Какие файлы чаще всего шифруют вирусы-вымогатели и как защитить именно их

Вирусы-вымогатели (ransomware) шифруют не всё подряд, а выбирают файлы, потеря которых сильнее всего бьёт по жертве и мотивирует заплатить. Прежде всего это документы, фотографии, базы данных, архивы и файлы бухгалтерских и проектных программ. Понимание этого принципа помогает расставить приоритеты в защите: резервное копирование и ограничение доступа нужны в первую очередь именно для таких данных.

Главный ориентир простой: шифровальщик ищет файлы, которые дорого восстановить и нельзя быстро скачать заново. Установленный Windows, программы и фильмы из интернета злоумышленнику неинтересны — их жертва восстановит переустановкой. А вот договоры, клиентская база или семейный архив фото восстановить неоткуда, и именно за них требуют выкуп.

Как шифровальщик выбирает файлы

Современные вирусы-вымогатели не перебирают диск вслепую. В их коде обычно зашит список расширений и папок, а иногда — логика приоритетов. Типичный алгоритм выглядит так:

1. Программа сканирует локальные и подключённые сетевые диски.
2. Сравнивает расширения файлов со встроенным списком «ценных» типов.
3. Пропускает системные файлы Windows, чтобы не уронить систему до получения выкупа.
4. Шифрует содержимое, оставляя имена файлов, и добавляет своё расширение.
5. Оставляет записку с требованием выкупа и инструкцией по оплате.

Важная деталь: многие шифровальщики обрабатывают файлы по размеру выборочно. Очень большие файлы могут шифроваться частично (шифруется фрагмент, а не весь файл), чтобы ускорить атаку. Поэтому крупная база данных может быть повреждена даже при частичном шифровании.

Типы файлов, которые шифруют чаще всего

Документы и таблицы

Это главная цель и в домашних компьютерах, и в компаниях. Форматы Microsoft Office, PDF, текстовые файлы, презентации — всё, что содержит договоры, отчёты, переписку, сметы. Причины очевидны: документы создаются годами, восстановить их из интернета невозможно, а для бизнеса потеря договоров и отчётности означает прямые финансовые и юридические последствия.

Базы данных

Файлы баз данных — SQL-базы, файлы 1С, учётные системы CRM и складского учёта — приоритетная мишень при атаках на организации. Шифровальщики специально ищут их, потому что база данных часто единственная копия всей операционной деятельности компании: заказы, клиенты, склад, взаиморасчёты. Потеря такой базы способна остановить бизнес полностью, поэтому выкуп за неё «обоснован» с точки зрения злоумышленника.

Изображения и видео

Личные фото и видеозаписи — эмоционально самая болезненная категория для обычного пользователя. JPEG, PNG, RAW-файлы фотографов, видеопроекты. Для фотографов и видеомонтажёров это ещё и рабочий инструмент: несохранённые исходники съёмок восстановить невозможно в принципе.

Архивы

ZIP, RAR, 7z — сюда пользователи часто складывают резервные копии и старые проекты. Ирония в том, что архив с бэкапом, лежащий на том же диске или подключённом сетевом хранилище, шифруется вместе со всем остальным и перестаёт быть защитой.

Файлы инженерных и специализированных программ

Проекты CAD-систем, файлы бухгалтерских программ, почтовые базы, файлы дизайн-программ. Логика та же: такие файлы создаёт конкретный человек под конкретную задачу, и восстановить их извне нельзя.

Криптовалютные кошельки

Файлы кошельков и ключей шифруются отдельной категорией вредоносных программ. Здесь выкуп иногда даже не требуется: злоумышленник просто крадёт файл и опустошает кошелёк. Это повод хранить ключи не на рабочем компьютере.

Что шифровальщики обычно пропускают

Понимание «белого списка» тоже полезно — оно объясняет, почему атака не всегда выглядит как полный паралич системы:

• Системные файлы Windows и файлы установленных программ — их уничтожение сделает компьютер нерабочим, и жертва не сможет даже прочитать записку о выкупе и оплатить её.
• Исполняемые файлы (.exe, .dll) — по той же причине.
• Файлы с расширениями, которые могут оказаться уже зашифрованными (чтобы не тратить время на повторную обработку).
• Иногда — файлы в определённых папках, например временные каталоги браузеров.

Из-за этого компьютер после атаки часто продолжает работать: система запускается, программы открываются, но все документы и базы недоступны.

Как распространяются шифровальщики

Файл попадает на диск задолго до шифрования, и путь заражения определяет, где искать уязвимое место:

• Фишинговые письма с вложениями. Документ с макросами или архив с исполняемым файлом — самый частый вход для атак на компании. Достаточно одного сотрудника, открывшего вложение.
• Взлом через уязвимости в сетевых службах. Вирус сам распространяется по сети компании, используя незакрытые уязвимости в серверах и устаревшем ПО, а затем шифрует общие сетевые папки, где лежат все рабочие файлы.
• Взлом учётных записей. Злоумышленник получает пароль администратора через слабый пароль или украденные учётные данные и запускает шифрование уже изнутри, с максимальными правами.
• Скомпрометированные установщики и взломанный софт. Пиратские сборки программ и «лекарства» — распространённый канал заражения домашних компьютеров.
• Заражённая реклама и поддельные сайты. Реже, но встречается: эксплойт в браузере или плагине запускает загрузку вредоносного кода без действий пользователя.

Почему обычный антивирус не всегда спасает

Шифрование — легальная операция, которую выполняют и нормальные программы резервного копирования. Антивирус должен отличить шифровальщик от бэкап-утилиты, и новые образцы вредоносов, не попавшие в базы, могут прорваться. Поэтому полагаться на один антивирус — слабая стратегия. Работает комбинация мер, где каждая закрывает свой сценарий.

Как защитить именно ценные файлы

Правило 3-2-1 для резервных копий

Базовый принцип: три копии данных, на двух разных типах носителей, одна — вне компьютера. Практически это выглядит так:

• Рабочая копия — на компьютере или сервере.
• Локальная резервная копия — на внешнем диске, который не подключён постоянно. Отключённый диск шифровальщик физически не достанет.
• Облачная копия — с историей версий и защитой от удаления. Важно: облачное хранилище, которое синхронизируется автоматически в обе стороны, может синхронизировать и зашифрованные файлы, затерев хорошие копии. Нужна версия с хранением предыдущих версий файлов и возможностью отката.

Ограничение прав доступа

В компании пользователь и его программы должны работать без прав администратора. Шифровальщик, запущенный с правами обычного пользователя, не сможет зашифровать серверные базы и общие папки, к которым у этой учётной записи нет доступа. Разграничение доступа по принципу «каждому — только то, что нужно для работы» резко сокращает масштаб атаки.

Сегментация сети и защита бэкапов

Резервные копии должны лежать в изолированном сегменте сети или в облаке с отдельной учётной записью и многофакторной аутентификацией. Если бэкап-сервер доступен из рабочей сети под одним доменным аккаунтом, вирус, получивший этот аккаунт, зашифрует и копии.

Гигиена, которая реально работает

• Обновлять операционную систему и прикладное ПО: большинство массовых атак идут через давно известные и закрытые производителем уязвимости.
• Отключить выполнение макросов в Office из внешних источников.
• Настроить фильтрацию почты и предупреждать сотрудников о признаках фишинга: срочность, подмена адреса отправителя, неожиданные вложения.
• Не использовать пиратский софт и не запускать вложения из писем, которых не ожидали.
• Включить многофакторную аутентификацию на всех внешних сервисах, включая облачные хранилища.

Если шифрование уже произошло

1. Отключите компьютер от сети, чтобы вирус не продолжил шифровать сетевые диски и бэкапы. Решение о полном выключении зависит от ситуации: при активном шифровании быстрое отключение питания может сохранить часть данных, но в большинстве случаев корректнее изолировать машину по сети и обратиться к специалистам.
2. Не платите выкуп как первый шаг. Оплата не гарантирует ключ: известны случаи, когда злоумышленники исчезали с деньгами или присылали нерабочий дешифратор. Кроме того, оплата финансирует дальнейшие атаки и может создавать юридические риски.
3. Проверьте, известен ли тип шифровальщика. Для некоторых старых семейств существуют публичные дешифраторы — их выпускают исследователи и профильные проекты. Определить семейство можно по записке о выкупе и расширению файлов с помощью сервисов идентификации.
4. Сохраните образ заражённого диска и образцы зашифрованных файлов до любых действий — они понадобятся для анализа.
5. Восстановите данные из резервных копий только после того, как найден и закрыт путь проникновения, иначе повторное заражение уничтожит и восстановленные копии.
6. Сообщите в инцидент-службы и, в случае организации, следуйте внутреннему регламенту: атака может подпадать под обязанности уведомления регуляторов и затронутых лиц, если были скопированы персональные данные.

Типичные ошибки при защите от шифровальщиков

• Бэкап на тот же диск или постоянно подключённый внешний накопитель. Копия шифруется вместе с оригиналом. Решение — отключаемый носитель или облако с версионностью.
• Одна копия без проверки восстановления. Копия, которую ни разу не пробовали развернуть, при инциденте часто оказывается неполной или битой. Проверяйте восстановление периодически.
• Синхронизация вместо резервного копирования. Двусторонняя синхронизация с облаком послушно загрузит зашифрованные файлы и удалит хорошие версии, если нет истории изменений.
• Работа под учётной записью администратора. Это расширяет зону поражения с одной папки до всего компьютера и сети.
• Отложенные обновления. Атака через известную уязвимость, для которой давно вышло исправление, — самый обидный сценарий, потому что он был предотвращаем.

Сценарии: с чего начать в вашей ситуации

Ситуация	Приоритетные действия
Домашний компьютер, важны фото и документы	Настроить облачную копию с историей версий, периодически делать копию на отключаемый внешний диск, включить обновления системы
Фрилансер или небольшой бизнес	Добавить к домашнему набору разграничение доступа, отдельную учётную запись для бэкапов с многофакторной защитой, план восстановления
Компания с сетью и базами данных	Сегментация сети, изолированные бэкапы, права без администратора, фильтрация почты, обучение сотрудников, регламент реагирования на инциденты
Уже произошла атака	Изолировать систему от сети, зафиксировать доказательства, проверить наличие публичного дешифратора, восстановление — только после закрытия пути проникновения

Что запомнить

Шифровальщики целятся в незаменимое: документы, базы данных, фотографии, архивы и файлы специализированных программ. Поэтому защита строится не вокруг антивируса, а вокруг простого вопроса: «Если этот файл исчезнет прямо сейчас — смогу ли я его восстановить и за какое время?» Если ответ «нет» или «не знаю», именно эти данные нуждаются в резервной копии вне компьютера уже сегодня. Дальше — обновления, ограничение прав и осторожность с вложениями, а для организаций — изолированные бэкапы и регламент на случай инцидента.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности. При реальной атаке на рабочие системы или утрате критичных данных решения об отключении систем, оплате выкупа и восстановлении следует принимать с привлечением профильных специалистов и с учётом применимых юридических требований.