Кратак одговор
Ако су фајлови шифровани, одмах искључите рачунар са мреже и интернета, не плаћајте откуп и не бришите ништа. Сачувајте доказе (поруку о откупу, шифроване фајлове), проверите backup и покрените скенирање са другог, чистог рачунара. Ако је захваћено више уређаја или сервера, прекините рад и позовите IT подршку.
Како се проблем препознаје
- Фајлови имају необичне екстензије (нпр. .лоцкед, .енц, .crypt) и не могу да се отворе
- На десктопу или у фолдерима појављује се текстуални фајл са упутством за плаћање откупа
- Позадина екрана је промењена у поруку упозорења
- Рачунар је успорен, а антивирус пријављује претњу или је онемогућен
- Мрежни дискови и дељени фолдери су такође захваћени
Најчешћи узроци
Пхисхинг имејл са злонамерним прилогом
Најчешћи пут заразе је отварање прилога (ZIP, документ са макроима) или клика на линк у лажној поруци. Ransomware се покреће када корисник дозволи извршавање.
Рањивост у софтверу или систему
Неажуриран оперативни систем, прегледач или апликација могу бити искоришћени за аутоматско преузимање и покретање ransomwarea. Редовно ажурирање смањује овај ризик.
Слабе лозинке и RDP приступ
Нападачи често погађају лозинке за удаљени приступ (RDP) или мрежне дељене фолдере. Једном када уђу, шире шифровање на остале уређаје.
Незаштићени преносиви медији
USB меморије и спољни дискови могу пренети ransomware са зараженог рачунара. Прикључивање таквог медија на чист рачунар поново покреће заразу.
Решење корак по корак
- 1
Искључите рачунар са мреже и интернета
Одмах извуците мрежни кабл и искључите Wi-Fi (у Windows 11:
Podešavanja > Mreža i internet > Wi-Fiискључите прекидач; у Windows 10:Podešavanja > Mreža i internet > Wi-Fi). Time спречавате ширење на дељене фолдере и друге рачунаре. Не гасите рачунар ако нисте сигурни да ли је шифровање завршено, јер докази могу бити изгубљени. - 2
Не плаћајте откуп и не бришите фајлове
Плаћање не гарантује повраћај података и подстиче нападаче. Сачувајте поруку о откупу (текстуални фајл, позадину) и не покушавајте да дешифрујете фајлове сами, осим ако имате проверен алат. Обришите само ако вам IT стручњак каже да је безбедно.
- 3
Сачувајте доказе и забележите време
Направите фотографију екрана са поруком о откупу и запишите када сте приметили проблем. Копирајте неколико шифрованих фајлова и текстуални фајл са упутством на посебан USB који ћете одмах искључити и касније не прикључивати на друге рачунаре без скенирања. Ти подаци помажу у идентификацији типа ransomwarea и евентуалном опоравку.
- 4
Проверите да ли имате backup
Ако имате спољни диск или мрежни backup, немојте га прикључивати на заражени рачунар. Проверите backup са другог, чистог рачунара. Ако је backup био повезан у тренутку заразе, и он може бити шифрован, па га третирајте као потенцијално заражен.
- 5
Покрените скенирање са другог рачунара
Ако знате како, користите проверени антивирус са бутабилног USB-а. Не прикључујте извађени хард диск директно на чист рачунар без заштите од уписа. Покрените потпуно скенирање, али не отварајте шифроване фајлове. Ако нисте сигурни како, прескочите овај корак и обратите се стручњаку.
- 6
Промените лозинке са чистог уређаја
Са другог, чистог рачунара или телефона промените лозинке за имејл, банкарство и друге важне налоге. Укључите двофакторску аутентификацију где је могуће. Не користите заражени рачунар за пријаву на налоге.
- 7
Обавестите надлежне и сачувајте мир
Ако је реч о пословном окружењу, обавестите IT службу и руководство. У Србији пријаву можете поднети Министарству унутрашњих послова и Националном CERT-у (ЦЕРТ.РС). Не делите јавно детаље о нападу док се ситуација не стабилизује.
Ако ништа не помогне: опоравак и стручна помоћ
Ако немате backup и фајлови су трајно шифровани, не покушавајте да их „поправите“ импровизованим алатима. Постоје јавне базе (нпр. ID Ransomware) где можете послати узорак шифрованог фајла и поруку о откупу да бисте идентификовали тип ransomwarea. За неке старије врсте постоје бесплатни алати за дешифровање које објављују произвођачи антивируса, али за нове верзије ретко постоје. Ако је захваћено више рачунара или server, одвојите целу мрежу од интернета и позовите IT подршку. Након опоравка обавезно урадите чисту инсталацију система (пре тога сачувајте само проверене податке, јер инсталација брише диск), промените све лозинке и успоставите редован backup по правилу 3-2-1 (три копије, два медија, једна ван локације).
Како да спречите да се понови
- Редовно правите backup и држите га одвојено од рачунара (искључен спољни диск или цлоуд са верзионисањем)
- Ажурирајте Windows на подржану верзију, macOS, прегледач и апликације чим су доступна ажурирања
- Не отварајте прилоге и линкове из неочекиваних порука, чак и ако делују познато
- Укључите двофакторску аутентификацију и користите јаке, јединствене лозинке
Када је боље позвати стручњака
Ако је заражено више уређаја, server или целокупна пословна мрежа, или ако немате проверен backup, позовите IT подршку пре него што покушате сами да решите проблем. Стручњак може да изолује заразу, процени штету и безбедно врати податке.
Одржавање IT инфраструктуре · Сервери, мреже, backup, безбедност и хелпдескЧеста питања
Да ли да платим откуп да бих добио фајлове назад?
Не препоручује се. Плаћање не гарантује да ћете добити исправне фајлове, а може вас означити као мету за будуће нападе. Уместо тога, сачувајте доказе и проверите backup.
Могу ли сам да дешифрујем фајлове?
У ретким случајевима, за познате старије врсте ransomwarea, постоје бесплатни алати. За већину нових зараза нема јавног решења. Прво идентификујте тип ransomwarea (нпр. преко ID Ransomware) и не плаћајте унапред.
Шта ако је ransomware захватио мрежни диск?
Одмах искључите мрежни диск или прекините дељење са зараженог рачунара. Ако је могуће, одвојите и server од мреже, али га не гасите без савета стручњака. Обратите се IT стручњаку јер је ризик од ширења на друге кориснике велики.