Шифровальщик атаковал: пошаговый план первых 24 часов
Что делать и чего не делать, если файлы зашифрованы и требуют выкуп.
В момент атаки важно не сделать хуже. Порядок действий лучше иметь на бумаге заранее.
Немедленно
- Отключить заражённые машины от сети (кабель, Wi-Fi), не выключать питание — могут остаться артефакты.
- Остановить общие папки и синхронизацию, чтобы шифрование не пошло дальше.
- Сообщить руководству и ИТ/подрядчику.
- Не платить выкуп — это не гарантирует восстановление и финансирует следующих атакующих.
В первые часы
- Найти точку входа: письмо, RDP, слабый пароль, уязвимость.
- Проверить резервные копии — восстановимы ли они.
- Оценить масштаб: какие системы затронуты, что критично.
Восстановление
Восстанавливать с проверенных копий, начиная с критичных систем, по одному сегменту, с мониторингом. После — закрыть точку входа, иначе повтор через неделю.
Профилактика
- Бэкапы с проверкой восстановления и отдельным хранилищем.
- MFA на удалённый доступ, никакого RDP наружу.
- EDR на рабочих местах и серверах.
- Обучение: большинство атак начинается с фишинга.