Как понять, что шифровальщик шифрует ваши файлы

Ранние признаки в том порядке, в каком они обычно приходят

Шифрование шумное, если знать, что слушать. Прежде чем что-то будет объявлено, машина делает несколько вещей, каждая из которых по отдельности необычна, а вместе они не оставляют сомнений.

Одна такая вещь может иметь невинное объяснение. Программа резервного копирования трогает много файлов. Установщик выполняет закодированную команду. Две или три в одну и ту же минуту невинного объяснения уже не имеют.

• Удаляются теневые копии и каталог резервных копий — это шаг, который убирает ваш путь назад.
• Диск сильно работает, хотя ни одна открытая программа этого не объясняет.
• Файлы сохраняют имена, но больше не открываются, или получают невиданное расширение.
• В нескольких папках сразу появляется текстовый файл с одинаковым именем.
• BitLocker внезапно хочет зашифровать диск, который вы шифровать не просили.

Почему зашифрованный файл перестаёт быть похожим на себя

Почти каждый формат начинается с фиксированной сигнатуры: документ Word — с PK, PDF — с %PDF, PNG — со своих восьми байтов. Шифрование заменяет файл целиком, и сигнатура уходит вместе с ним.

К этому прилагается вторая мера. Случайность в файле можно измерить, и обычное содержимое даёт низкие значения: сплошной текст держится около 4,2 бита на байт, а уже сжатые форматы вроде JPEG или ZIP — между 5 и 7. Зашифрованное лежит выше 7,5, потому что ровно для этого шифрование и нужно. По отдельности ни одна мера не значит многого: ZIP законно высок, а битый файл законно без заголовка. Файл, потерявший сигнатуру и набравший случайность, был переписан.

Что делать в первую минуту

Здесь порядок важнее скорости, а первый порыв большинства людей — открывать файлы, чтобы оценить масштаб, — неверный.

Не платите, пока не поговорите с тем, кто вёл такой случай. Не переустанавливайте Windows поверх диска: это уничтожает следы, а иногда и единственную копию ключевого материала.

• Отключите сеть: кабель вон, Wi-Fi выключен. Общие диски превращают одну машину в десять.
• Не перезагружайтесь. Некоторые ключи живут только в памяти, и перезагрузка их выбрасывает.
• Сфотографируйте телефоном записку о выкупе и расширение: опознание зависит от обоих.
• Оставьте зашифрованные файлы на месте. Для части семейств есть бесплатные дешифраторы, и им нужны оригиналы.

Что честно может сделать программа в пользовательском режиме

Здесь маркетинг безопасности обычно перестаёт быть правдой, поэтому граница названа прямо. Программа без драйвера в ядре не может встать между другой программой и диском. Стеной она быть не может. Она может быть натянутой проволокой и свидетелем.

Rain Cleaner кладёт файлы-приманки в папки, которые имеют значение, — по три на папку, с именами, при которых одна оказывается в начале любого алфавитного перечисления, другая в середине, третья в конце, потому что программа, шифрующая папку, обходит её по порядку. Увиденное оценивается по шкале, где форма команды может поднять тревогу, но остановить программу может только совершённое действие: удалённые теневые копии, переписанная приманка, убитая защитная служба. И ведётся журнал, где каждая строка несёт хеш предыдущей, так что удалённая строка оставляет видимую дыру вместо чистого ухода.

Вариант с BitLocker, которого никто не ждёт

Некоторые атаки не приносят своего шифрования вовсе. Они включают BitLocker с ключом, которого вы никогда не увидите, убирают ваш и уходят. Ваши данные зашифрованы функцией Microsoft, работающей ровно так, как задумано.

Windows это записывает: событие 773, когда защитник приостановлен, и 776, когда он удалён. Если вы никогда не настраивали BitLocker, любое из двух в журнале событий стоит немедленного взгляда.