Ransomware на компьютере: что делать, если файлы зашифрованы

Первые минуты: изолировать, но не уничтожать следы

Если заметили массовое изменение расширений файлов, невозможность открыть документы или записку с требованием выкупа, прекратите обычную работу. Отключите Wi‑Fi и Ethernet, отсоедините внешние диски и флешки; если компьютер подключён к общей сети организации, сообщите администратору до попыток самостоятельной очистки. Не удаляйте сразу записку вымогателя и не переименовывайте сотни файлов: название семейства, расширение и текст требования могут понадобиться специалисту для идентификации. Сделайте фотографии экрана телефоном и запишите пример имён затронутых файлов. Если шифрование явно продолжается прямо сейчас, приоритет — остановить дальнейшую запись и распространение, а не сохранять открытые приложения.

Важно: Если в той же сети есть NAS или общие папки, временно закройте к ним доступ с заражённого компьютера и предупредите владельцев других устройств.

Безопасный порядок действий после обнаружения ransomware

1. Изолируйте компьютер от сети и отключите внешние накопители, которые не нужны для расследования.
2. Зафиксируйте текст записки, расширение зашифрованных файлов, пример имён и приблизительное время начала проблемы.
3. Не подключайте единственную резервную копию к заражённой системе. Сначала определите способ очистки или подготовьте чистую среду восстановления.
4. Запустите проверку надёжным защитным средством. Microsoft рекомендует полностью очистить ПК до попытки восстановления файлов.
5. После очистки и обновления системы меняйте пароли важных учётных записей с доверенного устройства, особенно если источник заражения неизвестен.
6. Восстанавливайте данные только из копии, созданной до атаки и проверенной на отсутствие вредоносных файлов.

Предупреждение: Не форматируйте единственный диск с данными до решения, нужна ли профессиональная попытка восстановления или идентификация вымогателя.

Что делать с разными копиями данных

• Офлайн-копия была отключена до атаки. ниже. не подключать до очистки ПК, затем проверить и восстановить
• Внешний диск был подключён во время атаки. высокий. считать потенциально затронутым и проверять отдельно
• Облачная папка синхронизировалась. зашифрованные версии могли синхронизироваться. проверить историю версий и функции восстановления сервиса
• Резервной копии нет. потеря данных. не экспериментировать на оригинале, оценить помощь специалиста и наличие известного дешифратора

Совет: Сначала восстановите один небольшой набор файлов и убедитесь, что система остаётся чистой; только затем возвращайте весь архив.

Почему выплата выкупа не является способом восстановления

Microsoft отдельно предупреждает, что оплата не гарантирует возврат доступа к файлам. Даже если злоумышленник пришлёт ключ, дешифратор может работать с ошибками, а украденные данные могут остаться у преступников. Кроме того, требование оплаты не отвечает на главный вопрос — каким способом вредонос попал в систему и закрыта ли эта точка входа. Поэтому технический план должен включать очистку, обновление системы, проверку учётных записей и резервных копий. В корпоративной среде решение о взаимодействии с инцидентом принимают ответственные за безопасность и руководство; домашнему пользователю разумнее сосредоточиться на сохранении оригиналов, официальном сообщении об инциденте там, где это требуется, и безопасном восстановлении.

Что проверить перед возвратом компьютера в сеть

• операционная система и браузеры обновлены;
• защитное средство активно и завершило проверку;
• неизвестные программы автозапуска и расширения удалены;
• пароли важных аккаунтов изменены с доверенного устройства, если были основания считать их скомпрометированными;
• резервная копия отделена от рабочей системы и протестировано восстановление;
• общие сетевые ресурсы проверены на неожиданные зашифрованные файлы.

Дешифратор: когда искать и почему нельзя запускать первый попавшийся

Для некоторых известных семейств вымогателей действительно существуют инструменты расшифровки, но универсального дешифратора нет. Сначала нужно идентифицировать семейство по проверяемым признакам, а инструмент брать у известного поставщика защиты или профильного проекта, а не из комментария под случайным видео. Запуск неизвестной программы на пострадавшем диске может перезаписать данные, установить ещё одно вредоносное ПО или окончательно испортить структуру файлов. Если информация критична, сделайте образ носителя или обратитесь к специалисту до экспериментов. Отдельно храните несколько зашифрованных файлов и записку: они могут пригодиться позже, если для данного семейства появится рабочий способ восстановления.

Как сохранить шанс на восстановление данных, если копии нет

Когда резервной копии нет, главное — не ухудшить состояние оригинальных носителей бессистемными экспериментами. Не переименовывайте зашифрованные файлы пакетно и не запускайте десятки неизвестных «repair» утилит: часть инструментов может перезаписать метаданные или создать новые файлы поверх удалённых областей. Если данные ценны, зафиксируйте текущее состояние, прекратите обычную запись на диск и обсудите с профильным специалистом создание побитового образа для работы с копией. Даже если дешифратор сегодня отсутствует, сохранение исходных зашифрованных файлов может иметь смысл — ключи или методы для отдельных семейств иногда становятся доступными позже. При этом не обещайте себе восстановление: техническая возможность зависит от конкретного вымогателя, качества шифрования и наличия ключей.

Что изменить после восстановления, чтобы не повторить атаку

Возврат файлов завершает только аварийную часть инцидента. Разберите вероятный путь проникновения: неожиданное вложение, пиратский установщик, уязвимый удалённый доступ, украденная учётная запись или давно не обновлявшаяся система требуют разных исправлений. Настройте резервные копии так, чтобы хотя бы одна версия не была постоянно доступна на запись с рабочего компьютера; иначе следующая атака может зашифровать и оригинал, и «бэкап». Включите обновления, минимизируйте права администратора для повседневной работы и проверьте защиту важных папок, если она поддерживается вашей системой. Полезный итог инцидента — не только чистый компьютер, но и проверенный сценарий восстановления, который вы реально можете выполнить.

Домашний компьютер и рабочая сеть: где порядок действий различается

На домашнем ПК пользователь часто может самостоятельно отключить сеть, зафиксировать признаки атаки, выполнить полную проверку Windows Security и затем восстановить данные из чистой копии. В рабочей среде та же инициатива иногда мешает расследованию: удаление файлов, переустановка системы или массовая смена журналов до уведомления ИТ-службы может уничтожить полезные следы. Поэтому при корпоративном устройстве первым после изоляции должен быть внутренний канал реагирования, если он существует. В обоих случаях не подключайте к заражённой машине единственную резервную копию ради проверки «что ещё цело». Microsoft советует полностью очистить заражённый ПК до восстановления файлов и отдельно подчёркивает, что выплата выкупа не гарантирует возврат доступа. После очистки полезно восстановить сначала ограниченный набор данных и убедиться, что система остаётся стабильной, а затем возвращать основной архив. Если облачная папка синхронизировалась во время атаки, проверьте историю версий и функции восстановления самого сервиса: синхронизация может распространить зашифрованные версии, но сервис иногда хранит предыдущие. При отсутствии копии не обещайте себе результат от любого найденного «дешифратора»; сначала идентифицируйте семейство и сохраняйте оригинальные зашифрованные файлы неизменными. После возвращения в работу нужно закрыть вероятный путь заражения: обновить систему и приложения, проверить удалённый доступ, расширения браузера, автозапуск и учётные записи. Иначе восстановление данных вернёт файлы, но оставит причину инцидента. Практический критерий завершения — не просто «документы снова открываются», а чистая обновлённая система, проверенная резервная копия и понятный источник или хотя бы закрытые наиболее вероятные точки проникновения. Для домашнего пользователя полезно заранее записать, где лежит резервная копия и какой датой она создана: это предотвращает случайное восстановление версии, уже затронутой атакой. Если вы не уверены, чист ли источник данных, проверяйте копию в изолированной среде или с помощью специалиста, а не на только что восстановленной рабочей системе.

Что учитывать

Microsoft отдельно предупреждает, что оплата не гарантирует возврат доступа к файлам. Даже если злоумышленник пришлёт ключ, дешифратор может работать с ошибками, а украденные данные могут остаться у преступников. Кроме того, требование оплаты не отвечает на главный вопрос — каким способом вредонос попал в систему и закрыта ли эта точка входа. Поэтому технический план должен включать очистку, обновление системы, проверку учётных записей и резервных копий. В корпоративной среде решение о…

Источники и проверка

Фактическая часть сверена по первичным источникам (в т.ч. Protect your PC from ransomware). Пример и формулировки — редакция N1RO на 2026-09-20.

• Protect your PC from ransomware