Краткий ответ
Если файлы зашифрованы, немедленно отключите компьютер от сети и интернета, не платите выкуп и ничего не удаляйте. Сохраните доказательства (сообщение о выкупе, зашифрованные файлы), проверьте резервные копии и запустите сканирование с другого чистого компьютера. Если затронуто несколько устройств или серверов, остановите работу и обратитесь в ИТ-поддержку.
Как проявляется проблема
- Файлы имеют необычные расширения (например, .locked, .enc, .crypt) и не открываются
- На рабочем столе или в папках появляется текстовый файл с инструкцией по оплате выкупа
- Обои экрана изменены на предупреждающее сообщение
- Компьютер работает медленно, а антивирус сообщает об угрозе или отключен
- Сетевые диски и общие папки также затронуты
Частые причины
Фишинговое письмо с вредоносным вложением
Самый частый путь заражения, открытие вложения (ZIP, документ с макросами) или переход по ссылке в поддельном сообщении. Программа-вымогатель запускается, когда пользователь разрешает выполнение.
Уязвимость в программном обеспечении или системе
Устаревшая операционная система, браузер или приложение могут быть использованы для автоматической загрузки и запуска программы-вымогателя. Регулярное обновление снижает этот риск.
Слабые пароли и доступ по RDP
Злоумышленники часто подбирают пароли для удаленного доступа (RDP) или сетевых общих папок. Проникнув, они распространяют шифрование на другие устройства.
Незащищенные съемные носители
USB-накопители и внешние диски могут переносить программу-вымогатель с зараженного компьютера. Подключение такого носителя к чистому компьютеру снова запускает заражение.
Пошаговое решение
- 1
Отключите компьютер от сети и интернета
Немедленно выньте сетевой кабель и отключите Wi-Fi (в Windows 11:
Параметры > Сеть и Интернет > Wi-Fiвыключите переключатель; в Windows 10:Параметры > Сеть и Интернет > Wi-Fi). Это предотвращает распространение на общие папки и другие компьютеры. Не выключайте компьютер, если не уверены, что шифрование завершено, так как доказательства могут быть потеряны. - 2
Не платите выкуп и не удаляйте файлы
Оплата не гарантирует восстановление данных и поощряет злоумышленников. Сохраните сообщение о выкупе (текстовый файл, обои) и не пытайтесь расшифровать файлы самостоятельно, если у вас нет проверенного инструмента. Удаляйте только если ИТ-специалист скажет, что это безопасно.
- 3
Сохраните доказательства и запишите время
Сделайте фотографию экрана с сообщением о выкупе и запишите, когда вы заметили проблему. Скопируйте несколько зашифрованных файлов и текстовый файл с инструкцией на отдельный USB-накопитель, который сразу отключите и позже не подключайте к другим компьютерам без сканирования. Эти данные помогают идентифицировать тип программы-вымогателя и возможное восстановление.
- 4
Проверьте наличие резервной копии
Если у вас есть внешний диск или сетевая резервная копия, не подключайте его к зараженному компьютеру. Проверьте резервную копию с другого чистого компьютера. Если резервная копия была подключена в момент заражения, она тоже может быть зашифрована, поэтому считайте ее потенциально зараженной.
- 5
Запустите сканирование с другого компьютера
Если вы знаете как, используйте проверенный антивирус с загрузочного USB-накопителя. Не подключайте извлеченный жесткий диск напрямую к чистому компьютеру без защиты от записи. Запустите полное сканирование, но не открывайте зашифрованные файлы. Если вы не уверены как, пропустите этот шаг и обратитесь к специалисту.
- 6
Смените пароли с чистого устройства
С другого чистого компьютера или телефона смените пароли для электронной почты, банковских и других важных учетных записей. Включите двухфакторную аутентификацию, где это возможно. Не используйте зараженный компьютер для входа в учетные записи.
- 7
Сообщите в соответствующие органы и сохраняйте спокойствие
Если речь идет о деловой среде, сообщите в ИТ-службу и руководству. В России вы можете подать заявление в Министерство внутренних дел и Национальный координационный центр по компьютерным инцидентам (НКЦКИ). Не делитесь публично деталями атаки, пока ситуация не стабилизируется.
Если ничего не помогает: восстановление и профессиональная помощь
Если у вас нет резервной копии и файлы окончательно зашифрованы, не пытайтесь «починить» их самодельными инструментами. Существуют публичные базы (например, ID Ransomware), куда можно отправить образец зашифрованного файла и сообщение о выкупе, чтобы идентифицировать тип программы-вымогателя. Для некоторых старых видов существуют бесплатные инструменты для расшифровки, выпускаемые производителями антивирусов, но для новых версий они редки. Если затронуто несколько компьютеров или серверов, отключите всю сеть от интернета и обратитесь в ИТ-поддержку. После восстановления обязательно выполните чистую установку системы (перед этим сохраните только проверенные данные, так как установка стирает диск), смените все пароли и настройте регулярное резервное копирование по правилу 3-2-1 (три копии, два носителя, одна вне площадки).
Как избежать повторения
- Регулярно делайте резервные копии и храните их отдельно от компьютера (отключенный внешний диск или облако с версионированием)
- Обновляйте Windows до поддерживаемой версии, macOS, браузер и приложения, как только доступны обновления
- Не открывайте вложения и ссылки из неожиданных сообщений, даже если они выглядят знакомыми
- Включите двухфакторную аутентификацию и используйте надежные уникальные пароли
Когда лучше обратиться к специалисту
Если заражено несколько устройств, сервер или вся деловая сеть, или если у вас нет проверенной резервной копии, обратитесь в ИТ-поддержку, прежде чем пытаться решить проблему самостоятельно. Специалист может изолировать заражение, оценить ущерб и безопасно восстановить данные.
Обслуживание ИТ-инфраструктуры · Серверы, сети, резервное копирование, безопасность и helpdeskЧастые вопросы
Стоит ли платить выкуп, чтобы вернуть файлы?
Не рекомендуется. Оплата не гарантирует, что вы получите исправные файлы, и может сделать вас мишенью для будущих атак. Вместо этого сохраните доказательства и проверьте резервную копию.
Могу ли я сам расшифровать файлы?
В редких случаях, для известных старых видов программ-вымогателей, существуют бесплатные инструменты. Для большинства новых заражений публичного решения нет. Сначала идентифицируйте тип программы-вымогателя (например, через ID Ransomware) и не платите заранее.
Что делать, если программа-вымогатель затронула сетевой диск?
Немедленно отключите сетевой диск или прекратите общий доступ с зараженного компьютера. Если возможно, отключите и сервер от сети, но не выключайте его без совета специалиста. Обратитесь к ИТ-специалисту, так как риск распространения на других пользователей велик.