чек-лист реагирования)
- Комиссия по защите персональной информации Японии, «Реагирование на утечки» (на японском) — ppc.go.jp
Читать дальше
- Обучение: основы резервного копирования и восстановления (основы восстановления без оплаты, включая правило 3-2-1)
- Обучение: как правильно выбрать MFA (заблокировать самый опасный путь проникновения)
- Глоссарий: что такое фишинг (обрезать сам главный канал входа)
- Кейс: массовая утечка через MOVEit Transfer (двойное вымогательство через незакрытую уязвимость)
- Глоссарий: что такое C2 (командно-контрольный сервер) (канал после заражения, через который работают атакующие)
- Глоссарий: что такое вредоносное ПО (обзор вредоносного ПО, включая программы-вымогатели, и общая защита)
- Кейс: программа-вымогатель у Capcom (2020) (входом стало старое VPN-устройство · двойное вымогательство · восстановились без оплаты)