Как защититься от вирусов вымогателей

С помощью вируса-вымогателя кибермошенникам удается зарабатывать до 2 млрд долларов в год. Помимо денежных потерь владельцы бизнеса несут ущерб из-за сбоя системы, снижения производительности и стресса. В целом получается слишком разорительно.

Представьте, что вы работаете на компьютере, отвечаете на письмо клиента и вдруг на мониторе появляется синий фон и на нем следующее сообщение:

«Компьютер заблокирован. Все ваши файлы зашифрованы. Дешифрование файлов будет стоить 0,076 биткойнов. Следуйте инструкции для оплаты:

1. Отправьте 0,076 биткойнов в биткойн-кошелек #XXX XX .

Каковы ваши дальнейшие действия? Вы будете паниковать, пытаться разблокировать компьютер? Пойдете на поводу мошенникам и постараетесь выкупить у них свои файлы?

Ransomware как совершенствующаяся опасность

Вирусы, вредоносные программы не являются для пользователей чем-то новым с тех пор, как в 2013 году хакеры обнаружили, что могут зашифровать ценные файлы и вымогать у жертв круглые суммы для дешифровки. Успешно эксплуатируя эту возможность, мошенники зарабатывают до 2 млрд долларов в год! Это деньги трудолюбивых владельцев бизнеса. Если прибавить к ним ущерб, который несут компании от сбоя системы, потери производительности и стресса, то получается слишком разорительно.

Ransomware распространяется мошенниками в различных вариантах. Некоторые ставят своей целью найти и зашифровать самые ценные файлы, другие — просто шифруют весь жесткий диск, что делает ситуацию гораздо более неприятной. И даже когда вы очищаете его полностью, файлы по-прежнему продолжают шифроваться. Если вы не готовы к атаке вируса-вымогателя, то это может парализовать всю работу компании. Вот почему управление ИТ-системами в компании очень важно .

Как распространяется вирус-вымогатель

Злоумышленники постоянно пробуют новые способы заражения компьютеров с помощью ransomware. В основе большинства атак лежит обман — вас принуждают к установке вредоносного ПО. Некоторые вирусы-вымогатели, используя уязвимости программ, даже не требуют одобрения установки, но такие атаки, как правило, краткосрочны, потому что ликвидируются после устранения уязвимостей.

Большинство вирусов-вымогателей распространяется по незнакомой электронной почте. Фишинговые письма максимально маскируются под официальную переписку, заставляя вас открыть вложение или перейти по ссылке. Как только вы это делаете, ваш компьютер заражается вирусом.

Вариацией фишинг-атак, набирающих популярность, является направленная фишинг-атака: вместо рассылки большого количества писем вымогатели отправляют сообщения, точно адаптированные под конкретного человека, часто используя информацию, полученную из открытых профилей в соцсетях. Злоумышленник может выступать в роли нового клиента или даже в роли подрядчика, с которым вы уже работаете.

Некоторые веб-сайты содержат вредоносный код, который использует уязвимости в вашем браузере и операционной системе или обманывает вас, заставляя согласиться на выкуп.

Ссылки на эти сайты могут быть встроены в фишинговые письма. Их также можно направлять с помощью текстовых ссылок, рекламных баннеров или всплывающих окон.

Иногда ransomware пользуется недостатками безопасности в операционных системах или приложениях, которые позволяют распространять и запускать файлы самостоятельно. Это может наносить разрушительное действие. Без необходимости в человеческом участии вирус мгновенно распространяется от компьютера к компьютеру через интернет.

Крупные технологические компании быстро ликвидируют эти дыры в безопасности, как только узнают о них. Это означает, что компании, которые отключают обновления и не пытаются усовершенствовать ИТ-систему, на сегодняшний день являются особенно уязвимыми для такого рода атак.

Как защититься от вируса-шифровальщика

Итак, мы уже поняли, что ransomware может нанести разрушительные действия и потому является дорогостоящим риском. Поэтому возникает закономерный вопрос: как сохранить систему в безопасности?

Подавляющее большинство атак вирусов-вымогателей направлено на то, чтобы обмануть кого-то, поэтому вы можете снизить риски, сделав информацию о ransomware частью тренинга по ИТ-безопасности.

Убедитесь, что любой сотрудник, который использует компьютер, должным образом предупрежден о подозрительных вложениях и ссылках в электронной почте. Удостоверьтесь, что люди, работающие в вашей компании, не забывают об опасности спама и незнакомых писем, особенно фишинговых писем, специально предназначенных для бизнеса или отдельных лиц.

По иронии судьбы владельцы высокотехнологичного бизнеса иногда становятся наиболее уязвимыми. Возможно, потому что они считают информацию о защите слишком очевидной. Не думайте, что то, что очевидно для вас, очевидно для всех в офисе — мошенники повышают уровень в своих атаках.

Вы можете просто выдать каждому сотруднику соответствующий документ и заставить поставить на нем подпись. Но это все равно что ничего. Гораздо эффективнее поговорить с работниками и убедиться, что они действительно осознают опасность и понимают, как ее предотвратить.

В 2017 году произошли одни из самых катастрофичных хакерских атак: вирусы WannaCry и NotPetya использовали одну и ту же уязвимость в операционной системе Windows. Эта уязвимость была исправлена Microsoft в марте — задолго до того, как эти атаки начались (в мае и июне). А значит, миллиарды долларов, которые потерял бизнес, можно было спасти благодаря простым действиям.

В ситуации домашнего офиса самый простой способ сохранить исправление вашей операционной системы — это просто оставить автоматическое обновление. Да, эти сообщения о перезагрузке компьютера сильно раздражают, но это не столь страшно по сравнению с потерей всей вашей работы.

Еще одна беда ПО, о которой многие не знают, — это заражение вирусом роутера. Если хакер управляет им, он может перенаправлять веб-браузер на вирусную страницу. Руководство по обновлению прошивки содержится в инструкции к роутеру.

Ничто не заставит вас платить деньги вымогателю, если у вас есть резервная копия со всей жизненно важной информацией. Понятно, что все равно вы не сможете перетащить на диск всю информацию и всегда останется то, что имеет реальную стоимость. Поэтому не стоит экономить на обучении персонала только потому, что у вас есть резервные копии. Но это позволит вам минимизировать проблемы.

Для фрилансеров, консультантов, людей, завязанных на домашнем офисе, для хранения файлов будет достаточно платного облачного хранилища. Таким образом, вы просто сохраняете все важные рабочие документы в папке, которая синхронизируется с облаком.

Когда в офисе более одного компьютера, есть ключевой фактор, определяющий, насколько тяжело вам причинить вред, — объем информации, которую можно зашифровать. Чем больше файлов и жестких дисков вирус-шифровальщик затронет, тем больше времени потребуется на восстановление данных из резервных копий и тем дольше бизнес будет простаивать.

Сотрудникам не нужна учетная запись с доступом ко всей информации. Им достаточно учетной записи, которая дает возможность выполнять свою работу.

Восстановление после атаки

Если у вас есть резервные копии и налажен процесс восстановления информации, вы быстро справитесь с проблемой.

Нужно ли платить выкуп? Нет. Почему?

Киберпреступники обращают внимание на то, откуда к ним идут деньги. Если вы выполните их требования, они снова попытаются вас взломать. Как клиент, готовый платить, вы становитесь для них выгодной целью. Тот факт, что вы платите за выкуп чужим людям, чтобы вернуть свои данные, как бы сигнализирует о том, что в целом безопасность ИТ-системы в вашей компании обеспечена не на 100%. Киберпреступники обмениваются этой информацией или продают ее друг другу .

Это плохая карма

Перечисление денег преступникам делает хуже жизнь всех, кто пытается зарабатывать честным трудом. Потому что единственная причина, по которой мошенники не прекращают свою черную работу, — это потоки денег, поступающие от растерянных жертв. Не становитесь частью порочной системы.

Есть большая вероятность, что это не сработает

Поймите, что для мошенников вы находитесь вне поля контроля. Вы рискуете потерять не только деньги, но и время, эффективность, которую могли бы инвестировать в работу .

После восстановления файлов перейдите к работе над ошибками, чтобы понять суть проблемы. Открывали ли сотрудники фишинговое электронное письмо? Не кликнули ли они на баннер с вирусом? Может быть, есть сложности с ПО или операционной системой? Как бы то ни было, вам нужно сделать все, чтобы случившееся не повторилось.

Если речь идет о человеческом факторе, убедитесь, что все в офисе проинформированы о том, как произошла атака. Есть высокая вероятность того, что персонал столкнется с подобными атаками в будущем. Убедитесь, что все знают, на что обращать внимание.

Плохая идея — искать и назначать виновных, даже если вас сильно раздражает то, что кто-то открыл фишинговое письмо. Это создает препятствие на пути к честному осознанию произошедшего. К тому же это усложняет коммуникации. Все, что действительно нужно в этой ситуации, — это информированность персонала и грамотные специалисты, готовые взять на себя контроль за ИТ-системой.

В последнее время сложно найти ИБ- или ИТ-специалиста, который не слышал о троянах-вымогателях. В своих прогнозах на 2017 год ведущие производители средств защиты информации (Kaspersky Lab, McAfee Labs, Sophos Labs, Malwarebytes Labs, Trend Micro и др.) называют их одной из основных угроз безопасности информации для государственных и коммерческих организаций различных сфер деятельности и масштабов.

Введение

В первую очередь атаки с внедрением вымогателя нацелены на самые популярные операционные системы: Windows для рабочих станций и серверов, Android для мобильных устройств. Однако существуют известные трояны и для других операционных систем: семейства Linux, macOS, iOS и др.

За последнее время можно привести несколько примеров известных подобных атак:

Можно подумать, что защиты от направленных атак вымогательских вредоносных программ нет, однако это не так. Отдельные производители средств защиты утверждают, что только единственный их продукт может помочь и защитить, но это тоже неправда.

Задачу проактивной защиты от вирусов-вымогателей можно решить только комплексом организационно-технических мероприятий, которые помогут нейтрализовать и уменьшить вероятность реализации угрозы для каждого типа доступа к защищаемой информации.

Проактивная защита от направленных атак и вирусов-вымогателей

Рассмотрим возможные векторы доступа к защищаемой информации, находящейся на сервере или автоматизированном рабочем месте пользователя:

Воздействие на периметр локальной вычислительной сети из интернета возможно через:
- корпоративную электронную почту;
- веб-трафик, в том числе веб-почту;
- периметровый маршрутизатор / межсетевой экран;
- сторонние (некорпоративные) шлюзы доступа к интернету (модемы, смартфоны и т. д.);
- системы защищенного удаленного доступа.
Воздействие на серверы, рабочие места пользователей по сети:
- загрузка вредоносных программ на конечные точки / серверы по запросу от них же;
- использование недокументированных возможностей (уязвимостей) системного/прикладного ПО;
- загрузка вредоносов по шифрованному VPN-каналу, неконтролируемому службами ИТ и ИБ;
- подключение к локальной сети нелегитимных устройств.
Прямое воздействие на информацию на серверах, рабочих местах пользователей:
- подключение внешних носителей информации с вредоносом;
- разработка вредоносных программ прямо на конечной точке / сервере.

Перечень организационных и технических мероприятий, направленных на защиту от воздействия вымогателей, представлен на рисунке 1.

Рисунок 1. Проактивные меры защиты от вирусов-вымогателей

К основным организационным мерам проактивной защиты от вирусов-вымогателей относятся:

Повышение осведомленности сотрудников в области ИБ.

Необходимо регулярно проводить обучение сотрудников и информировать их о возможных угрозах ИБ. Минимальной и необходимой мерой является формирование принципов работы с файлами и почтой:

Не открывать файлы с двойным расширением: настроить для пользователей отображение расширений, чтобы идентифицировать вредоносные файлы с двойными расширениями (например, 1СRecord.xlsx.scr).
Не включать макросы в недоверенных документах Microsoft Office.
Проверять адреса отправителей почтовых сообщений.
Не открывать ссылки на веб-страницы, почтовые вложения от неизвестных отправителей.
Оценка эффективности защиты как внутри организации, так и с привлечением внешних специалистов.

Оценивать эффективность обучения персонала необходимо при помощи моделирования атак, как внутренних, так и с участием внешних специалистов — проводить тесты на проникновение, в т. ч. с использованием метода социальной инженерии.

Регулярное обновление системного ПО (Patch Management).

Для предотвращения атак вредоносного ПО на целевые системы через известные уязвимости необходимо обеспечить своевременное тестирование и установку обновлений системного и прикладного ПО с учетом приоритизации по степени критичности обновлений.

Систематизация резервного копирования данных.

Необходимо регулярно выполнять резервное копирование критически важных данных серверов информационных систем, систем хранения данных, рабочих мест пользователей (если предполагается хранение критичной информации). Резервные копии должны храниться на ленточных библиотеках системы хранения данных, на отчуждаемых носителях информации (при условии, что носитель информации не подключен постоянно к рабочей станции или серверу), а также в облачных системах резервирования данных, хранилищах.

Технические мероприятия проактивной защиты от вымогателей предпринимаются на уровне сети и на уровне хоста.

На уровне сети это:

Использование систем фильтрации электронной почты, обеспечивающих анализ почтового трафика на наличие нежелательных писем (spam), ссылок, вложений, в том числе вредоносных (например, блокировка файлов JavaScript (JS) и Visual Basic (VBS), исполняемые файлы (.exe), файлы заставки (SCR), Android Package (.apk) и файлы ярлыков Windows (.lnk)).
Использование систем контентной фильтрации веб-трафика, обеспечивающих разграничение и контроль доступа пользователей к интернету (в т. ч. путем разбора SSL-трафика с помощью подмены сертификата сервера), потоковый анализ трафика на наличие вредоносных программ, разграничение доступа пользователей к содержимому веб-страниц.
Использование систем защиты от целенаправленных атак, атак нулевого дня (Sandbox, песочница), обеспечивающих эвристический и поведенческий анализ потенциально опасных файлов в изолированной среде перед отправкой файла в защищаемые информационные системы. Системы защиты от направленных атак должны быть интегрированы с системами контентной фильтрации веб-трафика, фильтрации электронной почты для блокирования вредоносных вложений. Также системы защиты от направленных атак интегрируют с информационными системами внутри периметра сети для обнаружения и блокировки сложных атак на критичные ресурсы, сервисы.
Обеспечение контроля доступа к корпоративной сети на уровне проводной и беспроводной сети с помощью технологии 802.1x. Такая мера исключает несанкционированное подключение нелегитимных устройств в корпоративную сеть, обеспечивает возможность выполнения проверки на соответствие корпоративным политикам при доступе в сеть организации (наличие антивирусного ПО, актуальные сигнатурные базы, наличие критических обновлений Windows). Контроль доступа к корпоративной сети с помощью 802.1x обеспечивается системами класса NAC (Network Access Control).
Исключение прямого взаимодействия внешних пользователей с ресурсами корпоративных информационных систем с помощью промежуточных шлюзов доступа с наложенными корпоративными средствами защиты информации (терминальный сервер, система виртуализации рабочих столов VDI), в том числе с возможностью фиксации действий внешних пользователей с помощью видео или текстовой записи сессии. Мера реализуется с помощью систем терминального доступа, систем класса PUM (Privileged User Management).
Сегментирование сети по принципу необходимой достаточности для исключения избыточных разрешений сетевого взаимодействия, ограничения возможности распространения вредоносных программ в корпоративной сети в случае заражения одного из серверов / рабочих мест пользователей / виртуальных машин. Возможна реализация такой меры с помощью систем анализа политик межсетевого экранирования (NCM / NCCM, Network Configuration (Change) Management), обеспечивающих централизованный сбор политик межсетевого экранирования, настроек межсетевых экранов и дальнейшую их обработку с целью автоматизированной выдачи рекомендаций по их оптимизации, контроль изменений политик межсетевого экранирования.
Выявление аномалий на уровне сетевых взаимодействий.

Меры проактивной защиты на уровне хоста:

Обеспечение защиты от несанкционированного доступа рабочих мест, серверов, виртуальных машин путем усиленной аутентификации пользователей, контроля целостности операционной системы, блокировки загрузки системы с внешних носителей для исключения заражения корпоративной сети нарушителями внутри периметра сети. Эта мера реализуется решениями класса СЗИ от НСД / Endpoint Protection.
Обеспечение антивирусной защиты на всех сетевых узлах организации. Антивирусное ПО должно обнаруживать факты вирусного заражения оперативной памяти, локальных носителей информации, томов, каталогов, файлов, а также файлов, получаемых по каналам связи, электронных сообщений на рабочих местах, серверах, виртуальных машинах в реальном времени, лечить, удалять или изолировать угрозы. Сигнатурные базы антивирусного ПО должны регулярно обновляться и находиться в актуальном состоянии.
Обеспечение мониторинга и контроля действий ПО на защищаемых хостах путем контроля запускаемых служб и сервисов, эвристического анализа их функционирования. Такая мера реализуется решениями класса HIPS (Host Intrusion Prevention).
Обеспечение контроля подключения внешних устройств, блокировки неиспользуемых портов на защищаемых хостах для исключения подключения к защищаемым хостам несанкционированных устройств: как носителей информации с потенциально вредоносными программами, так и внешних шлюзов доступа к интернету (например, 4G-модем), обеспечивающих неконтролируемый и незащищенный канал доступа в интернет. Эта мера реализуется решениями класса СЗИ от НСД / Endpoint Protection.
Обеспечение продвинутой защиты хостов с помощью поведенческого анализа функционирования процессов на защищаемых хостах, машинного обучения, эвристического анализа файлов, контроля приложений, защиты от эксплойтов для выявления и блокировки неизвестных угроз (угроз нулевого дня) в режиме реального времени. Данная мера реализуется решениями класса NGEPP (Next Generation Endpoint Protection).
Использование агентских решений по защите от вымогателей, шифрующих данные на зараженном хосте. К ним относятся:
- Продуктивные системы защиты от направленных атак, атак нулевого дня с клиент-серверной архитектурой. Клиентское ПО устанавливается на защищаемый хост, защищает в реальном времени от угроз нулевого дня, вирусов, шифрующих данные в системе, расшифровывает зашифрованные вредоносом данные (в случае наличия агента — до попытки заражения), удаляет троян-вымогатель, защищает от фишинговых атак. Клиентское ПО обеспечивает контроль всех каналов доступа к хосту: веб-трафик, отчуждаемые носители информации, электронная почта, доступ по локальной сети, вредоносные программы в зашифрованном трафике (VPN).
- Клиентские системы защиты от угроз нулевого дня (песочницы) в открытом доступе (sandboxie, cuckoo sandbox, shadow defender и др.).
- Клиентские системы защиты от угроз нулевого дня на базе микровиртуализации (Bromium vSentry), обеспечивающие поведенческий анализ потенциально вредоносных файлов в аппаратно изолированной среде (микровиртуальной инфраструктуре).
Обеспечение межсетевого экранирования на уровне хоста с помощью программных межсетевых экранов для разграничения доступа к ресурсам корпоративной сети, ограничения распространения вредоноса в случае заражения хоста, блокировки неиспользуемых сетевых портов, протоколов.

Дополнительно к вышеперечисленным мерам предотвратить и выявить вирус-вымогатель в корпоративной сети поможет следующее:

Обеспечение регулярного анализа защищенности ИТ-инфраструктуры — сканирование узлов сети для поиска известных уязвимостей в системном и прикладном ПО. Эта мера обеспечивает своевременное обнаружение уязвимостей, позволяет их устранить до момента их использования злоумышленниками. Также система анализа защищенности решает задачи по контролю сетевых устройств и устройств, подключенных к рабочим станциям пользователей (например, 4G-модем).
Сбор и корреляция событий позволяет комплексно подойти к обнаружению вымогателей в сети на основе SIEM-систем, поскольку такой метод обеспечивает целостную картину ИТ-инфраструктуры компании. Эффективность SIEM заключается в обработке событий, которые отправляются с различных компонентов инфраструктуры, в том числе ИБ, на основе правил корреляции, что позволяет оперативно выявить потенциальные инциденты, связанные с распространением вируса-вымогателя.

Приоритизация мер защиты от вирусов-вымогателей

Надежная комплексная защита от направленных атак и вымогателей обеспечивается комплексом организационно-технических мер, которые ранжируются в следующие группы:

Базовый набор мер, необходимый для применения всем организациям для защиты от направленных атак и вредоносов-вымогателей.
Расширенный набор мер, применимый для средних и крупных организаций с высокой стоимостью обработки информации.
Продвинутый набор мер, применимый для средних и крупных организаций с продвинутой ИТ- и ИБ-инфраструктурой и высокой стоимостью обрабатываемой информации.

Рисунок 2. Приоритизация мер защиты от трояна-вымогателя

Меры защиты для конечных пользователей от вирусов-вымогателей

Угроза заражения вирусом-вымогателем актуальна и для конечных пользователей интернета, для которых также применимы отдельные меры по предотвращению заражения:

своевременная установка обновлений системного ПО;
использование антивирусов;
своевременное обновление баз сигнатур антивирусов;
использование доступных в свободном доступе средств защиты от вредоносных программ, шифрующих данные на компьютере: RansomFree, CryptoDrop, AntiRansomware tool for business, Cryptostalker и др. Установка средств защиты данного класса применима, если на компьютере хранятся критичные незарезервированные данные и не установлены надежные средства антивирусной защиты.

Уязвимость мобильных устройств (Android, iOS)

Меры защиты для мобильных устройств:

Для корпоративного сектора:
- использование систем класса Mobile Device Management (MDM), обеспечивающих контроль установки обновлений системного ПО, установки приложений, контроль наличия прав суперпользователя;
- для защиты корпоративных данных на мобильных устройствах пользователя — системы класса Mobile Information Management (MIM), обеспечивающих хранение корпоративных данных в зашифрованном контейнере, изолированном от операционной системы мобильного устройства;
- использование систем класса Mobile Threat Prevention, обеспечивающих контроль разрешений, предоставленных приложениям, поведенческий анализ мобильных приложений.
Для конечных пользователей:
- использование официальных магазинов для установки приложений;
- своевременное обновление системного ПО;
- исключение перехода по недоверенным ресурсам, установки недоверенных приложений и сервисов.

Выводы

Вирусы-вымогатели и шифровальщики являются частным актуальным примером развития киберпреступности в современном обществе. Простота реализации и низкая стоимость затрат организации кибератак (Ransomware, DDoS, атаки на веб-приложения и пр.) приводит к увеличению числа киберпреступников при одновременном снижении среднего уровня технической осведомленности атакующего, в связи с этим резко увеличивается вероятность реализации угроз безопасности информации в корпоративном секторе.

Мир захлестнула глобальная атака программы-вымогателя WanaCrypt0r 2.0 (WannaCry). Наибольший удар пришелся на Россию. Подробнее о том, как защититься от вируса.

Обновлено в 4:23 CET: Мы зафиксировали более 213 000 случаев атак вируса-вымогателя WanaCrypt0r 2.0 в 112 странах мира.

В пятницу 12 мая мы заметили сильнейший рост числа атак программы-вымогателя WanaCrypt0r 2.0 (так называемой WannaCry), которая поразила компьютеры пользователей и нарушила работу организаций по всему миру. По нашим данным, вирус начал распространятся с 8 утра по центральноевропейскому времени. Только за первый день мы насчитали более 57 тысяч попыток атак. Основной удар пришелся на Россию, Украину и Тайвань.

Первые данные СМИ о заражении пришли из Англии, где вирус парализовал работу больниц, а также Португалии и Испании, где вредоносное ПО проникло в телеком-компании. Французский Renault после кибератаки остановил свои заводы.

В России в числе прочего атаке подверглись Yota, Билайн и Мегафон, а также структуры МЧС, РЖД, МВД и ГИБДД. В некоторых регионах наблюдаются случаи отмены экзаменов по вождению и задержки в выдаче водительских удостоверений. Случаи заражения фиксируются в прямом эфире на интерактивной карте. Судя по ней вирус активно распространяется и в азиатских регионах.

В выходные энтузиастам удалось приостановить эпидемию, благодаря регистрации доменного имени iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Выяснилось, что при атаке вирус обращался к этому адресу. В коде вымогателя указывалось, что если обращение к этому домену прошло успешно (то есть, если он зарегистрирован), то действие следует прекратить.

Однако, создатели вируса обошли эту защиту, выпустив новую версию, в которой отсутствует код для обращения к данному домену.

Что такое WannaCry?

WannaCry — программа-вымогатель, которая шифрует все файлы на компьютере, присваивая им расширения .WNCRY. В итоге все файлы оказываются заблокированы, а для возвращения доступа к информации, вирус требует выкуп в размере 300$ за ключ расшифровки. Как правило, жертвы видят одно из следующих сообщений.

Первая версия вируса была обнаружена нами еще в феврале. Сейчас программа-вымогатель, заботливо переведенная на 28 языков, распространяется огромными темпами. Уже к воскресенью вирус был обнаружен в 104 странах, большая часть атак (57%) пришлась на Россию.

Опасность WanaCryptor состоит в том, что заразиться им можно, не выполняя никаких потенциально опасных действий. Если вы не открываете подозрительные вложения, не переходите неизвестным ссылкам, не устанавливаете пиратское ПО или не предоставляете те либо иные права сторонним файлам, вы все равно рискуете стать жертвой этого вируса.

Как распространяется WannaCry?

Глобальное распространение осуществляется при помощи эксплойта EternalBlue (MS17-010), использующего уязвимость в службе SMB операционной системы Windows.

Данный эксплойт был разработан Агентством национальной безопасности США и месяцем ранее опубликован в открытом доступе группировкой ShadowBrokers, которая украла его у хакеров из Equation Group, подозревающихся в связях с АНБ.

После инфицирования компьютера вирус распространяется на другие уязвимые устройства в локальной сети, тем самым представляя огромную опасность для крупных предприятий.

Windows устранила уязвимость в службе SMB еще 14 марта этого года, выпустив обновление безопасности для актуальных ОС. А в выходные корпорация экстренно выпустила патчи даже для Windows XP, которая не поддерживается компаний уже около трех лет. Если обновление безопасности установлено, удаленно получить доступ к компьютеру и установить вирус не получится, однако, патч не спасет вас от программы-вымогателя, если вы сами запустите ее.

Как не стать жертвой вируса-вымогателя WannaCry?

Убедитесь, что у вас установлены последние обновления безопасности Windows, которые закрывают уязвимости, используемые вирусом.

Не открывайте подозрительные вложения электронной почты и ссылки в Интернете. Распространители программ-вымогателей часто используют методы социальной инженерии, чтобы обманом заставлять людей скачивать вирусы.

Установите качественное антивирусное решение. Антивирус Avast успешно обнаруживает и блокирует все известные виды вируса WanaCrypt0r. Наш Экран поведения анализирует нетипичное поведение всех программ на предмет скрытого вредоносного кода. А функция CyberCapture способна обнаруживать еще новые неизвестные киберугрозы.

Сразу же отключайте любое зараженное устройство. Не забудьте вынуть кабели для подключения к Интернету и выключить Wi-Fi: подобные типы вредоносного ПО не упускают возможностей для распространения и по локальной сети. Не дайте злоумышленникам шанс найти и заразить остальные устройства.

Регулярно выполняйте правильное резервное копирование своих данных. Если у вас будет возможность восстановить данные из резервных копий, ущерб от шифрования окажется не столь велик. Храните резервные копии данных удаленно, иначе они могут также быть заблокированы вирусом.

Следите за нашими новостями в социальных сетях ВКонтакте, Одноклассники, Facebook и Twitter.

Читайте также: