Шифровальщик в офисе: что делать в первый час и как не потерять данные

Вирусы-шифровальщики — самая частая причина полной потери данных в малом бизнесе. Платить выкуп бессмысленно, а спасает только одно: копия, до которой вирус не дотянулся.

Как это выглядит

Утром бухгалтер не может открыть базу 1С, документы в общей папке стали файлами с непонятным расширением, а на рабочем столе — текстовый файл с требованием оплаты в криптовалюте. Обычно заражение начинается с письма с вложением или с подобранного пароля к RDP на сервере, который «торчит» в интернет.

Первый час: что делать

1. Отключите заражённые компьютеры от сети — выдерните кабель или выключите Wi-Fi. Шифровальщик распространяется по общим папкам, и каждая минута — это новые зашифрованные файлы.
2. Не выключайте сервер, если он ещё работает — но отключите его от сети. Иногда часть данных ещё цела.
3. Не платите. Ключ присылают далеко не всегда, а факт оплаты делает вас постоянной мишенью.
4. Найдите последнюю копию, до которой вирус не добрался. Внешний диск, подключённый к заражённому компьютеру, скорее всего, зашифрован тоже. Копия в облаке — нет.
5. Позвоните тому, кто восстанавливает. Если у вас подписка на резервное копирование или администрирование — напишите нам, поможем с восстановлением.

Восстановление

Порядок обычно такой: чистая переустановка систем на заражённых машинах, смена всех паролей, восстановление сервера из образа и файлов из копий на момент до заражения. При копировании базы 1С каждые 6 часов теряется максимум полдня работы. Без копий — недели ручного восстановления или потеря всего.

Что нужно было сделать заранее

• Копии вне офиса и вне вашей сети. Вирус не сможет зашифровать то, до чего у него нет доступа. Копии в дата-центре хранятся с историей версий: даже если заражение обнаружили через три дня, можно взять состояние на неделю назад.
• Закрытый RDP. Терминальный доступ только через VPN или шлюз с двухфакторной аутентификацией, ограничение попыток входа. Это закрывает большинство атак на серверы 1С.
• Обновления. Большинство шифровальщиков используют давно закрытые уязвимости — на компьютерах, которые никто не обновлял.
• Права пользователей. Сотрудник не должен работать под администратором; тогда вирус не сможет отключить защиту и добраться до системных файлов.
• Тестовое восстановление. Раз в месяц проверьте, что из копии действительно восстанавливается база. Копия, которую никто не проверял, — это лотерея.

Что предлагаем мы

Резервное копирование в дата-центр в Ташкенте с шифрованием и историей версий, плюс — по желанию — администрирование сервера с защитой RDP и контролем обновлений. Настройка бесплатна, с восстановлением помогаем.