Скажите «Нет!» программам-вымогателям

13.11.2013 | 17:27 Экономика

Программы-вымогатели — довольно неприятный вид зловредного ПО. Ниже мы рассмотрим этот класс зловредов повнимательнее, а также поговорим о средствах противостояния ему.

Что такое CryptoLocker? Это новый вид вирусов, появившийся лишь во второй половине 2013 года. Особая активность вируса стала отмечаться экспертами по безопасности не более, чем неделю назад. Относится к классу ransomeware – программ-вымогателей. В настоящее время наибольшую опасность представляет, как вы уже могли догадаться, для многострадальной платформы Microsoft Windows.

Его работа проста: попадая в систему, он шифрует столь дорогие вашему сердцу (и кошельку) файлы, хранящиеся на локальном жёстком диске и любых сетевых дисках, до которых может дотянуться. Зашифровав файлы, он тут же предъявляет вам помпезный ультиматум в лучших пиратских традициях вручения Чёрной Метки: если вы дадите денег его создателю, файлы он расшифрует. А не поспеете вовремя – CryptoLocker удалит закрытый ключ и расшифровка будет уже невозможна. И плакали ваши фоточки, фонотека, рабочие файлы и прочие необходимые цифровые фантики.

Кстати, нет никаких гарантий, что после оплаты файлы будут расшифрованы. Пока на этот счёт нет никаких данных, и единственное, на что вы можете рассчитывать – это на порядочность вирусописателя. Вы верите вирусописателям, вымогающим у вас деньги? Я – нет. И уже известны случаи, когда жертвы, заплатившие вымогателю, остались без денег и без файлов.

Чем CryptoLocker отличается от прочих вымогателей? Тем, что обычные вымогатели не имеют привычки шифровать ваши данные. Они просто блокируют вашу машину и демонстрируют вам какую-нибудь провокационную картинку, вид которой отравляет вам настроение и портит репутацию. Кроме того, чтобы избавиться от более традиционных вымогателей, вам обычно достаточно прибить зловредный процесс, удалить фрагменты вируса и восстановить нормальную работу системы.

Программы-вымогатели весьма многочисленны, и их обычная тактика — ограничить вам доступ к системе. Заражение же происходит множеством способов. После того, как процесс заражения произошёл, вам предъявляется ультиматум (как уже описано выше).

Как можно подхватить Cryptolocker? Ничего нового, ничего сложного. Он передаётся по сети множеством традиционных способов. Наиболее распространенными из них являются фишинг, спам, заражённые PDF, эксплойты и фейковые файлы для скачивания.

Защититься от зловредного ПО такого рода сложно, но можно. Лучший способ — использовать какую-либо защищённую платформу, запрещающую запуск недоверенного и неизвестного ПО. Это лучший способ обороны от такого рода неприятностей: антивирус может пропустить зловреда, потому что по большому счёту, не каждый вымогатель является вирусом по сути.

Как узнать, что зараза уже на вашей машине? Он не будет прятаться, и покажет вам подсказку — большую такую, красную, во весь монитор. После неё сложно оставаться в состоянии сомнений.

До того, как вы увидите подобную картинку, CryptoLocker в фоновом процессе уже зашифрует всё, до чего дотянется. Файлы для шифрования он отбирает согласно внушительного списка файловых расширений. Туда включаются офисные файлы, изображения, и ещё несколько десятков типов файлов, характерных для среднестатистической системы. Для каждого зашифрованного файла будет создано значение реестра под ключом HKCUSoftwareCryptoLockerFiles. После окончания работы зловред покажет вам свою почти ставшую знаменитой картинку (см. выше).

Как остановить Cryptolocker? Блокируйте всё сами! Как уже было сказано выше, запретив выполнение неизвестного, несанционированного и недоверенного ПО, вы максимально снижаете риск и возможные последствия. Однако блокировка — не всегда возможный вариант. Но есть и другие меры, которые стоит принять. Используйте групповые политики, чтобы заблокировать исполняемые файлы в директории %AppData% (%AppData%*.exe). Эта техника подобна той, которую использует защищённая платформа Bit9, запрещающая запуск нехороших файлов. Разница в том, что групповая политика ограничена неизменяемыми путями файлов с расширением EXE, в то время как защищённая платформа в состоянии уточнять, что является исполняемым файлом, а что — нет, независимо от имени файла или пути. Так что когда появится новая версия CryptoLocker, групповые политики могут запросто не сработать.

UPD. В следующей статье вы можете ознакомиться с обновлёнными данными, которые помогут вам защитить свою систему от вируса-вымогателя.