Ransomware — что делать бизнесу при атаке шифровальщика

1Что такое ransomware

Ransomware (программа-вымогатель, вирус шифровальщик) — это вредоносное ПО, которое шифрует файлы на компьютерах и серверах компании, а затем требует выкуп за ключ дешифрования. Средний размер выкупа для российских компаний в 2025 году — 2,8 млн рублей (по данным Group-IB). Время простоя бизнеса после атаки — от 7 до 21 дня.

Ransomware попадает в корпоративную сеть тремя основными путями:

• Фишинг — сотрудник открывает вложение или переходит по ссылке в поддельном письме. Это причина 67% успешных атак шифровальщиков.
• Уязвимости RDP — открытый порт 3389 с простым паролем. Брутфорс RDP остаётся вторым по популярности вектором проникновения ransomware.
• Эксплуатация уязвимостей — непропатченные серверы (Exchange, VPN-шлюзы, 1С-серверы) дают атакующим доступ без участия пользователя.

2Что делать в первые часы после шифрования

Если вирус шифровальщик уже зашифровал файлы — счёт идёт на часы. Правильные действия в первые 2-4 часа определяют, удастся ли восстановить данные и минимизировать ущерб. Вот пошаговый план:

3Платить ли выкуп хакерам

Вопрос «платить ли выкуп» — самый болезненный для руководителей. С одной стороны, бизнес стоит, данные зашифрованы, каждый день простоя — это убытки. С другой — оплата финансирует преступников и не гарантирует результат.

4Как восстановить данные без оплаты выкупа

Восстановление после шифровальщика возможно без выкупа в большинстве случаев — если действовать грамотно. Вот основные методы:

Резервные копии

Если у вас есть актуальные офлайн-бэкапы или облачные копии с версионированием — это самый надёжный путь. Перед восстановлением убедитесь, что инфраструктура очищена от вредоносного ПО, иначе шифрование повторится.

Бесплатные дешифраторы

Проект No More Ransom (nomoreransom.org) — совместная инициатива Европола, Kaspersky и других компаний. На сайте доступны бесплатные утилиты дешифрования для более чем 170 семейств ransomware. Перед оплатой выкупа обязательно проверьте, не существует ли готовый дешифратор для вашего случая.

Форензика оперативной памяти

Если серверы не были выключены, специалисты по форензике могут извлечь ключи шифрования из RAM. Именно поэтому первый шаг в плане реагирования — НЕ выключать серверы. Этот метод работает не всегда, но в 15-20% случаев позволяет расшифровать данные.

Теневые копии и снапшоты

Продвинутые группировки удаляют Volume Shadow Copies, но не все ransomware это делают. Проверьте наличие теневых копий Windows (vssadmin list shadows) и снапшотов виртуальных машин на гипервизоре.

5Как защитить компанию от ransomware заранее

Предотвратить атаку вируса шифровальщика дешевле, чем устранять последствия. Средний ущерб от ransomware для СМБ-компании составляет 5-15 млн рублей (простой + восстановление + репутация). Вот ключевые меры защиты:

6SOC-мониторинг: обнаружение ransomware до шифрования

Главная задача SOC при защите от ransomware — обнаружить атаку на этапе разведки и бокового перемещения, за дни до запуска шифрования. Аналитики SOC выявляют характерные паттерны: массовое сканирование портов, аномальные обращения к контроллеру домена, отключение антивируса, удаление теневых копий.

КРЕДО-С предоставляет услуги SOC-мониторинга и расследования инцидентов. Если ваша компания уже подверглась атаке ransomware — мы проведём форензику, поможем с восстановлением и выстроим защиту от повторных атак.

Частые вопросы