Защита от программ-вымогателей: комплексное руководство для пользователей Windows и IT-администраторов

Программы-вымогатели, или шифровальщики (ransomware), представляют собой постоянно развивающуюся угрозу в киберпространстве. Такие известные образцы, как CryptoLocker, WannaCry, DarkSide, Conti, MedusaLocker и Qilin, демонстрируют масштабы проблемы, которая не теряет актуальности. Изначально шифровальщики требовали выкуп за дешифровку файлов, но современные группировки часто используют тактику скрытного сбора конфиденциальных данных компаний, угрожая их публикацией в случае неуплаты.

Хотя тактики меняются, как обычные пользователи, так и крупные организации по-прежнему сталкиваются с риском традиционных атак. В данной статье будут рассмотрены эффективные методы защиты в операционных системах Windows 11 и Windows 10, включая использование встроенных антивирусных инструментов.

Важно отметить, что статья предполагает наличие базовых мер защиты от вредоносного ПО, таких как использование антивирусного программного обеспечения и бдительность при работе с вложениями и ссылками в подозрительных электронных письмах. Приведенная информация актуальна для Windows 11 версии 25H2 и Windows 10 версии 22H2; для более ранних выпусков некоторые детали могут отличаться.

Использование контролируемого доступа к папкам

Microsoft уделяет серьезное внимание защите от программ-вымогателей, интегрировав простой в настройке инструмент в Windows 10 и 11 — «Контролируемый доступ к папкам». Эта функция обеспечивает безопасность, разрешая доступ к файлам только проверенным и надежным приложениям, блокируя тем самым попытки неизвестных программ или известных угроз шифровальщиков.

По умолчанию эта функция отключена. Для активации защиты от программ-вымогателей ее необходимо включить вручную. Пользователи могут настроить работу функции, добавляя новые приложения в «белый список» разрешенных программ и расширяя список защищаемых папок помимо тех, что включены по умолчанию.

Как включить контролируемый доступ к папкам:

• В Windows 11: Откройте меню «Пуск» > «Параметры», затем выберите «Конфиденциальность и защита» > «Безопасность Windows».
• В Windows 10: Откройте меню «Пуск» > «Параметры», затем выберите «Обновление и безопасность» > «Безопасность Windows».

В окне «Безопасность Windows» выберите «Защита от вирусов и угроз». Прокрутите экран вниз до раздела «Защита от программ-вымогателей» и нажмите «Управление защитой от программ-вымогателей». На следующем экране, в разделе «Контролируемый доступ к папкам», переведите переключатель в положение «Вкл.». Подтвердите изменение, нажав «Да» в появившемся запросе.

После активации функции важно убедиться, что все необходимые папки защищены. По умолчанию система защищает системные папки Windows (и их подпапки), такие как «Документы», «Рабочий стол», «Музыка», «Изображения» и «Видео», расположенные по пути C:\Users\ИмяПользователя\Документы. Однако другие папки могут оставаться уязвимыми.

Добавление защищаемых папок:

Для добавления собственных папок в список защищаемых нажмите на ссылку «Защищенные папки», которая появится после включения функции. Подтвердите изменение, нажав «Да». Нажмите кнопку «Добавить защищенную папку», выберите нужную папку и нажмите «Выбрать папку». Помните, что при добавлении папки все ее подпапки также будут защищены.

Для удаления папки из списка защищенных вернитесь на экран «Защищенные папки», выберите папку и нажмите «Удалить». Системные папки Windows, защищенные по умолчанию, удалить нельзя.

Добавление разрешенных приложений:

Microsoft определяет, каким приложениям разрешен доступ к защищенным папкам, включая собственные приложения Microsoft Office. Полный список разрешенных приложений не публикуется, поэтому рекомендуется самостоятельно разрешить доступ доверенным программам. Для этого вернитесь на экран, где был включен контролируемый доступ к папкам, и нажмите «Разрешить приложению работать через контролируемый доступ к папкам». Подтвердите действие. Нажмите «Добавить разрешенное приложение», найдите исполняемый файл нужной программы, нажмите «Открыть» и подтвердите добавление. Удаление приложения выполняется аналогично.

Совет: Если неясно, где находятся исполняемые файлы программ, ищите папки с их названиями в каталогах «Program Files» или «Program Files (x86)» (в русской версии ОС это обычно «Program Files» и «Program Files (x86)») в корне диска Windows.

Примечание: В Windows 11 папки OneDrive автоматически защищаются контролируемым доступом. В Windows 10 защита файлов OneDrive может потребовать дополнительной настройки, о чем будет уведомление в разделе «Восстановление данных после программы-вымогателя» на странице «Защита от программ-вымогателей». В этом случае нажмите кнопку «Настроить OneDrive».

Правильное резервное копирование данных

Основная цель программ-вымогателей — заблокировать доступ к файлам до выплаты выкупа. Поэтому одним из наиболее эффективных способов защиты является регулярное резервное копирование данных. Наличие актуальных копий позволяет восстановить файлы без необходимости платить вымогателям.

Рекомендуется использовать не только локальные диски для резервного копирования, но и надежные облачные хранилища или сервисы. При заражении компьютера шифровальщиком локальный резервный диск, подключенный к ПК, также может быть зашифрован. Облачные резервные копии, как правило, менее уязвимы, но не полностью застрахованы от подобных атак.

Убедитесь, что используемый сервис резервного копирования поддерживает версионирование, то есть сохраняет не только текущую, но и предыдущие версии файлов. Это позволяет восстановить данные из более ранних версий, если текущие были зашифрованы. Большинство популярных облачных сервисов, включая Microsoft OneDrive, Google Drive, Carbonite и Dropbox, предлагают такую функцию. Важно заранее ознакомиться с функцией версионирования выбранного сервиса, чтобы быть готовым к быстрому восстановлению данных в критической ситуации.

Некоторые сервисы, такие как OneDrive и Google Drive, также предлагают функции обнаружения программ-вымогателей. Они уведомляют пользователей о подозрительной активности и предоставляют инструменты для удаления зараженных файлов и восстановления предыдущих версий.

Своевременное обновление ПО

Microsoft регулярно выпускает обновления безопасности для Windows 10 и Windows 11, которые автоматически применяются через Центр обновления Windows. Однако при известии о новой волне программ-вымогателей не стоит ждать автоматического обновления; рекомендуется немедленно проверить и установить доступные патчи для максимально быстрой защиты. Кроме того, важно убедиться, что «Безопасность Windows» — встроенный инструмент антивирусной защиты Microsoft — имеет самые актуальные антивирусные базы.

Как проверить обновления:

• В Windows 10: Перейдите в «Параметры» > «Обновление и безопасность» > «Центр обновления Windows» и нажмите кнопку «Проверить наличие обновлений».
• В Windows 11: Перейдите в «Параметры» > «Центр обновления Windows» и нажмите кнопку «Проверить наличие обновлений».

Если обновления найдены, система установит их. При необходимости перезагрузки она уведомит пользователя.

Помимо Windows, важно следить за обновлением другого программного обеспечения. Убедитесь, что используемая антивирусная программа (если это не «Безопасность Windows») и ее базы данных актуальны. Все остальные приложения на вашем ПК также должны регулярно обновляться. Ознакомьтесь с механизмами обновления каждого ПО и выполняйте их своевременно. Для автоматизации этого процесса можно использовать такие инструменты, как Patch My PC Updater или Software Update Monitor. Для более опытных пользователей командной строки доступен инструмент WinGet.

Отключение макросов в Microsoft Office

Программы-вымогатели могут распространяться через макросы во вложенных файлах Microsoft Office. Для обеспечения безопасности рекомендуется отключить их. В современных версиях Office Microsoft по умолчанию блокирует макросы, загруженные из интернета, однако это не гарантирует их отключение в вашей конкретной версии, в зависимости от даты установки и наличия обновлений.

Для отключения макросов в любом приложении Office перейдите в «Файл» > «Параметры» > «Центр управления безопасностью» > «Параметры центра управления безопасностью» и выберите «Отключить все макросы с уведомлением» или «Отключить все макросы без уведомления». При выборе первого варианта при открытии файла с макросами вы получите предупреждение и сможете включить их только в том случае, если абсолютно уверены в безопасности источника.

Инструменты защиты и смягчения последствий

Большинство антивирусных программ включают встроенные функции защиты от программ-вымогателей. Кроме того, существует ряд специализированных инструментов, нацеленных именно на борьбу с шифровальщиками, как платных, так и бесплатных.

Например, компания Bitdefender предлагает бесплатные инструменты дешифровки, которые могут разблокировать данные, зашифрованные определенными семействами программ-вымогателей, такими как REvil/Sodinokibi, DarkSide, MaMoCrypt, WannaRen и другими. Avast также предоставляет собственный набор бесплатных инструментов дешифровки.

Что IT-специалистам нужно знать о программах-вымогателях и Windows

Многие коммерческие планы Microsoft 365 и Windows, особенно корпоративного уровня, включают инструменты обнаружения и защиты от программ-вымогателей. Дополнительные продвинутые продукты, такие как Microsoft Defender XDR, доступны по отдельным лицензиям.

Даже без этих специализированных инструментов, IT-администраторы могут предпринять множество шагов для защиты систем Windows. Наиболее очевидный: применение последних патчей безопасности не только ко всем ПК в организации, но и ко всем серверам и любому другому оборудованию корпоративного уровня. Также необходимо строго настроить разрешения для приложений, обучать пользователей распознавать фишинговые попытки и, разумеется, надежно резервировать все корпоративные данные.

IT-отделам также следует убедиться, что небезопасный сетевой протокол SMB1 отключен на всех устройствах. Этот 30-летний протокол стал причиной распространения множества атак программ-вымогателей; даже Microsoft рекомендует никогда его не использовать.

Хорошая новость заключается в том, что в Windows 10 версии 1709 (выпущенной в октябре 2017 года) SMB1 был окончательно удален. Его также нет в Windows 11. Однако это касается только ПК с чистой установкой версии 1709 или более поздних. На старых компьютерах, обновленных с более ранних версий Windows, протокол может по-прежнему присутствовать.

В статье поддержки Microsoft «Обнаружение, включение и отключение SMBv1, SMBv2 и SMBv3 в Windows» подробно описано, как отключить этот протокол. Рекомендуется отключить SMB1, но оставить активными SMB2 и SMB3, деактивируя их только для временного устранения неполадок.

Администраторы могут использовать функцию «Контролируемый доступ к папкам» (описанную ранее в статье) для предотвращения шифрования файлов и папок на ПК под управлением Windows 11 или Windows 10 версии 1709 и новее. Для включения этой функции для пользователей в сети, настройки защищаемых папок и предоставления доступа дополнительным приложениям, помимо стандартных настроек Microsoft, можно использовать консоль управления групповыми политиками (Group Policy Management Console), Центр безопасности Windows или PowerShell, как подробно описано в статьях Microsoft «Включение контролируемого доступа к папкам» и «Настройка контролируемого доступа к папкам».

Потенциальная проблема с контролируемым доступом к папкам заключается в том, что он может блокировать доступ к папкам для приложений, которые пользователи обычно используют. Поэтому Microsoft рекомендует сначала использовать режим аудита, чтобы оценить последствия включения функции. Информацию о том, как это сделать, можно найти в документации Microsoft «Оценка защиты от эксплойтов».

Смотрите также:

«Покупать одну и ту же игру каждый год вредно» — создатели Call of Duty: Modern Warfare 4 рассказали о ключевых изменениях геймплея http://stroybud.com/pokupat-odnu-i-tu-zhe-igru-kazhdyiy-god-vredno-sozdateli-call-of-duty-modern-warfare-4-rasskazali-o-klyuchevyih-izmeneniyah-geympleya/.

Интересности на тему: Apple выпустила публичную бета-версию iOS 26.6

Классные советы в статье "Искусственный интеллект опережает защиту: облачные системы безопасности под угрозой" здесь.

Как упоминалось выше, макросы Office могут способствовать распространению программ-вымогателей. Microsoft теперь по умолчанию блокирует макросы, загруженные из интернета, но для дополнительной безопасности IT-отделу следует использовать групповые политики для их блокировки. Рекомендации по настройке можно найти в разделе «Блокировка запуска макросов в файлах Office из Интернета» в документации Microsoft «Макросы из интернета будут заблокированы по умолчанию в Office».

Статья была впервые опубликована в январе 2018 года и регулярно актуализируется для отражения текущих угроз и методов защиты.