Защита от троянов шифровальщиков. Вирус-шифровальщик

Целью данного тестирования, проведенного AVLab в октябре 2016 года, была проверка защиты реального времени антивирусов против троянов-шифровальщиков для домашних пользователей и организаций малого и среднего бизнеса. Результаты, представленные в отчете, отражают реальную эффективность антивирусного ПО при использовании всех доступных компонентов защиты, включая эвристические и поведенческие методы при противодействии неизвестным шифровальщикам.

Хотя некоторые протестированные продукты позволяют пользователям создавать отдельную папку, любые изменения файлов в которой непрерывно отслеживаются антивирусом, основная цель испытания заключалась в проверке реакции на современные неизвестные виды троянов-вымогателей. Данный вид вредоносных программ приносит значительный ущерб, часто приводит к финансовым потерям, что в свою очередь негативно сказывается на продуктивности бизнеса.

Лучшая защита от шифровальщиков

Ниже представлены продукты безопасности в категориях домашние и корпоративные продукты, которые показали лучшие результаты защиты от шифровальщиков в данном тестировании.

Arcabit Internet Security
Foltyn SecurityShield

Arcabit Endpoint Security
Comodo ONE Enterprise
Emsisoft Anti-Malware for endpoints
F-Secure Protection Service for Business
G DATA Client Security Business
Seqrite Endpoint Security Enterprise Suite

Avast for Business Endpoint Security
AVAST for Business Basic Antivirus
AVG AntiVirus Business Edition
Bitdefender GravityZone
Panda Adaptive Defense

Avira Antivirus for Endpoint

Результаты тестирования

Антивирусы и продукты безопасности для дома

* VoodooShield Pro тестировался в двух режимах: AutoPilot и ApplicationWhitelist (SMART, ALWAYS ON). Были получены идентичные результаты в обоих случаях.
* Comodo Internet Security Pro 10 BETA проигнорировал настройки модуля автоматической песочницы, который является основной защиты от неизвестных угроз. Во время тестирования не была доступна стабильная версия, поэтому нельзя сравнивать результаты BETA и будущей стабильной версии Comodo Internet Security Pro 10.

Продукты для малого и среднего бизнеса

Нажмите на изображение, чтобы увеличить

0/0: файлы были зашифрованы, защита была неэффективной.
0/1: файл был запущен и явно заблокирован проактивной защитой.
1: файл был запущен и заблокирован сканером по доступу.

Методология

Для того, чтобы соблюсти принципы идентичности испытаний, AVLab решила проводить тест со стандартными настройками продуктов в одинаковой среде тестирования. В тестировании принимали участие известные антивирусные продукты для обычных потребителей и два независимых приложения: Foltyn SecurityShield и Voodoo Shield Pro, которые по своему принципу действия отличается от традиционных антивирусов. Каждое приложение было протестировано в одинаковых условиях и против идентичной коллекции угроз.

Тестовая коллекция включала 28 файлов шифровальщиков, включая Cerber, CryptXXX, DetoxCrypto, Hitler Ransomware, HolyCrypt, Locky, Numecod, Petya, Jigsaw, Vipasana, Stampado и другие зловреды. Тестовые образцы были собраны в сотрудничестве с независимыми исследователями.

AVLab получила образцы без каких-либо консультаций с разработчиками антивирусов. Таким образом, подозрения, что тестируемое приложение обнаруживает угрозу, предложенную вендором, считаются необоснованными.

Единственный справедливый метод сравнительного тестирования заключается в проверке всех продуктов в одинаковых условиях и на одном и том же основании - в данном случае настройки по умолчанию. На рынке представлены антивирусы, которые имеют специальные механизмы защиты для папок и файлов против шифрования, но не во всех из них эти компоненты включены по умолчанию. Не исключены подозрения, что данные механизмы могут в целом влиять на общую производительность антивируса, что приведет к пониженным результатам в тестах производительность.

Чтобы проверить эффективность защиты самых популярных антивирусов для организаций и домашних пользователей, AVLab подготовила образ Windows 10 Professional x64 с последними обновлениями. Таким образом, все продукты были протестированы в идентичной тестовой среде с доступом к Интернету.

Алгоритм испытания:

Специалисты лаборатории восстанавливали образ операционной системы для каждого протестированного приложения и таким образом воспроизводили идентичную рабочую среду для каждого приложения.
В случае необходимости вредоносная программа получала права администратора, если появлялся соответствующий запрос.
Протестированные антивирусы должны были предотвратить шифрование подготовленной коллекции файлов на рабочем столе.

Толкование результатов

Как уже отмечалось цель тестирования заключалась в выявлении самого эффективного антивируса для защиты против троянов-шифровальщиков. Чтобы тест проводился в равных условиях, все приложения использовали стандартные настройки по умолчанию, но некоторые разработчики решили отключить защиту от троянов-вымогателей в базовой конфигурации.

Долгое время специалисты лаборатории рассматривали вариант добавления еще одной категории оценки - восстановление файла после атаки шифровальщиками. После тщательного анализа выяснилось, что такой подход был бы несправедливым по отношению к некоторым продуктам. Arcabit Internet Security получил бы подавляющее преимущество, а истинная картина защитных механизмов других продуктов была бы искажена из-за стандартной конфигурации. Благодаря SafeStorage, пользователи Arcabit Internet Security Suite могут получить полные возможности без дополнительной конфигурации.

Таким образом, лаборатория не принимала во внимание специализированные инструменты для расшифровки файлов, потому что их эффективность зависит от слишком большого количества факторов. Данный тип инструментов позволяет восстанавливать файлы в случае успешной эксплуатации некорректной реализации функций шифрования или использования закрытого ключа, полученного при тесном сотрудничестве правоохранительных органов и специалистов по компьютерной безопасности. Данный тест сложно подготовить, а его проведение займет длительное время, что несоразмерно с динамикой развития троянов-шифровальщиков.

С полным отчетом вы можете ознакомиться по (английский, pdf).

Нашли опечатку? Нажмите Ctrl + Enter

Вирусы шифровальщики — давно известный тип угрозы. Они появились примерно в одно время с смс-банерами, и плотно засели с последними, в топ-рейтинге вирусов-вымогателей.

Модель монетизации вируса-вымогателя проста: он блокирует часть информации или компьютер пользователя целиком, а за возвращение доступа к данным требует отправить смс, электронные деньги или пополнить баланс мобильного номера через терминал.

В случае с вирусом шифрующим файлы, всё очевидно — для расшифровки файлов нужно заплатить определенную сумму. Причем, за последние несколько лет эти вирусы изменили подход к своим жертвам. Если раньше они распространялись по классическим схемам через варезы, порно сайты, подмену выдачи и массовые спам-рассылки, при этом заражая компьютеры рядовых пользователей, то сейчас рассылка писем идет адресно, вручную, с почтовых ящиков на «нормальных» доменах — mail.ru, gmail и т.д. А заражать пытаются юридических лиц, где под шифры попадают базы данных и договора.

Т.е. атаки из количества переросли в качество. На одной из фирм автору довелось столкнуться с шифровальщиком.hardended который пришел в почте с резюме. Заражение произошло сразу же после открытия файла кадровиками, фирма как раз подыскивала персонал и никаких подозрений файл не вызвал. Это был docx с вложенным в него AdobeReader.exe:)

Самое интересное, что никакие эвристические и проактивные сенсоры антивируса Касперского не сработали. Еще день или 2 после заражения, вирус не определялся dr.web-ом и nod32

Так как быть с такими угрозами? Неужели антивирус бесполезен?

Время антивирусов, работающих только по сигнатурам, уходит .

G Data TotalProtection 2015 — лучшая защита от шифровальщиков
со встроенным модулем резервного копирования. Нажимайте и покупайте .

Для всех пострадавших от действий шифровальщика — промокод со скидкой на покупку G DATA — GDTP2015 . Просто введите этот промокод при оформлении заказа.

Вирусы вымогатели в очередной раз доказали несостоятельность антивирусных программ. Смс-баннеры, в свое время беспрепятсвенно «сливались» пользователям в папку temp и просто запускались на весь рабочий стол и перехватывали нажатие всех служебных комбинаций с клавиатуры.

Антивирусник в это время замечательно работал:) Касперский, как и в штатном режиме, выводил свою надпись «Protected by Kaspersky LAB».

Баннер — не хитроумный зловред как руткиты, а простая программа, которая изменяет 2 ключа в реестре и перехватывает ввод с клавиатуры.

Вирусы, которые шифруют файлы, вышли на новый уровень мошенничества. Это снова обычная программа, которая не внедряется в код операционной системы, не подменяет системных файлов, не считывает области оперативной памяти других программ.

Она просто запускается на короткое время, генерирует открытый и закрытый ключи, шифрует файлы и отправляет закрытый ключ злоумышленнику. На компьютере жертвы остается кучка зашифрованных данных и файл с контактами хакеров для дальнейшей оплаты.

Резонно задуматься: «А зачем тогда нужен антивирус, если он способен находить только известные ему вредоносные программы?

Действительно, антивирусная программа необходима — она защитит от всех известных угроз. Однако многие новые виды вредоносного кода ей не по зубам. Чтобы защититься от вирусов шифровальщиков, нужно принимать меры, одного антивируса здесь недостаточно. И скажу сразу: «Если у вас уже зашифрованы файлы, вы попали. Легко их вернуть не получится».

:

Не забывайте про антивирус

Резервное копирование важных информационных систем и данных каждому сервису — свой выделенный сервер.

Резервное копирование важных данных .

:

Что делать с самим вирусом ?

Самостоятельные действия с зашифрованными файлами

Опыт общения с техподдержкой антивируса, чего ждать ?

Обращение в полицию

Позаботиться о мерах предосторожности в дальнейшем (см предыдущий раздел).

Если ничего не помогло, может стоить заплатить ?

Если вы еще не стали жертвой вируса-шифровальщика:

*Наличие антивирусного ПО на компьютере с последними обновлениями.

Скажем прямо: «Антивирусы хреново справляются с новыми видами шифровальщиков, зато отлично борются с известными угрозами». Так что наличие антивируса на рабочей станции необходимо. Если жертвы уже есть, вы хотя бы избежите эпидемии. Какой антивирус выбрать — решать вам.

По опыту — Касперский «ест» больше памяти и процессорного времени, а для ноутбучных жестких дисков с оборотами 5200 — это катастрофа (нередко с задержками чтения сектора в 500 мс..) Нод32- быстрый, но мало что ловит. Можете купить антивирус GDATA — оптимальный вариант.

*Резервное копирование важных информационных систем и данных. Каждому сервису — свой сервер.

По сему, очень важно, вынести все сервисы (1С, налогоплательщик, специфические АРМы) и любой софт от которого зависит жизнь компании, на отдельный сервер, еще лучше — терминальный. А еще лучше каждый сервис разместить на свой сервер (физический или виртуальный — решайте сами).

Не храните базу 1с в общем доступе, в сети. Так делают многие, но это неправильно.

Если работа с 1с организована по сети с общим доступом на чтение/запись для всех сотрудников — выносите 1с на терминальный сервер, пусть пользователи работают с ним через RDP.

Если пользователей мало, а денег на серверную ОС не хватает — в качестве терминального сервера можно использовать обычный Windows XP (при условии снятия ограничений на количество одновременных подключений, т.е. нужно патчить). Хотя, с таким же успехом вы можете установить нелицензионую версию windows server. Благо, Microsoft позволяет пользоваться, а купить и активировать потом:)

Работа пользователей с 1с через RDP, с одной стороны, уменьшит нагрузку на сеть и ускорит работу 1с, с другой, предотвратит заражение баз данных.

Хранить файлы БД в сети с общим доступом — небезопасно, а если других перспектив нет — позаботьтесь о резервном копировании (см. след раздел.)

*Резервное копирование важных данных.

Если у вас еще не делаются бэкапы (резервное копирование) — вы балбес, уж простите. Ну или передавайте привет вашему системному администратору. Бэкапы спасают не только от вирусов, но и от нерадивых сотрудников, хакеров, «посыпавшихся» жестких дисков в конце концов.

Как и что бэкапить — можно прочитать в отдельной статье про . В антивирусе GDATA, например, есть модуль резервного копирования в двух версиях — total protection и endpoint security для организаций (купить GDATA total protection можно ).

Если вы обнаружили зашифрованные файлы у себя на компьютере:

*Что делать с самим вирусом?

Выключайте ваш компьютер и обращайтесь к специалистам компьютерных служб + в поддержку вашего антивируса. Если вам повезет, то тело вируса еще не удалилось и его можно использовать для расшифровки файлов. Если не повезло (как это часто бывает) — вирус после шифрования данных отправляет закрытый ключ злоумышленникам и удаляется все свои следы. Делается это для того, чтобы не было возможности определить каким образом и по какому алгоритму зашифрованы.

Если у вас осталось письмо с зараженным файлом — не удаляйте. Отправьте в антивирусную лабораторию популярных продуктов. И не открывайте его повторно.

*Самостоятельные действия с зашифрованными файлами

Что можно делать:

Обратиться в поддержку антивируса, получить инструкции и, возможно, дешифровщик для вашего вируса.

Написать заявление в полицию.

Поискать в интернете опыт других пользователей, которые уже столкнулись с этой бедой.

Принимать меры по расшифровке файлов, предварительно скопировав их в отдельную папку.

Если у вас Windows 7 Или 8 — можно восстановить предыдущие версии файлов (правой кнопкой на папке с файлами). Опять же, не забудьте их предварительно скопировать

Чего делать нельзя:

Переустанавливать Windows

Удалять зашифрованные файлы, переименовывать их и менять расширение. Имя файла очень важно при расшифровке в будущем

*Опыт общения с техподдержкой антивируса, чего ждать?

Когда один из наших клиентов поймал крипто-вирус.hardended, которого в антивирусных базах еще не было, были отправлены запросы в dr.web и Kaspersky.

В dr.web техподдержка нам понравилась, обратная связь появилась сразу и даже давали советы. Причем после нескольких дней сказали честно, что сделать ничего не смогут и сбросили подробную инструкцию о том как послать запрос через компетентные органы.

В Касперском, наоборот, сначала ответил бот, потом бот отрапортовал, что мою проблему решит установка антивируса с последними базами (напомню, проблема — это сотни зашифрованных файлов). Через неделю статус моего запроса изменился на «отправлено в антивирусную лабораторию», а когда автор еще через пару дней скромно поинтересовался о судьбе запроса, представители Касперского ответили, что ответ из лаборатории еще не получим, мол, ждем.

Еще через некоторое время пришло сообщение о том, что мой запрос закрыт с предложением оценить качество сервиса (это все при том же ожидании ответа от лаборатории).. «Да пошли вы!» — подумал автор.

NOD32, кстати, начал ловить данный вирус на 3й день после его появления.

Принцип такой — вы сами по себе с вашими зашифрованными файлами. Лаборатории крупных антивирусных брендов помогут вам, только в случае наличия у вас ключа на соответствующий антивирусный продукт и если в крипто-вирусе есть уязвимость. Если же злоумышленники зашифровали файл сразу несколькими алгоритмами и не один раз, вам, скорее всего придется платить.

Выбор антивируса за вами, не стоит им пренебрегать.

*Обращение в полицию

Если вы стали жертвой крипто-вируса, и вам нанесен какой-либо ущерб, даже в виде зашифрованной личной информации — можно обратиться в полицию. Инструкция по заявлению и т.д. есть .

*Если ничего не помогло, может стоить заплатить?

Учитывая относительное бездействие антивирусов по отношению к шифровальщикам, иногда легче заплатить злоумышленникам. За hardended файлы, например, авторы вируса просят в районе 10 тыс. руб.

За прочие угрозы (gpcode и т.д.) ценник может колебаться от 2 тыс руб. Чаще всего такая сумма оказывается ниже тех убытков, которые может нанести отсутствие данных и ниже той суммы, которую у вас могут запросить умельцы за расшифровку файлов вручную.

Резюмируя — лучшая защита от вирусов-шифровальщиков, это резервное копирование важных данных с серверов и рабочих станций пользователей.

Как поступать — решать вам. Удачи.

Пользователи прочитавшие эту запись обычно читают:

Вконтакте

Всем привет уважаемые друзья и читатели. На связи Руслан Мифтахов, автор этого блога, кто не знает.

В этой статье я бы хотел обсудить нашумевшую тему о вирусной атаке по всему миру, которая началась в пятницу 12 мая этого года. Также дать несколько советов как защититься от вируса шифровальщика и спасти свои важные данные на компьютере.

Если вы читаете мой блог, то знаете, что я занимаюсь ремонтом компьютеров. Это больше мое хобби, чем работа. Так вот насколько я помню до 2013 года распространены были вирусы блокираторы.

При загрузке системы выскакивало сообщение со всякой угрожающей надписью, иногда с порно картинками. У меня даже несколько фото таких блокировщиков осталось. Вот одно из них.

Несколько клиентов мне признавались, что платили деньги мошенникам, и в итоге вызывали мастера, чтобы убрать этот вирус. Одна даже три раза по 500 рублей платила в разных терминалах, думая что в другом наверняка код разблокировки напечатается. В итоге вызвала меня и я удалил этот вирус за 5-10 минут.

Где-то в 2013 году я впервые столкнулся в нашем городе с вирусом шифровальщиком, когда начали поступать заявки такого рода наподобие wannacry. Например вот такой вирус под названием эбола, который я сфоткал на память.

Конечно сам вирус не составляло труда удалить с компа, а вот зашифрованные данные расшифровать не получилось, тут мог помочь только подходящий дешифратор.

Принцип действия вируса

Вирус в основном распространяется через электронную почту. Приходит письмо с темой от МВД России или же решение суда или с налоговой, в общем играют на любопытстве пользователя, чтобы тот открыл письмо. А в том письме прикреплен файл, тот самый вирус шифровальщик.

После проникновения на ПК вирус начинает шифровать все фото, видео, документы. Файлы на компе как бы есть, но их не возможно открыть. Вот такая вот беда, а чтобы расшифровать данные мошенники просят за это 15-20 тысяч рублей.

Конечно, если файлы имеют свою ценность и копий нет, пользователь идет на сделку с мошенниками. Таких случаев я не слышал, никто не любит говорить, что он стал жертвой мошенников.

Даже вызывали в одно дом управление, где я наблюдал такую картину.

По словам бухгалтера, пришло письмо на электронную почту с темой от администрации. Открыв которое, в прикрепленных файлах был якобы важный документ, который нужно открыть и прочесть. Ну а дальше сами все понимаете, открыв этот файл, запускается вирус и шифрует все что не попадя на компьютере.

И это все перед проверкой налоговой, то ли это совпадение, то ли была на то причина;)

Почему люди платят мошенникам?

Тут играет тонкая психология, в случае с вирусом блокировщиком выходили непристойные картинки с надписью, что вы лазили по не пристойным сайтам и храните фото с детской порнографией, а это карается законом статья такая-то. Кто-то верил в эту чушь и платил, а кто-то просто не хотел чтобы видели это его родственники и платили, надеявшись, что блокиратор исчезнет после оплаты. Ага наивные.

В случае с вирусом wanna cry мошенники рассчитывают, что зашифрованные файлы будут пользователю очень нужны и важны и он заплатит. Но тут сумма уже не 500-1000 рублей, как в первом случае. И наверное мошенники нацелены на более крупную дичь.

Сами подумайте какой среднестатистический пользователь будет платить 500 долларов за утерянный семейный фото видео архив или за курсовую или дипломную работу.

Тут скорее цель крупные компании и госкорпорации, что и случилось с Мегафоном, Билайн и рядом других. Как думаете заплатят они 500 баксов за восстановление своей базы?

Заплатят, если нет конечно копии. Если есть копия, тут вопросов нет, сносится все и ставится заново резервная копия. Потеряют 2, 3 часа, но зато все будет работать как и работало.

Как предостеречься от шифровальщика

Первое что нужно — это делать и важных данных. Я рекомендую иметь не меньше трёх копий на разных носителях. Копируйте на флешку, на внешний жёсткий диск, держите копию в облаке Майл, Яндекс диск или других сервисах облачного хранения.
Регулярно обновляйте вручную операционную систему. Даже если виндовс не был обновлен, антивирус нод32 детектирует и заблокирует WannaCry и его модификации.
Быть бдительным и не открывать подозрительные письма, для этого конечно нужен опыт, чтобы чувствовать какие письма нельзя открывать.
Обязательно должен стоять антивирус с действующей лицензией с постоянно обновляемой базой данных. Я рекомендую антивирус Eset Nod 32 Smart Security.

Чтобы приобрести со скидкой антивирус переходите по кнопке ниже.

После оплаты удобным для вас способом, на ваш указанный электронный адрес придет лицензионный ключ и ссылка для скачивания антивируса.

Вот эти пункты, если будете соблюдать, то вам никакой вирус даже шифровальщик не страшен. И будете петь как в мультике «три поросенка»: нам не страшен серый волк, страшный волк, старый волк:)

Ну все на этом, я вас предупредил, а предупрежден, значит что? Правильно — вооружен.

Делитесь этой статьей, чтобы ваши друзья, знакомые и родственники не попались в лапы мошенников.

С уважением, Руслан Мифтахов

Прочитали: 8546 Комментариев: 112 Рейтинг: 292

О троянцах-шифровальщиках мы написали уже немало (им посвящены выпуски рубрики « »). Необходимая мера для сохранности данных от энкодеров – установка антивируса. Необходимая, но недостаточная. 100% защиту от шифровальщиков обещают лишь лже-антивирусы (о которых мы рассказали в выпуске « »).

Не будем затрагивать в этом выпуске очевидные меры защиты – установку обновлений, использование сложных паролей и необходимость работы под ограниченными правами. Поговорим сегодня о том, как сохранить данные от угрозы шифрования, задействуя, помимо антивируса, еще и возможности операционной системы Windows.

Делайте «бэкапы»

Существует множество вариантов резервного копирования. Но не рекомендуется просто копировать файлы на другой диск или по сети – энкодеры имеют функционал шифрования сетевых папок. Можно, естественно, хранить данные в сети, используя сервисы Google Drive, Dropbox, Flickr, но нужно помнить, что такой метод не гарантирует, что зашифрованные троянцем файлы не сотрут их старые версии. Поэтому выбранная система резервирования данных должна поддерживать возможность хранения версий файлов – как это реализовано, например, в функции «Защита от потери данных» в составе Dr.Web Security Space.

Для настройки параметров Защиты от потери данных кликните по значку в системном меню, затем в открывшемся меню нажмите на и выберите пункт Инструменты . В открывшемся окне перейдите в раздел Защита от потери данных и включите автоматическое создание копий данных, нажав на переключатель.

Для добавления файлов и папок нажмите на значок и укажите необходимые объекты защиты.

Периодичность создания копий и место их хранения можно указать, выбрав пункт Копировать файлы...

Включите функцию «Защита системы» в Windows

По умолчанию эта функция, как правило, отключена.

При активированной защите системы Windows создает копии важных системных файлов и настроек – например, перед установкой каких-либо драйверов, а так же через определенные промежутки времени.

Внимание! Создать точку восстановления можно также вручную.

Чтобы включить Защиту системы , нажимаем правой кнопкой мыши на иконку Мой компьютер и выбираем Свойства . Далее нажимаем Дополнительные параметры системы и переходим на вкладку Защита системы .

В ту же вкладку можно попасть, нажав Пуск → Панель управления → Система → Защита системы .

Продвинутые пользователи делают это в командной строке или в окне Выполнить (WIN+R), введя rundll32.exe shell32.dll,Control_RunDLL sysdm.cpl,4

Если в списке логических дисков напротив хотя бы одного локального диска написано Включено (On ), это означает, что функционал Защита системы уже активирован и точки восстановления создаются.

Если Защита системы не включена, то выбираем один из локальных дисков и нажимаем кнопку Настроить (Configure ). При этом вы можете выбрать раздел с максимальным объемом свободного места.

В открывшемся окне выбираем пункт Восстановить параметры системы и предыдущие версии файлов и с помощью ползунка Максимальное использование устанавливаем максимальный объем дискового пространства, которое система будет использовать под создание точек восстановления.

Внимание! При создании новых точек восстановления старые будут удаляться.

Дважды нажимаем Ок .

Начиная с Windows 7, для каждой точки восстановления имеется возможность просмотреть список программ и драйверов, которые затронет «откат». Очевидно, что после восстановления системы такие программы могут работать неправильно. Таким образом, можно заранее узнать, каким программам после восстановления может потребоваться переустановка.

Чтобы создать точку восстановления вручную, нужно, чтобы функционал Защита системы был включен.

Зайдите снова на вкладку Защита системы и нажмите на кнопку Создать (Create ). В открывшемся окне введите название для точки восстановления и нажмите Создать . Дождитесь сообщения, что операция успешно завершена, и нажмите Закрыть .

Чтобы восстановить файлы из резервных копий, необходимо выполнить один из следующих вариантов:

в меню Пуск - Поиск ввести Восстановление и щелкнуть Восстановление системы ;
в меню Пуск - Поиск или в окне Выполнить (WIN+R) ввести rstrui и нажать клавишу Ввод ;
в элементе Панели управления Архивация и восстановление щелкнуть Восстановить системные параметры или компьютер , а затем нажать кнопку Запуск восстановления системы ;
открыть Панель управления - Система - Защита системы и нажать на кнопку Восстановление системы ;

Кроме того, восстановление системы можно запустить из среды Windows RE

В любом случае вы попадаете в окно Восстановление системы и далее должны выбрать контрольную точку. При этом вы можете выбрать любую точку восстановления, а не только последнюю.

Если ваша ОС поддерживает возможность создания резервного образа системы, то его тоже можно выбрать в качестве точки восстановления. Чтобы увидеть эту точку, отметьте флажок Показать другие точки восстановления .

Также в этом окне можно узнать, каких программ коснутся изменения при восстановлении файлов из «бэкапа». Для этого нажмите Поиск затрагиваемых программ .

Для запуска восстановления нажимаем Готово .

Внимание! Вы можете отменить последнее восстановление системы, если вы случайно выбрали не ту точку или восстановление не принесло желаемых результатов. Это возможно благодаря тому, что перед восстановлением Windows 7 также создает контрольную точку. Чтобы отменить восстановление, выберите действие Отменить восстановление системы .

Возможности, предоставляемые операционной системой для защиты данных, наличием точек восстановления не исчерпываются. Скажем, зайдя в свойства столь любимого злоумышленниками файла hosts, можно увидеть следующее:

Возможность восстановления предыдущих версий файлов впервые появилась в Windows Vista. Однако, поскольку возможности, имевшиеся в предыдущих версиях ОС, не были удалены, в итоге версии файлов сохраняются не только с помощью службы теневого копирования тома, но и при использовании архивации Windows. В свойствах файла на вкладке Предыдущие версии указывается расположение: Точка восстановления или Архивация .

О возможности сохранения версий файлов свойствами ОС Windows расскажем в следующих выпусках нашего проекта.

Под шифровальщиками (криптолокерами) подразумевается семейство вредоносных программ, которые с помощью различных алгоритмов шифрования блокируют доступ пользователей к файлам на компьютере (известны, например, сbf, chipdale, just, foxmail inbox com, watnik91 aol com и др.).

Обычно вирус шифрует популярные типы пользовательских файлов: документы, электронные таблицы, базы данных 1С, любые массивы данных, фотографии и т. д. Расшифровка файлов предлагается за деньги — создатели требуют перечислить определенную сумму, обычно в биткоинах. И в случае, если в организации не принимались должные меры по обеспечению сохранности важной информации, перечисление требуемой суммы злоумышленникам может стать единственным способом восстановить работоспособность компании.

В большинстве случаев вирус распространяется через электронную почту, маскируясь под вполне обычные письма: уведомление из налоговой, акты и договоры, информацию о покупках и т. д. Скачивая и открывая такой файл, пользователь, сам того не понимая, запускает вредоносный код. Вирус последовательно шифрует нужные файлы, а также удаляет исходные экземпляры методами гарантированного уничтожения (чтобы пользователь не смог восстановить недавно удаленные файлы с помощью специальных средств).

Современные шифровальщики

Шифровальщики и прочие вирусы, которые блокируют доступ пользователей к данным, — не новая проблема в информационной безопасности. Первые версии появились еще в 90-х годах, однако они в основном использовали либо «слабое» (нестойкие алгоритмы, малый размер ключа), либо симметричное шифрование (одним ключом шифровались файлы у большого числа жертв, также была возможность восстановить ключ, изучив код вируса), либо вообще придумывали собственные алгоритмы. Современные экземпляры лишены таких недостатков, злоумышленники используют гибридное шифрование: с помощью симметричных алгоритмов содержимое файлов шифруется с очень высокой скоростью, а ключ шифрования шифруется асимметричным алгоритмом. Это значит, что для расшифровки файлов нужен ключ, которым владеет только злоумышленник, в исходном коде программы его не найти. Для примера, CryptoLocker использует алгоритм RSA с длиной ключа в 2048 бит в сочетании с симметричным алгоритмом AES с длиной ключа 256 бит. Данные алгоритмы в настоящее время признаны криптостойкими.

Компьютер заражен вирусом. Что делать?

Стоит иметь в виду, что в вирусах-шифровальщиках хоть и используются современные алгоритмы шифрования, но они не способны зашифровать мгновенно все файлы на компьютере. Шифрование идет последовательно, скорость зависит от размера шифруемых файлов. Поэтому если вы обнаружили в процессе работы, что привычные файлы и программы перестали корректно открываться, то следует немедленно прекратить работу на компьютере и выключить его. Тем самым вы можете защитить часть файлов от шифрования.

После того, как вы столкнулись с проблемой, первым делом нужно избавиться от самого вируса. Останавливаться подробно на этом не будем, достаточно попытаться вылечить компьютер с помощью антивирусных программ или удалить вирус вручную. Стоит только отметить, что зачастую вирус после завершения алгоритма шифрования самоуничтожается, тем самым затрудняя возможность расшифровки файлов без обращения за помощью к злоумышленникам. В таком случае антивирусная программа может ничего и не обнаружить.

Главный вопрос — как восстановить зашифрованные данные? К сожалению, восстановление файлов после вируса-шифровальщика практически невозможно. По крайней мере, гарантировать полное восстановление данных в случае успешного заражения никто не будет. Многие производители антивирусных средств предлагают свою помощь по дешифровке файлов. Для этого нужно отправить зашифрованный файл и дополнительную информацию (файл с контактами злоумышленников, открытый ключ) через специальные формы, размещенные на сайтах производителей. Есть небольшой шанс, что с конкретным вирусом нашли способ бороться и ваши файлы успешно расшифруют.

Попробуйте воспользоваться утилитами восстановления удаленных файлов. Возможно, вирус не использовал методы гарантированного уничтожения и некоторые файлы удастся восстановить (особенно это может сработать с файлами большого размера, например с файлами в несколько десятков гигабайт). Также есть шанс восстановить файлы из теневых копий. При использовании функций восстановления системы Windows создает снимки («снапшоты»), в которых могут содержаться данные файлов на время создания точки восстановления.

Если были зашифрованы ваши данные в облачных сервисах, обратитесь в техподдержку или изучите возможности сервиса, которым пользуетесь: в большинстве случаев сервисы предоставляют функцию «отката» на предыдущие версии файлов, таким образом, их можно восстановить.

Чего мы настоятельно не рекомендуем делать — идти на поводу у вымогателей и платить за расшифровку. Были случаи, когда люди отдавали деньги, а ключи не получали. Никто не гарантирует, что злоумышленники, получив деньги, действительно вышлют ключ шифрования и вы сможете восстановить файлы.

Как защититься от вируса-шифровальщика. Превентивные меры

Предотвратить опасные последствия легче, чем их исправить:

Используйте надежные антивирусные средства и регулярно обновляйте антивирусные базы. Звучит банально, но это значительно снизит вероятность успешного внедрения вируса на ваш компьютер.
Сохраняйте резервные копии ваших данных.

Лучше всего это делать с помощью специализированных средств резервного копирования. Большинство криптолокеров умеют шифровать в том числе и резервные копии, поэтому имеет смысл хранить резервные копии на других компьютерах (например, на серверах) или на отчуждаемых носителях.

Ограничьте права на изменения файлов в папках с резервными копиями, разрешив только дозапись. Помимо последствий шифровальщика, системы резервного копирования нейтрализуют множество других угроз, связанных с потерей данных. Распространение вируса в очередной раз демонстрирует актуальность и важность использования таких систем. Восстановить данные гораздо легче, чем расшифровать!

Ограничьте программную среду в домене.

Еще одним эффективным способом борьбы является ограничение на запуск некоторых потенциально опасных типов файлов, к примеру, с расширениями.js,.cmd,.bat,.vba,.ps1 и т. д. Это можно сделать при помощи средства AppLocker (в Enterprise-редакциях) или политик SRP централизованно в домене. В сети есть довольно подробные руководства, как это сделать. В большинстве случаев пользователю нет необходимости использовать файлы сценариев, указанные выше, и у шифровальщика будет меньше шансов на успешное внедрение.

Будьте бдительны.

Внимательность — один из самых эффективных методов предотвращения угрозы. Относитесь подозрительно к каждому письму, полученному от неизвестных лиц. Не торопитесь открывать все вложения, при возникновении сомнений лучше обратитесь с вопросом к администратору.

Александр Власов , старший инженер отдела внедрения систем защиты информации компании «СКБ Контур»