Установите защитное решение

Приложения «Лаборатории Касперского» с актуальными антивирусными базами блокируют атаки и установку вредоносных программ. В состав приложений входят защитные компоненты, которые автоматически создают резервные копии файлов, если подозрительная программа пытается получить к ним доступ.

Устанавливайте обновления

Своевременно обновляйте программное обеспечение, операционные системы и приложения «Лаборатории Касперского», особенно следите за патчами для устранения уязвимостей.

Обновления повышают безопасность, стабильность и производительность систем, помогают устранить новейшие уязвимости и не позволяют злоумышленникам их использовать.

Программное обеспечение, которое важно обновлять:

• патчи ОС и прошивки оборудования;
• браузеры и плагины к ним;
• приложения виртуальной частной сети (VPN), обеспечивающие доступ удаленным сотрудникам и выступающие в качестве шлюзов в вашу сеть.

Установите и включите все компоненты и функции защиты приложений «Лаборатории Касперского»

Все компоненты и функции приложений «Лаборатории Касперского» направлены на обеспечение максимальной защиты устройств и снижение рисков заражения программами-вымогателями. Убедитесь, что:

• все компоненты и функции приложения включены и работают;
• самозащита приложения активирована;
• приложение подключено к Kaspersky Security Network.

Не снижайте настроенный по умолчанию уровень защиты.

Для Kaspersky Endpoint Security в рамках механизма самозащиты дополнительно включите Защиту служб приложения от внешнего управления и Защиту подключения к Серверу администрирования.

Создавайте резервные копии файлов и храните их вне компьютера

Регулярно выполняйте резервное копирование данных. Даже в случае успешной атаки программ-вымогателей и шифрования файлов резервные данные будут доступны для восстановления, что позволит уменьшить негативные последствия атаки.

Создавайте резервные копии файлов и храните их на съемном носителе или в онлайн-хранилище для защиты информации от вредоносных программ и повреждений компьютера. Обеспечьте возможность быстро получить доступ к резервным копиям файлов в случае необходимости.

Если вы пользуетесь Kaspersky Security Center, выполните рекомендации по организации резервного копирования данных Сервера администрирования.

Защитите общие папки

Злоумышленники могут использовать общие папки для шифрования, распространения вредоносного программного обеспечения и перемещения по сети организации. Kaspersky Endpoint Security для Windows защищает общие папки с помощью функции Защита папок общего доступа от внешнего шифрования.

Защитите учетные записи администраторов

Убедитесь, что учетные записи администраторов защищены надежными паролями, которые регулярно меняются (например, каждые 3 месяца). По возможности используйте мультифакторную аутентификацию, чтобы злоумышленникам было сложнее получить контроль над сетью, даже если они смогли получить доступ к учетным данным.

Если вы пользуетесь Kaspersky Security Center, настройте двухфакторную аутентификацию.

Настройте групповую политику

Централизованно управляйте объектами групповой политики (GPO), а также параметрами безопасности и аудита ОС.

Отключите устаревшие и неиспользуемые протоколы. Не изменяйте значения параметров, прописанных в GPO, без особой необходимости.

Используйте сложные пароли для учетных записей Windows при удаленном подключении

Слабые пароли можно просто угадать или подобрать, что позволит злоумышленникам легко получить доступ к важным данным. Чтобы защитить личные данные и предотвратить взлом учетных записей при удаленном подключении, используйте надежные пароли.

Когда вы работаете через общедоступную сеть, злоумышленники могут использовать службы удаленного рабочего стола, чтобы получить доступ к вашим устройствам. Разрешайте входящие подключения по протоколу удаленного рабочего стола только внутри корпоративной сети. Информацию о службе удаленного рабочего стола вы можете найти на сайте поддержки Microsoft.

Не открывайте файлы и ссылки из писем от неизвестных отправителей

Программы-вымогатели распространяются через зараженные файлы из электронных писем. Кроме того, в письме может быть ссылка на зараженный или фишинговый сайт. В таких письмах мошенники выдают себя за деловых партнеров или сотрудников государственных органов, а темы писем и вложения содержат важные уведомления, например уведомление об иске из арбитражного суда.

Перед открытием электронного письма и вложенного файла внимательно проверяйте, кто является отправителем.

Соблюдайте осторожность при использовании PowerShell

PowerShell часто используется для атак на устройства с операционной системой Windows. Программы-вымогатели и бесфайловые угрозы также используют PowerShell для осуществления атак.

Ограничьте выполнение скриптов PowerShell. Запретите выполнение неподписанных скриптов PowerShell с помощью политик, разрешите выполнять скрипты PowerShell только тем учетным записям, которым это необходимо. Не меняйте политики ограничений PowerShell (Set-ExecutionPolicy). На устройствах, защищенных Kaspersky Endpoint Security для Windows, включите компонент защиты Адаптивный контроль аномалий.

Используйте IDS и IPS для обнаружения и предотвращения сканирования сети

Первым шагом целевой атаки является сбор информации. Сканирование сети предоставляет злоумышленникам важную информацию: открытые порты, активные операционные системы и программное обеспечение, статус устройств в сети. Предотвращая сканирование сети, вы не дадите злоумышленникам собрать важную информацию и затрудните их атаку.

Используйте Kaspersky Endpoint Detection and Response и Kaspersky Managed Detection and Response

Kaspersky Endpoint Detection and Response и Kaspersky Managed Detection and Response помогают выявить и предотвратить атаку на ранних стадиях. С помощью этих решений вы можете обнаруживать и отслеживать подозрительные сигналы.

Используйте Kaspersky Unified Monitoring and Analysis Platform

Это SIEM-решение поможет отслеживать подозрительные действия. Проверяйте журналы событий и оперативные данные, а также следите за боковыми перемещениями в сети и обращайте внимание на исходящий трафик, так как злоумышленникам для кражи данных обычно требуется подключение к внешним сетям или внешним инструментам.

Узнавайте о современных угрозах и способах их предотвращения

Будьте в курсе актуальных тактик, техник и процедур (TTPs), которые используют злоумышленники, чтобы уметь распознавать современные угрозы и противостоять им.

Узнавайте новости о приложениях «Лаборатории Касперского»: актуальную информацию о новых выпусках и обновлениях поддержки версий, советы по настройке и ссылки на новые статьи Базы знаний.

Обучайте ваших сотрудников

• Будьте осторожны с вложениями в электронной почте и проверяйте ненадежные электронные адреса. Убедитесь, что компонент Защита от почтовых угроз в Kaspersky Endpoint Security для Windows включен. Этот компонент сканирует компьютеры и защищает их от вредоносных вложений.
• Научитесь распознавать подозрительные ссылки, присланные в электронных письмах или на других платформах обмена сообщениями. Даже если ссылка пришла от знакомого вам человека, его могли взломать.
• Обращайте внимание на подозрительную активность на своих устройствах или в учетных записях. Выходите из рабочих систем, если доступ в них больше не требуется.
• Используйте надежные пароли и мультифакторную аутентификацию.
• Регулярно обновляйте персональные операционные системы и программное обеспечение.

«Лаборатория Касперского» предлагает специализированный курс по обучению кибербезопасности — Automated Security Awareness Platform. Он дает теоретические знания и позволяет сформировать навыки кибербезопасного поведения.

Создавайте точки восстановления системы и резервные копии файлов

Регулярно создавайте точки восстановления системы и резервные копии файлов, в том числе на съемном носителе. Это позволит вернуть операционную систему к стабильной работе и восстановить поврежденные файлы в случае сбоя или заражения.

Подробнее о резервном копировании и восстановлении системы смотрите на сайте поддержки Microsoft.

Запретите удаленное подключение к компьютеру

Чтобы злоумышленники не смогли удаленно подключиться к вашему компьютеру, вы можете запретить такие подключения в настройках компьютера:

1. Откройте поиск на вашем компьютере, введите «панель управления» и выберите Панель управления.

2. Выберите Система.

3. Выберите Защита системы.

4. Перейдите на вкладку Удаленный доступ.

5. Снимите флажок Разрешить подключения удаленного помощника к этому компьютеру, выберите Не разрешать удаленные подключения к этому компьютеру, затем нажмите ОК.

1. Установите пароль на доступ к приложению «Лаборатории Касперского» по инструкции для:
   • Kaspersky Standard, Plus, Premium;
   • Kaspersky Security Cloud;
   • Kaspersky Internet Security;
   • Kaspersky Anti-Virus;
   • Kaspersky Total Security;
   • Kaspersky Small Office Security;
   • Kaspersky Endpoint Security для Windows.
2. Включите компонент Мониторинг активности в приложении «Лаборатории Касперского» по инструкции для:
   • Kaspersky Standard, Plus, Premium;
   • Kaspersky Security Cloud;
   • Kaspersky Internet Security;
   • Kaspersky Anti-Virus;
   • Kaspersky Total Security;
   • Kaspersky Small Office Security.
3. Он блокирует и отменяет действия вредоносных программ, распознает и удаляет баннеры и создает резервные копии файлов, если вредоносная программа пытается получить к ним доступ.
4. Если вы используете Kaspersky Endpoint Security, включите защиту от программ-шифровальщиков по инструкции.

Попробуйте расшифровать файлы самостоятельно

Приложения для расшифровки файлов называются «декрипторы». Скачайте бесплатные декрипторы на официальном сайте «Лаборатории Касперского» и попробуйте расшифровать поврежденные файлы.

Отправьте файлы на анализ в «Лабораторию Касперского»

Если вы пользуетесь приложением «Лаборатории Касперского» для дома, отправьте запрос в техническую поддержку «Лаборатории Касперского». К запросу приложите:

• Информацию из пунктов 1.1–1.6 инструкции.
• Ответы на следующие вопросы:
  1. Какая версия приложения была установлена на момент заражения?
  2. Был ли включен компонент Мониторинг активности?
  3. Переустанавливали ли вы приложение после заражения?
  4. Была ли включена Защита паролем?

Если вы пользуетесь Kaspersky Endpoint Security для Windows, соберите данные по инструкции и создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount.

Проведите проверку компьютера и удалите вредоносную программу

Запустите полную проверку компьютера, чтобы найти и устранить причину заражения. Если на вашем компьютере не установлено защитное решение, проведите проверку с помощью пробной версии приложения Kaspersky Standard и бесплатных утилит.

Файлы и другие объекты, с помощью которых чаще всего происходит заражение программами-вымогателями:

• Исполняемые файлы (расширения .exe, .scr).
• Скрипты Visual Basic и JavaScript (.vbs, .js).
• Архивы файлов (.zip, .rar).
• Документы MS Office (.doc, .docx, .xls, .xlsx, .ppt и другие).
• Файлы ярлыков (.lnk).

Если на вашем компьютере появились подозрительные файлы, воспользуйтесь инструкцией.

Если вы обнаружили подозрительный файл, запуск которого может привести к заражению компьютера и шифрованию файлов, выполните одно из действий:

• Проверьте файл на известные угрозы с помощью Kaspersky Threat Intelligence Portal. При необходимости сообщите экспертам «Лаборатории Касперского» о ложном срабатывании или новой вредоносной программе.
  1. Нажмите Отправить для повторного анализа на странице с результатами проверки.
  2. Введите ваш адрес электронной почты, чтобы мы могли при необходимости связаться с вами.
  3. Нажмите Отправить.
• Обратитесь в техническую поддержку «Лаборатории Касперского». Прикрепите подозрительный файл, предварительно добавив его в архив с расширением ZIP или RAR. Установите для архива пароль infected и флажок Шифровать имена файлов (Encrypt file names) и добавьте комментарий «Возможный шифровальщик (вымогатель)».
• 
• Если вы пользуетесь Kaspersky Endpoint Security для Windows, соберите данные по инструкции и создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount.

• APPDATA

Windows NT/2000/XP — Диск:\Documents and Settings\%UserName%\Application Data\%USERPROFILE%\Local Settings\Application Data

Windows Vista/7/8/10/11 — Диск:\Users\%UserName%\AppData\Roaming\%USERPROFILE%\AppData\Local

• TEMP (временный каталог)

%TEMP%\xxxxxxx.tmp\, где x — символы a-z, 0-9
%TEMP%\xxxxxxx.tmp\xx\, где x — символы a-z, 0-9
%TEMP%\xxxxxxx\, где x — символы a-z, 0-9
%WINDIR%\Temp

• Временный каталог Internet Explorer

Windows NT/2000/XP — %USERPROFILE%\Local Settings\Temporary Internet Files\

Windows Vista/7/8/10/11 — %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\content.ie5\xxxxxxxx, где x — символы a-z, 0-9

• Рабочий стол

%UserProfile%\Desktop\

• Корзина

Диск:\Recycler\
Диск:\$Recycle.Bin\
Диск:\$Recycle.Bin\s-1-5-21-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-1000, где x — символы 0-9

• Системный каталог

%WinDir%
%SystemRoot%\system32\

• Каталог документов пользователя

%USERPROFILE%\Мои документы\
%USERPROFILE%\Мои документы\Downloads

• Каталог для скачивания файлов в веб-браузере

%USERPROFILE%\Downloads

• Каталог автозагрузки

%USERPROFILE%\Главное меню\Программы\Автозагрузка

В большинстве случаев использования антивирусных приложений достаточно для защиты, но полностью исключить риск шифрования невозможно. Если на компьютере установлено приложение «Лаборатории Касперского», а файлы все равно были зашифрованы, это могло произойти по нескольким причинам.

Использование устаревших антивирусных баз или версий приложений

Новые угрозы появляются постоянно. Сигнатура программы-вымогателя могла быть добавлена в антивирусные базы совсем недавно. Чтобы избежать повторного шифрования, важно регулярно обновлять антивирусные базы, а также использовать актуальные версии приложений «Лаборатории Касперского».

Атака через программы для удаленного подключения

Злоумышленники могут проникать на компьютеры с помощью программ для удаленного подключения. Ими часто пользуются администраторы для удаленной настройки компьютеров сотрудников, поэтому приложения «Лаборатории Касперского» не классифицируют такие программы как вредоносные.

После проникновения на компьютер под видом администратора сети злоумышленник может отключить антивирусную защиту и запустить программу-шифровальщик в системе.

Чтобы предотвратить повторное шифрование:

• Не открывайте доступ по протоколу удаленного рабочего стола (RDP) из интернета.
• По возможности подключайтесь к корпоративной сети через виртуальную частную сеть (VPN).
• Выполните рекомендации по настройке приложения из инструкции.
• Включите механизм самозащиты приложения:
  • Инструкция для Kaspersky Small Office Security.
  • Инструкция для Kaspersky Endpoint Security для Windows.