# Как понять, что шифровальщик шифрует ваши файлы | Rain Cleaner > Признаки, которые появляются до записки о выкупе: исчезающие теневые копии, файлы без сигнатуры формата, скачок энтропии, BitLocker, включающийся сам. И что делать в первую минуту. - Product: Rain Cleaner 2.7.1 — Чистит, объясняет, ничего не скрывает. - Publisher: T. Vasilev - Platform: Windows 10, Windows 11, Windows Server - Price: 0 EUR (Pro not on sale yet) - Download: https://raincleaner.eu/download · Portable: https://raincleaner.eu/download/portable - Canonical: https://raincleaner.eu/ru/guides/ransomware-warning-signs ## Как понять, что шифровальщик шифрует ваши файлы Когда записка о выкупе уже на рабочем столе, работа закончена. Полезные признаки приходят раньше, и большинство видно без специальных инструментов. ### Ранние признаки в том порядке, в каком они обычно приходят Шифрование шумное, если знать, что слушать. Прежде чем что-то будет объявлено, машина делает несколько вещей, каждая из которых по отдельности необычна, а вместе они не оставляют сомнений. Одна такая вещь может иметь невинное объяснение. Программа резервного копирования трогает много файлов. Установщик выполняет закодированную команду. Две или три в одну и ту же минуту невинного объяснения уже не имеют. - Удаляются теневые копии и каталог резервных копий — это шаг, который убирает ваш путь назад. - Диск сильно работает, хотя ни одна открытая программа этого не объясняет. - Файлы сохраняют имена, но больше не открываются, или получают невиданное расширение. - В нескольких папках сразу появляется текстовый файл с одинаковым именем. - BitLocker внезапно хочет зашифровать диск, который вы шифровать не просили. ### Почему зашифрованный файл перестаёт быть похожим на себя Почти каждый формат начинается с фиксированной сигнатуры: документ Word — с PK, PDF — с %PDF, PNG — со своих восьми байтов. Шифрование заменяет файл целиком, и сигнатура уходит вместе с ним. К этому прилагается вторая мера. Случайность в файле можно измерить, и обычное содержимое даёт низкие значения: сплошной текст держится около 4,2 бита на байт, а уже сжатые форматы вроде JPEG или ZIP — между 5 и 7. Зашифрованное лежит выше 7,5, потому что ровно для этого шифрование и нужно. По отдельности ни одна мера не значит многого: ZIP законно высок, а битый файл законно без заголовка. Файл, потерявший сигнатуру и набравший случайность, был переписан. ### Что делать в первую минуту Здесь порядок важнее скорости, а первый порыв большинства людей — открывать файлы, чтобы оценить масштаб, — неверный. Не платите, пока не поговорите с тем, кто вёл такой случай. Не переустанавливайте Windows поверх диска: это уничтожает следы, а иногда и единственную копию ключевого материала. - Отключите сеть: кабель вон, Wi-Fi выключен. Общие диски превращают одну машину в десять. - Не перезагружайтесь. Некоторые ключи живут только в памяти, и перезагрузка их выбрасывает. - Сфотографируйте телефоном записку о выкупе и расширение: опознание зависит от обоих. - Оставьте зашифрованные файлы на месте. Для части семейств есть бесплатные дешифраторы, и им нужны оригиналы. ### Что честно может сделать программа в пользовательском режиме Здесь маркетинг безопасности обычно перестаёт быть правдой, поэтому граница названа прямо. Программа без драйвера в ядре не может встать между другой программой и диском. Стеной она быть не может. Она может быть натянутой проволокой и свидетелем. Rain Cleaner кладёт файлы-приманки в папки, которые имеют значение, — по три на папку, с именами, при которых одна оказывается в начале любого алфавитного перечисления, другая в середине, третья в конце, потому что программа, шифрующая папку, обходит её по порядку. Увиденное оценивается по шкале, где форма команды может поднять тревогу, но остановить программу может только совершённое действие: удалённые теневые копии, переписанная приманка, убитая защитная служба. И ведётся журнал, где каждая строка несёт хеш предыдущей, так что удалённая строка оставляет видимую дыру вместо чистого ухода. ### Вариант с BitLocker, которого никто не ждёт Некоторые атаки не приносят своего шифрования вовсе. Они включают BitLocker с ключом, которого вы никогда не увидите, убирают ваш и уходят. Ваши данные зашифрованы функцией Microsoft, работающей ровно так, как задумано. Windows это записывает: событие 773, когда защитник приостановлен, и 776, когда он удалён. Если вы никогда не настраивали BitLocker, любое из двух в журнале событий стоит немедленного взгляда. ### Короткие вопросы **Разве антивирус это не поймает?** Часто поймает, и он должен быть первой линией. Но семейства, о которых говорят в 2026 году, приходят с подписанным, но уязвимым драйвером именно для того, чтобы выключить защиту снизу. Поэтому второй, независимый свидетель имеет ценность. **Разве приманки не легко обойти?** Для атакующего, знающего точные имена, — да. Поэтому размещение важнее секретности: тот, кто обходит папку по порядку, встречает приманку среди первых файлов, что бы он ни собирался делать. **Можно ли вернуть файлы, не платя?** Иногда. Проверьте, уцелели ли теневые копии, поищите дешифратор для этого семейства в проекте No More Ransom и проверьте резервную копию, которая не была подключена в тот момент. Зашифрованные файлы в любом случае сохраните. --- Other languages: [English](https://raincleaner.eu/guides/ransomware-warning-signs) · [Български](https://raincleaner.eu/bg/guides/ransomware-warning-signs) · [Deutsch](https://raincleaner.eu/de/guides/ransomware-warning-signs) · [Español](https://raincleaner.eu/es/guides/ransomware-warning-signs) · [Русский](https://raincleaner.eu/ru/guides/ransomware-warning-signs) · [Türkçe](https://raincleaner.eu/tr/guides/ransomware-warning-signs)