Ранние признаки в том порядке, в каком они обычно приходят
Шифрование шумное, если знать, что слушать. Прежде чем что-то будет объявлено, машина делает несколько вещей, каждая из которых по отдельности необычна, а вместе они не оставляют сомнений.
Одна такая вещь может иметь невинное объяснение. Программа резервного копирования трогает много файлов. Установщик выполняет закодированную команду. Две или три в одну и ту же минуту невинного объяснения уже не имеют.
- Удаляются теневые копии и каталог резервных копий — это шаг, который убирает ваш путь назад.
- Диск сильно работает, хотя ни одна открытая программа этого не объясняет.
- Файлы сохраняют имена, но больше не открываются, или получают невиданное расширение.
- В нескольких папках сразу появляется текстовый файл с одинаковым именем.
- BitLocker внезапно хочет зашифровать диск, который вы шифровать не просили.
Почему зашифрованный файл перестаёт быть похожим на себя
Почти каждый формат начинается с фиксированной сигнатуры: документ Word — с PK, PDF — с %PDF, PNG — со своих восьми байтов. Шифрование заменяет файл целиком, и сигнатура уходит вместе с ним.
К этому прилагается вторая мера. Случайность в файле можно измерить, и обычное содержимое даёт низкие значения: сплошной текст держится около 4,2 бита на байт, а уже сжатые форматы вроде JPEG или ZIP — между 5 и 7. Зашифрованное лежит выше 7,5, потому что ровно для этого шифрование и нужно. По отдельности ни одна мера не значит многого: ZIP законно высок, а битый файл законно без заголовка. Файл, потерявший сигнатуру и набравший случайность, был переписан.
Что делать в первую минуту
Здесь порядок важнее скорости, а первый порыв большинства людей — открывать файлы, чтобы оценить масштаб, — неверный.
Не платите, пока не поговорите с тем, кто вёл такой случай. Не переустанавливайте Windows поверх диска: это уничтожает следы, а иногда и единственную копию ключевого материала.
- Отключите сеть: кабель вон, Wi-Fi выключен. Общие диски превращают одну машину в десять.
- Не перезагружайтесь. Некоторые ключи живут только в памяти, и перезагрузка их выбрасывает.
- Сфотографируйте телефоном записку о выкупе и расширение: опознание зависит от обоих.
- Оставьте зашифрованные файлы на месте. Для части семейств есть бесплатные дешифраторы, и им нужны оригиналы.
Что честно может сделать программа в пользовательском режиме
Здесь маркетинг безопасности обычно перестаёт быть правдой, поэтому граница названа прямо. Программа без драйвера в ядре не может встать между другой программой и диском. Стеной она быть не может. Она может быть натянутой проволокой и свидетелем.
Rain Cleaner кладёт файлы-приманки в папки, которые имеют значение, — по три на папку, с именами, при которых одна оказывается в начале любого алфавитного перечисления, другая в середине, третья в конце, потому что программа, шифрующая папку, обходит её по порядку. Увиденное оценивается по шкале, где форма команды может поднять тревогу, но остановить программу может только совершённое действие: удалённые теневые копии, переписанная приманка, убитая защитная служба. И ведётся журнал, где каждая строка несёт хеш предыдущей, так что удалённая строка оставляет видимую дыру вместо чистого ухода.
Вариант с BitLocker, которого никто не ждёт
Некоторые атаки не приносят своего шифрования вовсе. Они включают BitLocker с ключом, которого вы никогда не увидите, убирают ваш и уходят. Ваши данные зашифрованы функцией Microsoft, работающей ровно так, как задумано.
Windows это записывает: событие 773, когда защитник приостановлен, и 776, когда он удалён. Если вы никогда не настраивали BitLocker, любое из двух в журнале событий стоит немедленного взгляда.