Віруси-шифрувальники (Virus-Encoder, Trojan-Encoder) з’явилися ще 2005 року разом із вірусами-вимагачами. Зараз криптовіруси мають більш якісний код, серйозніші і складніші методи роботи і в цілому становлять велику небезпеку, ніж раніше. Потрапивши в систему, вони зашифровують всі файли користувача або їх частину, вимагаючи викуп за ключ розшифрування або спеціальну програму-декриптор. Багато творців шифрувальників використовують для оплати біткойни, щоб уникнути відстеження та виявлення. У 2016 році було помічено величезний сплеск активності таких інфекцій.
Віруси-шифрувальники: класифікація
Оскільки шифрувальники відносяться до шкідливих програм, їм справедливі самі типові класифікаційні підстави, як і інших зразків небезпечного коду. Наприклад, можна поділяти їх за способом поширення: через фішингові або спам-розсилки, завантаження заражених файлів, використання файлообмінних сервісів і т.д. Перетворивши файли користувача, вірус-шифрувальник (virus-encoder) зазвичай залишає інструкцію: у вигляді тла робочого стола, як текстовий документ на робочому столі або в кожній папці із зашифрованими файлами.
Передбачається, що після виплати викупу користувач отримає докладні інструкції з розшифровування файлів або спеціальну утиліту зворотного криптографічного перетворення. У середньому шифрувальники вимагають за розблокування 300 доларів США, але не всі дійсно відновлюють файли після оплати. Наприклад, деякі зразки мають помилки в криптопроцедурах, які роблять неможливим розшифрування, або взагалі не містять відповідних функцій. Найбільше шифрувальників написано для операційних систем Windows та Android, хоча існують різновиди і для macOS чи Linux.
Об’єкт впливу вірусів-шифрувальників
Зазвичай цілями цих специфічних шифрувальників є невеликі організації, але були випадки атак і на великі компанії. Тому створення шифрувальників — дуже вигідна справа. Так, творці CryptoLocker у період із жовтня по грудень 2013 року заробили близько 27 мільйонів доларів.
Тим не менш, об’єктом впливу можуть бути персональні комп’ютери звичайних користувачів. У зв’язку з цим корисно пам’ятати, що зараження криптовірусом простіше попередити, ніж вилікувати:
- Виконайте резервні копії важливих файлів. Бажано розміщувати їх у хмарному сховищі або зовнішньому накопичувачі, який зазвичай відключений від комп’ютера.
- Не відкривайте підозрілі файли та посилання в електронних листах.
- Завантажуйте програми тільки з сайту розробника або з перевірених ресурсів.
- Встановіть на комп’ютер хороший антивірус. Деякі антивірусні рішення пропонують проактивний захист від шифрувальників: наприклад, функція захисту папок з важливими даними від будь-яких змін на рівні файлової системи нещодавно з’явилася у вбудованому антивірусі Windows Defender.
Якщо ви все-таки заразилися шифрувальником, вам може допомогти лише одне — декриптор, тобто. спеціальний засіб розшифрування. У деяких випадках його можна знайти (і безкоштовно завантажити) на сайтах виробників антивірусів.
Джерело загрози
Віруси-шифрувальники поширюються так само, як і будь-які інші програми-вимагачі. Методи та способи їх доставки жертві поступово ускладнюються: зловмисники маскують їх під офіційний додаток банку, нову версію відомого програмного забезпечення (зафіксовані навіть випадки, коли шифрувальники встановлювалися під виглядом оновлення Adobe Flash Player або Oracle Java). Однак найпопулярнішим способом поширення шифрувальників залишається спам.
Аналіз ризику
У 2016 році стався сплеск активності шифрувальників, відлуння якого помітні досі. Сучасний рівень розвитку технологій дозволяє легко зашифрувати файли за допомогою надстійких алгоритмів, розрахунковий час злому яких перевищує час життя Всесвіту. У ряді випадків виробникам антивірусного програмного забезпечення вдається знайти вади, що дозволяють створити декриптор, але іноді відновлення даних виявляється взагалі неможливим. Тому ризик втрати важливої та цінної інформації при атаці шифрувальника дуже великий.
Як мовилося раніше, основними цілями криптовірусів є підприємства міста і організації: вони платоспроможні, ніж пересічний користувач. Тому у разі масштабної вірусної атаки поширіть серед співробітників інформацію про неї та розкажіть їм про ту роль, яку вони відіграють у захисті цифрових активів компанії. Поінформованість колег є вкрай важливою. Насамперед повідомте співробітникам, що вони за жодних обставин не повинні відкривати файли або переходити за посиланнями, якщо не знають джерела. У разі сумнівів їм слід звертатися до ІТ-відділу.
У свою чергу ІТ-фахівці можуть використовувати програмні комплекси, що дозволяють створити віртуальну клієнтську програму електронної пошти. Це забезпечить захист від зараження через посилання в повідомленнях або вкладеннях. Використовуючи такі програми в масштабах компанії, можна гарантувати наявність усіх необхідних налаштувань безпеки. Використання антивіруса, технології DLP (запобігання витоку інформації), «білих» списків та інших захисних рішень спільно з віртуальною клієнтською програмою електронної пошти створить додаткові бар’єри на шляху інфекції.
Мобільні пристрої є першочерговою метою для шкідливих програм. Використання технології контейнеризації (containerization) дозволяє запобігти атакам на мобільні пристрої за рахунок централізації операцій з управління, захисту та контролю для додатків та даних, не торкаючись особистої інформації користувача. Системи віртуалізації для мобільних пристроїв можуть блокувати гаджети співробітників, що не відповідають корпоративним вимогам, виконувати перевірку відсутності злому («джейлбрейка») для встановлення піратських або неперевірених додатків.
Важливо і необхідно виконувати резервне копіювання всієї цінної інформації за допомогою сервісів синхронізації та обміну файлами: навіть якщо ви заплатили зловмиснику викуп, у вас немає жодних гарантій, що дані будуть відновлені. Подібні послуги зберігають кілька версій одного файлу, тому компанії-клієнти можуть відновити доступ до потрібної інформації, не погоджуючись на умови зловмисників.