Атака шифровальщиков: от первого клика до восстановления — что нужно знать

Шифровальщики: как они наступают — и как не дать им шанса на победу

Ваше предприятие работает в штатном режиме — и вдруг все системы «ложатся». На рабочих столах появляются страшные надписи, файлы с новыми расширениями вроде .lockbit или .crypt, а в корне дисков лежит текстовый файл с требованием выкупа. Это не сценарий триллера — это реальная кибератака программ-вымогателей (ransomware).

К счастью, такие атаки почти никогда не случаются спонтанно. У них — чёткая тактика, предсказуемая логика и три ключевых этапа, которые позволяют не просто реагировать, но и предотвращать катастрофу. Разбираемся, как «работают» шифровальщики — и что можно сделать до того, как данные окажутся в заложниках.

Этап 1. Проникновение: «Открытая дверь» в вашу инфраструктуру

Атака начинается задолго до первого зашифрованного файла. Злоумышленники ведут разведку, выбирают цели, настраивают командные серверы и подбирают вектор входа. Это может быть:

• Фишинговое письмо с вредоносным вложением или ссылкой;
• Уязвимость в веб-сервисе, доступном из интернета (например, в 1С-Битрикс, Zimbra или Microsoft Exchange);
• Brute-force-атака на RDP/SSH — особенно если пароли простые или многократно утечкали;
• Компрометация подрядчика — всё чаще хакеры атакуют не напрямую, а через «слабое звено» в цепочке поставщиков.

Факт из практики: в 28% атак, расследованных Jet CSIRT, злоумышленники проникали через сервисы удалённого доступа — зачастую потому, что в инфраструктуре оставались «теневые» серверы, давно забытые, но всё ещё «на плаву».

Этап 2. Закрепление: «Тихий захват» вашей сети

После первоначального проникновения — начинается самое опасное: незаметная разведка внутри системы. Злоумышленники:

• Изучают топологию сети;
• Повышают привилегии — например, компрометируют учётные записи администраторов;
• Ищут ключевые системы (1С, базы данных, файловые серверы);
• Готовят почву для массового развёртывания шифровальщика.

Этот этап может длиться от 3 до 7 дней — и именно здесь у вас есть окно возможностей. Если в инфраструктуре включён мониторинг и есть SOC/EDR — есть шанс обнаружить аномалии до старта шифрования.

В одном из наших расследований злоумышленники, проникнув через подрядчика, использовали SSH-туннели, маскируясь под легитимный софт: CryptoPro и сканер безопасности. Такой камуфляж позволял им оставаться незамеченными неделями.

Этап 3. Удар: шифрование и шантаж

Когда «карта покорёжена», а доступ — максимален, наступает финал: запускается ransomware.

Современные шифровальщики (например, LockBit, HardBit, Babyk) не просто шифруют — они:

• Шифруют только заголовки файлов, чтобы ускорить процесс (и избежать подозрений);
• Параллельно проводят экспорт данных — для двойного вымогательства («заплати — или мы опубликуем твои финансовые отчёты»);
• Используют GPO, PowerShell или PsExec для массового распространения.

Интересный кейс: Babyk оставляет конец больших файлов «как есть». Это дало нам шанс восстановить ВМ-образы частично — и спасти критичные данные.

Как именно проникают? ТОП-4 вектора по данным Jet CSIRT

Как защититься? 10 ключевых мер — не «в теории», а на практике

1. Сократите поверхность атаки

• Уберите из интернета всё, что не требует публичного доступа. Внутренние сервисы — за VPN.
• Отключите RDP/SSH «наружу» или поставьте перед ними шлюз с MFA.

2. Внедрите MFA — везде

Да, даже для «внутренних» сервисов. Особенно — для учёток администраторов и подрядчиков.

3. Регулярно сканируйте уязвимости

Автоматизация + пентесты. Закройте «дыры», пока ими не воспользовались.

4. Харденинг почты

• Антиспам + песочницы для проверки вложений;
• Блокировка .lnk, .js, .scr на уровне почтового шлюза;
• Обучение сотрудников — но без иллюзий: фишинг через взломанные домены всегда пройдёт фильтры.

5. Контролируйте доступ подрядчиков

• Выделенный сегмент (DMZ);
• Временные учётные записи с минимальными правами;
• Доступ только через Jump-хосты или VDI.

6. Мониторинг и SOC

Без него — вы слепы. Ищите аномалии: неожиданные PowerShell-сессии, RDP-подключения ночью, команды whoami, net user, ping во внутренней сети.

7. Защитите резервные копии

• Принцип 3-2-1: 3 копии, 2 носителя, 1 — оффлайн/immutable;
• Резервы — в отдельном сегменте, без прямого доступа из основной сети.

8. Выделенный контур администрирования (PAM)

Админы не должны входить в домен с рабочих станций. Только через привилегированные Jump-хосты.

9. Регулярный сброс паролей и учётных данных

Особенно — после подозрений на компрометацию: krbtgt, доменные админы, локальные учётки.

10. Не надейтесь на расшифровку

💬 «Можно ли расшифровать?»
В 99% случаев — нет. Иногда помогают ошибки злоумышленников (как с HardBit v3 или Babyk), но рассчитывать на это — как надеяться на «пощаду» у грабителя.

А оплата выкупа?
Риски огромны:
✅ Вам могут не дать ключ;
✅ Ключ может не работать;
✅ Инфраструктура останется скомпрометированной;
✅ Вы финансируете дальнейшие атаки.

Что делать прямо сейчас, если атака началась?

1. Не выключайте заражённые хосты — сохраните RAM для анализа.
2. Изолируйте сеть от интернета и внутренних сегментов.
3. Сбросьте все пароли, особенно привилегированных учёток (дважды — для krbtgt).
4. Проверьте целостность бэкапов — и отключите их от сети.
5. Соберите логи, триажи, дампы памяти — и передайте в руки экспертов.

Главный вывод

Шифровальщики — не «чёрная магия». Это процесс. И как любой процесс, его можно прервать — на 1-м, 2-м или хотя бы на 3-м этапе.

Самая надёжная защита — не одна технология, а система:

• проактивное управление уязвимостями
• минимальные привилегии
• сквозной мониторинг
• культура кибербезопасности — от гендира до подрядчика

Если вы не защищены сегодня — вы в списке «к следующей атаке».
Если вы защищаетесь — вы уже на шаг впереди.