Шифраторы, они же криптовирусы, они же вымогатели::Журнал СА 12.2015

Так в кино был задокументирован очень «популярный» способ распространения вредоносного ПО, в том числе шифраторов, таких как Bat.encoder, FileCoder, Krjakl. Маскировка под оповещения из налоговой инспекции и судов по-прежнему хорошо работает, и компании по-прежнему теряют данные. Тем временем авторы шифраторов не останавливаются и даже увеличивают размеры выкупов.

Разберемся, как можно защититься от этой угрозы. Правило №1 – никогда не платить выкупы. Правила №2 и 3 носят профилактический характер.

Превентивные меры

Капитан Очевидность подсказывает два основных способа защиты от шифраторов:

Резервное копирование.
Инструктирование пользователей.

О необходимости бэкапа знают даже начинающие администраторы, но именно при заражениях шифраторами обнаруживаются какие-то детали: то копии делали недостаточно часто, то резервное копирование зашифрованного вида данных или носителей не производилось.

Теперь о менее очевидных способах защиты:

1. Настройка в локальных политиках безопасности ограниченного использования программ. С помощью правил можно заблокировать запуск троянов по относительным путям и маскам файлов. Пример: данное правило запрещает запуск всех программ с расширением *.exe по указанному относительному пути:

%UserProfile%\Local Settings\*.exe

2. Отключение службы Windows Encrypting File System.

3. Запрет выполнения макросов в приложениях, входящих в состав Microsoft Office, и в аналогичном ПО. Макросы могут содержать команду для загрузки и выполнения вредоносного кода шифратора. Например, если сотрудник откроет вредоносный файл с именем «Взыскание задолженности.doc» в почте, это вызовет компрометацию системы даже в том случае, если сервер не пропустил вредоносное выполнение макросов в настройках офисных приложений.

4. Активация настройки автоматических обновлений операционной системы и установка критических обновлений. Злоумышленники могут использовать уязвимость в протоколе удаленного рабочего стола (RDP). Наиболее серьезная из этих уязвимостей делает возможным удаленное выполнение кода, если злоумышленник отправляет уязвимой системе последовательность специально созданных пакетов RDP. По умолчанию протокол удаленного рабочего стола отключен во всех операционных системах Windows. Закрывайте доступ по RDP извне и разрешите подключения по RDP только в пределах локальной сети.

5. Запрет на почтовом сервере приема и передачи исполняемых файлов *.exe, а также *.js.

6. Активация расширенной эвристики в антивирусном решении для запуска исполняемых файлов. Здесь комментарии излишни, я думаю. Правда, кое-кому и об этом, и об обновлении баз антивируса нужно напоминать.

7. Создание правил на блокировку вложений в теле письма по их типу и расширению. Расскажу об этой мере на примере ESET NOD32 Mail Security для Microsoft Exchange. В этом продукте правила можно настроить и на файлы с определенными расширениями, и на заархивированные вложения. Блокировка реализуется и на уровне расширения, и на уровне типа файла. Например, системный администратор настроил правило на блокировку исполняемых файлов типа .exe. Злоумышленник пишет письмо, берет .exe-файл, меняет его расширение, архивирует и делает рассылку по пользователям. EMS for Exchange определит, что данный файл исполняемый, и не допустит открытия архива.

Пожарные меры

Если заражение уже произошло и зашифрованные данные стоят того, чтобы их расшифровывать, а резервной копии нет, то необходимо предпринять следующее:

Обратиться в техподдержку поставщика антивируса или изучить его форум. Надеюсь, ваши файлы могут быть расшифрованы.
Попробовать восстановить файлы с помощью теневого тома копий. «Попробовать» восстановить оригиналы файлов можно только в том случае, если эта функция была активирована заранее и если зловред до них не добрался. Для лечения Windows Vista 7 и 8 популярностью пользуется утилита Shadow Explorer. В Windows XP, увы, восстановления теневых копий нет.

Советует Виталий Земских