Программы-вымогатели: почему резервные копии надёжнее выкупа

Программа-вымогатель — это вредоносное ПО, которое берёт в заложники что-то ценное для вас и требует денег за возврат. Классический вымогатель шифрует файлы, превращая семейные фотографии, документы клиентов или весь файловый сервер компании в нечитаемые данные, а затем показывает записку с инструкцией, как заплатить — обычно в криптовалюте, — чтобы получить ключ для расшифровки. MITRE ATT&CK относит такое поведение к технике «шифрование данных ради воздействия»: шифрование здесь ничего не защищает, оно лишь лишает вас доступа.

Как разворачивается атака

Вымогатели редко появляются из ниоткуда. Агентство кибербезопасности и защиты инфраструктуры США (CISA) описывает типичные точки входа в своём руководстве #StopRansomware: фишинговые письма, украденные или слабые пароли для удалённого доступа и незакрытые уязвимости в системах, доступных из интернета. На личном компьютере первым шагом обычно становится троян или вредоносная загрузка. Проникнув внутрь, злоумышленники часто некоторое время осматриваются, отключают доступные им резервные копии и копируют ценные данные, прежде чем запустить шифрование, которое жертва наконец замечает.

Двойное вымогательство: сначала украсть, потом запереть

Резервные копии сделали вымогательство менее прибыльным, и преступные группы приспособились. Многие теперь сначала копируют данные, а потом шифруют их и угрожают опубликовать, если жертва откажется платить. CISA называет это двойным вымогательством. Это меняет расчёт и для компаний, и для частных лиц: хорошая резервная копия вернёт вам файлы, но не отменит утечку. Поэтому исходящая часть атаки важна не меньше шифрования, а большие или необычные выгрузки данных с компьютера — значимый тревожный сигнал.

Почему платить — это лотерея

CISA и ФБР не советуют платить выкуп. Оплата не гарантирует рабочего ключа, инструменты, которые дают преступники, бывают медленными или сломанными, а копия украденных данных всё равно может быть продана или опубликована позже. Выкуп к тому же финансирует следующую атаку и отмечает жертву как готовую платить. Возможны и юридические риски — в зависимости от того, кто получает деньги. Прежде чем что-либо решать, загляните в проект No More Ransom: это совместная инициатива правоохранительных органов и компаний по безопасности, которая публикует бесплатные дешифраторы для семейств вымогателей, чьё шифрование удалось взломать.

Правило резервного копирования 3-2-1

Ничто так не ослабляет вымогателя, как резервная копия, до которой он не может добраться. Давнее правило 3-2-1, рекомендуемое в руководстве CISA по резервному копированию, легко запомнить:

• 3 копии важных данных: оригинал и две резервные копии.
• 2 разных типа носителей, например внешний диск и облачный сервис.
• 1 копия хранится офлайн или в другом месте, отключённая от компьютера, чтобы вымогатель на Mac не зашифровал и её.

На Mac первую часть хорошо закрывает Time Machine на внешний диск; если отключать диск после копирования, он остаётся вне досягаемости. Вторая копия в облачном сервисе, который хранит прежние версии файлов, поможет, если синхронизированную копию перезапишут зашифрованными файлами. И резервная копия становится настоящей, только когда вы проверили восстановление из неё: раз в несколько месяцев выбирайте файл и возвращайте его.

Что делают и чего не делают FileVault и облачная синхронизация

Две функции Mac часто ошибочно принимают за защиту от вымогателей. FileVault шифрует диск, чтобы вор, укравший Mac, не смог его прочитать; против вымогателя, работающего внутри вашей учётной записи, он бессилен — тот видит ваши файлы расшифрованными, как и вы. Сервисы облачной синхронизации вроде iCloud Drive держат файлы одинаковыми везде, а значит, зашифрованный файл может синхронизироваться поверх хорошей копии на других устройствах. Синхронизация — не резервное копирование. Помогает история версий, когда сервис какое-то время хранит прежние версии каждого файла, и настоящая резервная копия, до которой синхронизация не дотягивается.

Как снизить вероятность атаки

• Обновляйте macOS и приложения: многие вторжения вымогателей начинаются с известной, уже исправленной уязвимости.
• Используйте уникальные пароли и двухфакторную аутентификацию, особенно для удалённого доступа и почты.
• С подозрением относитесь к вложениям и ссылкам, даже от знакомых.
• Не устанавливайте взломанные программы и непроверенные инструменты.
• Отключите ненужные службы общего доступа, например «Общий доступ к файлам» и «Удалённый вход».

Где помогает межсетевой экран

Межсетевой экран не расшифрует файлы, и FireAI не удаляет вымогателей. Зато он может ограничить шаги вокруг шифрования. Вымогателю и доставляющим его инструментам обычно нужно загружать компоненты и связываться с операторами, а для двойного вымогательства — выгружать ваши данные. FireAI спрашивает, прежде чем неизвестное приложение подключится к сети, показывает на карте мира, куда каждое приложение отправляет данные, а режимы «Паранойя» и «Под атакой» ограничивают, что вообще может подключаться. Если вы подозреваете идущую атаку, кнопка экстренного отключения (kill switch) одним щелчком отрезает Mac от интернета, пока вы отключаете резервные диски и зовёте помощь.

Если это случилось

• Отключите компьютер от сети и отсоедините все диски с резервными копиями.
• Не удаляйте записку с требованием выкупа; сфотографируйте её. Она помогает определить семейство вымогателя.
• Проверьте, нет ли бесплатного дешифратора на No More Ransom.
• Сообщите о случившемся: в США — в Центр жалоб на интернет-преступления ФБР (IC3), в других странах — в национальный орган по борьбе с киберпреступностью.
• Восстановите данные из чистой офлайн-копии на заново установленную систему.
• Смените пароли с чистого устройства, особенно если данные могли быть украдены.