Программы-вымогатели (ransomware): что это, виды, защита

Программа-вымогатель (ransomware) — вредоносное программное обеспечение, которое шифрует файлы на заражённом устройстве или блокирует доступ к системе целиком, а затем требует выкуп, обычно в криптовалюте, за восстановление доступа. В отличие от вредоносного ПО, нацеленного на скрытую слежку или кражу данных без ведома жертвы, ransomware работает открыто: жертва почти сразу видит записку с требованиями, суммой и инструкциями по оплате.

В русскоязычном обиходе для того же явления используют несколько названий: «ransomware» — исходный английский термин, «шифровальщик» — распространённое обозначение той части семейства, что шифрует файлы (crypto-ransomware), «вирус-вымогатель» — бытовой вариант, который технически не всегда точен: большинство современных образцов не саморазмножаются как классический компьютерный вирус, а доставляются целенаправленно через фишинговое письмо или эксплуатацию конкретной уязвимости.

Ransomware — частный случай более широкой классификации вредоносного ПО по полезной нагрузке, наравне с троянами, шпионским ПО и бэкдорами; общий обзор этой классификации — в материале о видах вредоносного ПО.

Внутри общей категории ransomware различают несколько типов по механике действия и модели монетизации. На практике современные атаки часто сочетают несколько признаков сразу — например, крипто-вымогатель, доставленный по модели RaaS и использующий двойное вымогательство.

↔ таблицу можно прокрутить вбок

Ransomware редко становится первым звеном атаки — обычно её разворачивают уже после того, как атакующий получил первичный доступ одним из нескольких типовых способов.

• Фишинг и социальная инженерия. Вложение или ссылка в письме запускают загрузчик, который в итоге разворачивает вымогателя, — самый частый вектор первичного заражения. Подробнее — в материале о фишинге.
• Эксплуатация уязвимостей интернет-сервисов. Атакующий сканирует периметр организации на предмет незакрытых уязвимостей в VPN-шлюзах, почтовых серверах и веб-приложениях и использует их для получения доступа без участия пользователя.
• Брутфорс и компрометация RDP. Перебор паролей либо использование ранее украденных учётных данных к протоколу удалённого рабочего стола, открытому в интернет без многофакторной аутентификации, — один из самых частых начальных векторов именно ransomware-атак.
• Цепочки поставок. Компрометация доверенного поставщика ПО или сервиса, через обновление или интеграцию которого вредонос попадает сразу к множеству клиентов одновременно.

Два случая показывают разные модели атаки: самораспространяющегося червя-шифровальщика и атаку, поставленную на поток по модели RaaS.

Единой «вакцины» против ransomware не существует — защита строится на нескольких независимых рубежах, каждый из которых снижает вероятность заражения или ущерб от него.

• Резервное копирование по правилу 3-2-1. Неизменяемые (immutable) или изолированные (air-gap) копии, которые заражённая сеть не может изменить или удалить, лишают вымогателя единственного рычага давления. Подробнее — в материале о резервном копировании.
• EDR и антивирус. Сигнатурный антивирус ловит известные образцы, поведенческое обнаружение EDR — попытки массового шифрования файлов и другие подозрительные паттерны на ранней стадии, до завершения атаки.
• Сегментация сети. Ограничивает распространение вымогателя по сети после заражения одного узла, не позволяя ему добраться до всех ресурсов сразу.
• Патч-менеджмент и управление уязвимостями. Устранение известных уязвимостей на периметре закрывает один из основных векторов первичного доступа.
• Многофакторная аутентификация на удалённом доступе. MFA для VPN и RDP существенно затрудняет использование украденных или подобранных учётных данных для входа.
• Позиция «не платить выкуп». Большинство регуляторов и правоохранительных органов рекомендуют не платить: выплата не гарантирует восстановление данных, финансирует дальнейшие атаки и не устраняет причину, по которой атакующий получил доступ.

После 2022 года несколько российских ИБ-вендоров публично фиксировали рост числа атак программ-вымогателей на отечественные организации; часть таких инцидентов сочетала признаки классического вымогательства и деструктивного вайпера — без реального намерения дать возможность восстановления данных даже после выплаты.

Субъекты критической информационной инфраструктуры (КИИ) обязаны по 187-ФЗ уведомлять о компьютерных инцидентах, включая заражение программами-вымогателями, ГосСОПКА и НКЦКИ в установленный срок с момента обнаружения. Расследование такого инцидента частично пересекается с процессом DFIR — компьютерной криминалистики и реагирования на инциденты, которое одновременно устанавливает, что произошло технически, и сдерживает ущерб.