ransomware w wiadomości

Ransomware w wiadomości szyfruje dane ofiary i żąda okupu za ich odblokowanie.

Jak wygląda przesyłka, która szyfruje dysk

Wiadomość niosąca ransomware rzadko ma dziś załącznik z rozszerzeniem exe — takie filtry blokują od lat. Typowe nośniki to archiwum ZIP zabezpieczone hasłem podanym w treści listu, obraz dysku z rozszerzeniem iso lub img, skrót z rozszerzeniem lnk uruchamiający PowerShella, dokument Office z makrem albo plik OneNote z osadzonym obiektem. Hasło do archiwum ma jeden cel: uniemożliwić skanerowi antywirusowemu zajrzenie do środka, bo odszyfrować potrafi je dopiero człowiek.

Po uruchomieniu program szyfruje pliki użytkownika, zmienia im rozszerzenia na własne i zostawia w każdym katalogu notatkę tekstową z instrukcją zapłaty. Wcześniej zwykle kasuje kopie w tle poleceniem usuwającym wszystkie migawki usługi VSS i wyłącza automatyczną naprawę systemu.

Co powstrzymuje taki załącznik, a co nie

Skuteczna jest blokada makr w plikach pobranych z internetu: Office rozpoznaje znacznik pochodzenia z sieci i odmawia uruchomienia kodu, wyświetlając czerwony pasek zamiast przycisku włączenia zawartości. Dlatego napastnicy pakują dokumenty do archiwów i obrazów dysku — te znaczniki gubią. Pomaga też kontrolowany dostęp do folderów we wbudowanej ochronie Windows, wyłączenie automatycznego montowania obrazów oraz reguła zmniejszania powierzchni ataku blokująca uruchamianie plików skryptowych z załączników. Nie pomaga natomiast wyłącznie sygnaturowy antywirus, bo każda kampania używa świeżo skompilowanej próbki, ani kopia zapasowa trzymana na stale podłączonym dysku zewnętrznym — zostanie zaszyfrowana razem z resztą.

Pierwsze minuty po kliknięciu w załącznik

Kolejność działań decyduje o tym, ile danych da się uratować. Komputer należy odłączyć od sieci przewodowej i wyłączyć Wi-Fi, żeby szyfrowanie nie przeniosło się na dyski sieciowe i inne stanowiska. Nie należy ponownie uruchamiać systemu — część rodzin ransomware trzyma klucz w pamięci, a restart go bezpowrotnie usuwa. Nie należy też kasować notatki z żądaniem okupu ani zaszyfrowanych plików, bo pozwalają zidentyfikować rodzinę zagrożenia; dla części z nich istnieją publicznie dostępne, darmowe deszyfratory. Płacenie okupu nie daje żadnej gwarancji i finansuje kolejne kampanie.

Ratowanie danych po infekcji w firmie

Przy takich zgłoszeniach zaczynamy od wykonania kopii binarnej nośnika, żeby żadna próba naprawy nie zniszczyła materiału. Potem ustalamy rodzinę zagrożenia po notatce i rozszerzeniach, szukamy ocalałych migawek i wersji plików, sprawdzamy, czy szyfrowanie objęło serwer z bazą oprogramowania handlowego, i odtwarzamy środowisko na czystym systemie. Na czas odzysku udostępniamy sprzęt zastępczy, żeby firma nie stanęła — pracujemy przy tym również w nocy i w święta.