Как восстановить файлы после шифровальщика без выкупа

Что происходит, когда шифровальщик атакует файлы

Шифровальщик (ransomware) — это вредоносная программа, которая находит на диске документы, фото, базы данных и архивы и перезаписывает их содержимое шифротекстом, используя стойкий криптографический алгоритм (чаще всего комбинацию AES и RSA). Внешне это выглядит так: у файла появляется новое, непривычное расширение — например «отчёт.docx» превращается в «отчёт.docx.locked» или «отчёт.docx.encrypted» — а попытка открыть такой файл приложением выдаёт ошибку или показывает набор случайных символов вместо текста.

Ключевой технический момент: шифрование — это не повреждение файла в привычном смысле. Структура данных внутри не разрушена и не потеряна — она математически преобразована ключом, которым владеет только злоумышленник (или не владеет никто, если это самодельный или баг-содержащий штамм). Это объясняет сразу два факта: почему обычный ремонт файла (как при битом архиве или недописанном документе) здесь не поможет, и почему теоретически файл можно вернуть в исходный вид — если найти правильный ключ или способ его получить без оплаты.

Расширение зашифрованного файла — важная улика: разные штаммы вымогателей добавляют разные «хвосты» к имени файла, и именно по этому признаку (вместе с содержимым записки о выкупе) можно впоследствии определить конкретную вредоносную программу — это первый практический шаг к бесплатному восстановлению, о котором ниже.

Платить выкуп или нет?

Если коротко — нет, если у вас есть хоть один другой вариант. По данным руководства CISA #StopRansomware, оплата выкупа не гарантирует возврат файлов, не гарантирует, что злоумышленники не оставят в системе скрытый доступ для повторной атаки, и напрямую финансирует дальнейшую преступную деятельность — то есть следующую атаку проведут уже на чьи-то чужие деньги, включая, возможно, ваши собственные.

Почему оплата не гарантирует результат

Схема «заплатил → получил ключ» держится исключительно на честном слове преступной группы, у которой нет никаких обязательств и никакой ответственности за невыполнение. На практике встречаются все варианты: ключ присылают рабочим, присылают ключ не от всех файлов, присылают нерабочий дешифратор, который сам по себе портит данные ещё сильнее, или просто не выходят на связь после оплаты. Отдельная проблема — повторное вымогательство: если платёж прошёл один раз, жертву запоминают как платёжеспособную и готовую договариваться.

Честно: бывают ситуации, когда у бизнеса объективно нет легальной альтернативы (критичные данные без бэкапа, давление сроков, угроза полной остановки работы) — это не повод для морализаторства, но и не повод рассчитывать на гарантии. Прежде чем принимать такое решение, стоит пройти все бесплатные шаги ниже — они не исключают друг друга с обращением к специалистам по реагированию на инциденты.

Первые 10 минут после обнаружения атаки — что делать

То, что вы сделаете (или не сделаете) в первые минуты после обнаружения шифровальщика, напрямую влияет на шансы восстановить файлы бесплатно в дальнейшем.

1. Изолируйте машину от сети. Отключите Wi-Fi или выдерните сетевой кабель — это остановит распространение шифровальщика на другие компьютеры и сетевые диски и прервёт связь с сервером злоумышленника.
2. Не выключайте и не перезагружайте компьютер резко. Жёсткое выключение может прервать процесс шифрования на полпути (иногда это даже полезно — часть файлов останется нетронутой), но также способно уничтожить временные файлы и следы в оперативной памяти, которые пригодятся для идентификации штамма.
3. Не удаляйте зашифрованные файлы. Даже если дешифратора для вашего штамма пока нет — он может появиться через месяцы или годы, когда исследователи найдут уязвимость в алгоритме шифровальщика. Без зашифрованных файлов расшифровывать будет нечего.
4. Не переименовывайте файлы и не форматируйте диск. Расширение и структура имени файла — часть улик для идентификации штамма; форматирование диска убивает любой шанс на восстановление раз и навсегда.
5. Сфотографируйте записку с требованием выкупа. Текст ransom-note (часто файл вроде README.txt или !RECOVER!.html) содержит название штамма или уникальные признаки, по которым его можно опознать.
6. Зафиксируйте точное новое расширение файлов. Оно понадобится на следующем шаге — при определении штамма вымогателя.

Шаг 1. Определите штамм вымогателя через ID Ransomware

Сервис ID Ransomware — бесплатный инструмент независимой исследовательской группы MalwareHunterTeam, на который прямо ссылается проект No More Ransom. Он определяет конкретный штамм вымогателя по образцу зашифрованного файла или по тексту записки с требованием выкупа — без необходимости разбираться в этом вручную.

1. Откройте сайт ID Ransomware и загрузите один зашифрованный файл небольшого размера (без личных данных, если это принципиально) либо вставьте текст записки о выкупе.
2. Дождитесь результата. Сервис сопоставляет признаки файла и текст записки с базой известных штаммов и возвращает название вредоносной программы, если распознаёт её.
3. Запишите точное название штамма. Оно понадобится на следующем шаге — для поиска дешифратора.

Если сервис не смог опознать штамм — это тоже результат, а не тупик: значит, нужно сохранить записку и зашифрованные файлы и периодически повторять попытку позже, когда база обновится новыми данными.

Шаг 2. Проверьте No More Ransom на бесплатный дешифратор

Проект No More Ransom — совместная инициатива Европола, нацполиции Нидерландов и ряда ИБ-вендоров (включая Kaspersky и McAfee), которая собирает официальный реестр бесплатных дешифраторов для конкретных штаммов вымогателей.

1. Откройте раздел с дешифраторами на сайте No More Ransom.
2. Найдите штамм по названию, которое определил ID Ransomware на предыдущем шаге, — список отсортирован по имени вредоносной программы.
3. Скачайте дешифратор и запустите его строго по инструкции производителя — у каждого инструмента свои требования к версии ОС и формату файлов.

Шаг 3. Проверьте теневые копии Windows (VSS)

Windows с включённой защитой системы (System Restore) периодически и автоматически создаёт теневые копии (Volume Shadow Copy, VSS) — скрытые снимки состояния диска на определённый момент времени. Если эта функция была активна до атаки, часть файлов теоретически можно вернуть к более раннему состоянию — через свойства файла («Предыдущие версии») или сторонние инструменты просмотра теневых копий.

Проверить, сохранились ли теневые копии, можно через свойства диска или папки в проводнике (вкладка «Предыдущие версии») — если список пуст, значит шифровальщик их уничтожил или функция была отключена ещё до атаки.

Шаг 4. Резервные копии — чистый и надёжный путь

Если где-то существует актуальная резервная копия данных, не подключённая постоянно к заражённой машине (внешний диск, который не был вставлен во время атаки, облачное хранилище с версионированием, отдельный сервер бэкапов), — это единственный способ восстановления файлов, который даёт полную уверенность в результате, а не вероятность.

1. Убедитесь, что сам носитель бэкапа не был подключён к заражённому компьютеру в момент атаки — если диск стоял в USB-порту, шифровальщик мог зашифровать и его содержимое тоже.
2. Проверьте дату последней копии — чем она ближе к моменту заражения, тем меньше данных потеряно.
3. Разверните копию на чистой, переустановленной системе, а не на той же заражённой машине — чтобы восстановленные файлы не попали под повторное шифрование или другую вредоносную активность, которая может остаться в системе.

Если ничего не сработало: что дальше

Если теневых копий нет, бэкапа не было, а готового дешифратора для вашего штамма No More Ransom пока не предлагает — это неприятный, но не окончательный итог.

1. Сохраните полную копию зашифрованных файлов на отдельном носителе, прежде чем что-либо переустанавливать. Дешифратор для штамма может появиться позже — месяцы или годы спустя, когда исследователи найдут уязвимость в его реализации.
2. Периодически проверяйте No More Ransom повторно по названию штамма — реестр дешифраторов пополняется по мере того, как ИБ-исследователи находят новые слабые места в алгоритмах вымогателей.
3. Для бизнеса с критичными данными — обратитесь к специалистам по реагированию на инциденты. Это не гарантирует результат, но профессиональная команда умеет корректно оценить реальные шансы на конкретный штамм и не ухудшить ситуацию неосторожными действиями.

Как не оказаться здесь снова: минимальная профилактика

Лучшая защита от шифровальщика — не оказаться в ситуации, когда единственный вопрос — платить или нет.

1. Держите офлайн-копию по правилу 3-2-1. Три копии данных, на двух разных типах носителей, одна из которых физически не подключена к сети постоянно, — именно эта «отключённая» копия шифровальщик не сможет затронуть.
2. Обновляйте операционную систему и программы. Многие атаки используют известные, уже закрытые уязвимости — обновления закрывают именно эти двери.
3. Проверяйте вложения перед открытием. Вредоносные документы и установщики — основной канал заражения; перед открытием подозрительного файла стоит проверить его инструментом вроде проверки файла на вирусы, а полный список опасных типов вложений разобран в статье про опасные расширения файлов.

Отдельный частый вектор заражения — вредоносные макросы в офисных документах (подробный разбор — в статье про макросы в Word и Excel) и случайное открытие файла с подменённым двойным расширением. Если бизнес хранит критичные для работы данные и хочет снизить риск атаки системно, а не только на уровне одного компьютера, этим стоит заняться на уровне всей инфраструктуры — с этим помогает команда YuSMP Group, которая проводит ИТ-аудит и выявляет уязвимые места до того, как ими воспользуются злоумышленники.

После того как данные восстановлены (из бэкапа, теневой копии или дешифратором), стоит проверить целостность файлов — как это сделать, описано в статье как проверить контрольную сумму файла. А если проблема не в шифровальщике, а в случайном удалении файлов, смотрите отдельный гайд как восстановить удалённые файлы на компьютере.

Частые вопросы