Киберпреступники используют шифраторы и программы-вымогатели, чтобы ограничивать доступ пользователей к личным файлам на компьютерах или мобильных устройствах и требовать выкуп за его восстановление. Подобные программы являются сегодня распространенным инструментом вымогательства средств как у компаний, так и у обычных пользователей. Злоумышленники заражают устройства потенциальных жертв, используя фишинг и уязвимости программного обеспечения.

Как работают шифраторы

   Вредоносные программы шифруют файлы наиболее распространенных типов на устройстве жертвы, а затем выводят на экран требование выкупа за ключ расшифровки. Иногда такая программа имеет встроенный таймер с заданным периодом времени для перевода выкупа. Когда жертва отправит платеж, а киберпреступник зафиксирует оплату, программа расшифровывает файлы. Если оплата не будет произведена, то это может привести к потере данных или даже поломке оборудования. Программы-вымогатели могут заблокировать устройство и «взять в заложники» файлы, имеющие для вас особую ценность, личные или связанные с работой. После установки на компьютер жертвы программа-вымогатель выводит на экран сообщение с требованием выкупа.

Как распространяются шифраторы

   Шифраторы активно распространяются в масштабных киберкампаниях в различных регионах мира. Стандартная схема заражения – рассылка писем, содержащих вредоносный файл или ссылку. Потенциальная жертва может получить письмо на родном языке, подписанное известными местными компаниями. Например, злоумышленники нередко адресуют российским пользователям письма с вредоносным содержимым, подписанные Почтой России, Сбербанком или DHL. Такая тактика известна как фишинг.

   Злоумышленник легко определяет нахождение своих потенциальных жертв по домену верхнего уровня в электронном адресе пользователя или по домену интернет-провайдера. Когда пользователь открывает вложение или переходит по фишинговой ссылке в письме, на его компьютер устанавливается троянская программа, если, конечно, ее не блокирует антивирус. Далее троян-загрузчик осуществляет установку шифратора, который, в свою очередь, выбирает «знакомые» типы файлов для обработки. Когда шифрование завершено, программа выводит на экран сообщение для пользователя – требование о выкупе за «освобождение» файлов.

Обнаружение шифраторов

   Перед началом распространения вредоносных программ их авторы проверяют детектирование образцов статичными методами, используемыми в известных антивирусных продуктах. Следовательно, эффективная защита пользователя должна быть многоуровневой – сочетать технологии проактивной защиты, поведенческого анализа и облачных технологий.

   Антивирусные решения поддерживают несколько уровней защиты, включая технологии проактивного эвристического и реактивного обнаружения. Чтобы мгновенно реагировать на угрозы и обеспечивать максимальную защиту, антивирус должен быть обновлен и содержать актуальную информацию о последних обнаруженных угрозах, а облачный сервис с информацией о репутации файлов – включен. Мы настоятельно рекомендуем использовать последние версии антивируса для возможности применения модулей «Защита от эксплойтов», «Расширенное сканирование памяти» и других технологий, детектирующих вредоносные программы на разных этапах их выполнения.

   Нельзя забывать, что антивирусные решения не могут заменить другие инструменты обеспечения информационной безопасности. Поэтому необходимо уделять внимание таким вопросам как своевременное обновление программного обеспечения, регулярное создание резервных копий, информирование пользователей о методах социальной инженерии.

Регулярно обновляйте антивирус

   Новые версии шифраторов выходят достаточно часто, поэтому важным аспектом защиты от данного семейства вредоносных программ является регулярное обновление сигнатурных баз антивируса. Антивирусные решения проверяют наличие обновлений каждый час при наличии действующей лицензии и интернет-подключения.

Профилактика и защита

   Обработанные шифратором файлы могут быть некорректно восстановлены. Но если заранее провести подготовительные работы для защиты системы, риск потери данных будет значительно снижен. Для минимизации возможного влияния шифратора мы рекомендуем выполнить следующие действия:

1. Создать резервную копию данных

   Первая и лучшая мера защиты от шифраторов – регулярно обновляемая резервная копия данных. Помните, что эти вредоносные программы могут зашифровать файлы на всех видах сетевых дисков, в том числе в облачных хранилищах. Очень важно регулярно обновлять резервную копию. Настройте автоматическое обновление и не забывайте вручную обновлять копии на внешних дисках и в сервисах резервного копирования, которые могут быть отключены.

2. Настроить отображение расширений файлов

   Шифратор обычно содержится в файлах с расширением «.PDF» и «.EXE». Вредоносная программа рассчитывает на скрытие расширений файлов в ОС Windows, которое настроено по умолчанию. Включите отображение полного расширения файлов – это может облегчить обнаружение
подозрительных файлов.

3. Настроить фильтр EXE-файлов в почте

   Если ваш сканер почтовых шлюзов может фильтровать файлы по их расширениям в почте, настройте блокировку писем с вложенными EXE-файлами или файлами с двумя расширениями вида «*.*.EXE». Если вашим сотрудникам по роду деятельности необходимо обмениваться исполняемыми файлами, а вы установили фильтр на их пересылку, предложите создавать защищенные паролем ZIP-архивы или воспользоваться сервисами для обмена файлами.

4. Не открывайте вложения и не переходите по ссылкам в нежданных письмах и сообщениях

   Типичная схема заражения – открытие пользователем файла во вложении или переход по ссылке в письме или сообщении, которое он не запрашивал. Письмо может быть замаскировано под официальное сообщение банка, службы доставки и других доверенных организаций. Необходимо обучать пользователей и предостерегать их от открытия вложений и перехода по ссылкам в подозрительных письмах.

5. Отключите возможность запуска файлов из папок AppData или LocalAppData

   Характерное для шифратора поведение напоминает работу исполняемого файла из папок AppData или Local AppData. Вы можете создать правила блокировки запуска исполняемых файлов для этих папок при помощи стандартных возможностей Windows или настроек HIPS в антивирусе. Если легальное приложение требует использовать для установки папку AppData вместо Program Files, вы можете сделать для него исключение.

6. Отключите возможности удаленного управления рабочим столом (RDP)

   Чтобы попасть на компьютер, шифраторы часто используют RDP (протокол удаленного рабочего стола) – стандартную утилиту Windows для удаленного доступа. Также известно, что киберпреступники иногда получают доступ к целевой машине через RDP и отключают защитное ПО. Антивирусные решения имеют встроенные механизмы самозащиты, однако мы рекомендуем отключить RDP, если вы не используете эту функцию.

7. Регулярно устанавливайте патчи и обновления вашего ПО

   Киберпреступники часто надеются на то, что пользователи не устанавливают последние обновления программ и используют устаревшее ПО с известными уязвимостями. Авторы вредоносных программ используют эти «дыры» в защите для незаметного вторжения в систему. Вы можете снизить риск атаки, если будете своевременно устанавливать обновления. Некоторые компании-разработчики ПО выпускают обновления регулярно (как Microsoft и Adobe – каждый второй вторник месяца). Не стоит игнорировать также внеплановые и срочные обновления. Включите автоматическое обновление ПО, если это возможно, либо скачивайте и устанавливайте обновления с сайтов разработчиков.

8. Используйте программы для защиты, которым можно доверять

   Киберпреступники обновляют свои вредоносные программы во избежание обнаружения, поэтому важно иметь многоуровневую защиту. После установки программа-вымогатель может атаковать не сразу, а только после получения удаленной команды. Даже если вредоносная программа абсолютно новая и «умеет» обходить антивирусное ПО, ее можно детектировать при попытке связаться с управляющим сервером.

9. Используйте восстановление системы, чтобы откатить систему до «чистого» состояния

   Если на зараженном компьютере с установленной ОС Windows включена возможность восстановления системы, можно попробовать откатить систему до «чистого» состояния и восстановить часть зашифрованных файлов, используя теневые копии Windows. Для успешной операции нужно действовать быстро. Новейшие версии шифраторов могут удалять теневые копии для восстановления системы каждый раз, когда исполняемый файл запускается. Исполняемые файлы могут запускаться без участия оператора, как и обычные файлы при работе системы Windows.

10. Используйте стандартную учетную запись вместо учетной записи администратора

   Когда вы используете учетную запись с правами администратора, вы подвергаете систему риску заражения, так как в этом случае вредоносные программы будут запускаться с повышенным уровнем прав. Убедитесь, что пользователи имеют учетные записи с ограниченными правами для выполнения своих ежедневных рабочих задач. Давайте права администратора только тем пользователям, которым это действительно необходимо. Не отключайте контроль учетных записей пользователей.

11. Уделяйте внимание повышению грамотности сотрудников в вопросах информационной безопасности

Одним из наиболее распространенных способов заражения компьютеров является социальная инженерия – ее методы основаны на введении пользователей в заблуждение и убеждении их в том, что исполняемый файл необходимо запустить.