Криптовымогательское ПО

Что такое криптовымогательское ПО?

Криптовымогательское ПО — это вредоносная программа или схема вымогательства, которая блокирует доступ к данным, шифрует файлы, похищает конфиденциальную информацию или нарушает работу компьютерных систем, а затем требует оплату в криптовалюте.

Запрашиваемый платеж обычно называют криптовалютным выкупом.

Злоумышленники могут пообещать предоставить ключ для расшифровки, восстановить доступ к системе, удалить похищенные данные или не публиковать конфиденциальную информацию после получения оплаты.

Нет никаких гарантий, что злоумышленники выполнят эти обещания.

Термин «криптовымогательское ПО» также может обозначать программы-вымогатели, нацеленные непосредственно на пользователей криптовалют, владельцев кошельков, блокчейн-компании, майнинговые операции, децентрализованные приложения или организации, хранящие цифровые активы.

Криптовымогательское ПО не следует путать с криптоджекингом, при котором вычислительные ресурсы жертвы тайно используют для майнинга криптовалюты.

Оно также отличается от обычного мошенничества с криптовалютой: атаки с применением программ-вымогателей обычно связаны с несанкционированным доступом к системе, вредоносным ПО, похищенными данными или прямой угрозой цифровой инфраструктуре.

Как криптовалюту используют при атаках с программами-вымогателями?

Криптовалюта обычно служит способом оплаты, а не технологией, вызывающей заражение программой-вымогателем.

Злоумышленник, как правило, указывает адрес криптовалютного кошелька и требует перевести определенную сумму до установленного срока.

В записке с требованием выкупа могут быть указаны нужный актив, блокчейн-сеть, сумма платежа и способы связаться со злоумышленником.

Некоторые злоумышленники используют скрытый портал связи, где жертва может вести переговоры, получить инструкции по оплате и запросить пробную расшифровку.

Злоумышленник может назначить каждому пострадавшему отдельный адрес кошелька, чтобы отслеживать платежи по отдельности.

Получив криптовалюту, злоумышленник может переводить ее на другие адреса или через различные сервисы, пытаясь скрыть ее преступное происхождение.

Такие переводы не делают транзакции в криптовалюте невидимыми: публичные блокчейны обычно хранят неизменяемые записи о транзакциях.

Почему злоумышленники с программами-вымогателями требуют криптовалюту?

Злоумышленники могут предпочитать криптовалюту, поскольку ее можно переводить между странами без необходимости использовать один и тот же банк отправителю и получателю.

Платеж можно отправить на адрес кошелька в любое время суток.

Подтвержденную транзакцию в блокчейне отправителю обычно сложно отменить или оспорить с возвратом средств.

Злоумышленник может создать несколько адресов кошельков, не указывая в блокчейне свое настоящее имя.

После оплаты криптовалюту также можно переводить между несколькими кошельками и сервисами.

Однако эти особенности не делают криптовалюту полностью анонимной.

Адреса кошельков обычно являются псевдонимными: адрес виден, даже если настоящее имя его владельца публично не указано.

Следователи могут отслеживать цепочки транзакций и связывать адрес с идентифицируемым сервисом, устройством, аккаунтом или человеком.

Насколько опасно криптовымогательское ПО?

Атаки с программами-вымогателями могут нарушить работу систем здравоохранения, производства, государственных учреждений, образования, транспорта, финансовых организаций и других жизненно важных сфер.

Атака может привести к потере данных, остановке бизнеса, юридическим расходам, необходимости уведомлять клиентов, затратам на кибербезопасность, ущербу для репутации и потере выручки.

В отчете ФБР о киберпреступности за 2025 год зарегистрировано более 3 600 жалоб на программы-вымогатели и сообщается об убытках свыше $32 млн.

В отчете также отмечено, что эта сумма обычно не включает потери бизнеса, рабочее время сотрудников, заработную плату, файлы, оборудование и услуги сторонних специалистов по устранению последствий.

Некоторые организации не указывают сумму финансового ущерба или сообщают об инциденте напрямую в региональное отделение ФБР, а не через Центр рассмотрения жалоб на преступления в интернете.

Поэтому реальный экономический ущерб от криптовымогательского ПО, вероятно, значительно превышает заявленную сумму прямых потерь.

В том же отчете указано, что в 2025 году появилось 63 новых варианта программ-вымогателей, что свидетельствует о быстром изменении характера угрозы.

Как происходит атака с применением криптовымогательского ПО

1. Первоначальный доступ

Сначала злоумышленник получает доступ к устройству, аккаунту пользователя, облачной среде или сети организации.

Первоначальный доступ может быть получен через фишинг, похищенные учетные данные, слабые пароли, неисправленную уязвимость, ПО для удаленного доступа или открытый интернет-сервис.

Злоумышленники также могут скомпрометировать поставщика, подрядчика, провайдера управляемых услуг или другую доверенную третью сторону.

Современные атаки могут включать телефонные звонки, во время которых преступник выдает себя за штатного сотрудника IT-отдела.

В предупреждениях ФБР о киберугрозах за 2026 год содержатся сообщения о социальной инженерии, связанной с программами-вымогателями, и о преступниках, которые выдают себя за IT-специалистов.

2. Установление контроля

Проникнув в систему, злоумышленник может попытаться сохранить доступ и получить более высокие привилегии аккаунта.

Преступник может искать учетные данные администраторов, средства удаленного управления, общие хранилища, резервные копии, системы безопасности и ценные данные.

Злоумышленник может оставаться незамеченным, изучая работу организации.

Это позволяет преступнику определить, нарушение работы каких систем сильнее всего подтолкнет организацию к выплате выкупа.

3. Поиск и кража данных

Многие операторы программ-вымогателей ищут записи о клиентах, финансовую информацию, юридические документы, интеллектуальную собственность, данные кошельков, исходный код и сведения о сотрудниках.

Злоумышленники могут скопировать важные файлы до того, как зашифруют системы организации.

Похищенные данные создают дополнительное давление: восстановление из резервных копий не мешает злоумышленнику угрожать публикацией информации.

4. Отключение средств защиты и резервных копий

Злоумышленник может попытаться вывести из строя программное обеспечение для защиты, инструменты мониторинга, функции восстановления системы и доступные резервные копии.

Подключенные резервные копии могут быть зашифрованы или удалены вместе с рабочими данными.

Поэтому организациям следует хранить защищенные резервные копии, которые нельзя изменить через обычные рабочие аккаунты.

5. Шифрование или нарушение работы систем

Программа-вымогатель может шифровать файлы на компьютерах, серверах, общих дисках, в облачных хранилищах или подключенных системах.

Некоторые варианты блокируют само устройство или не позволяют запускать важные приложения.

Другие атаки направлены на кражу данных и выдвижение угроз без шифрования файлов.

Деструктивная атака может повредить данные, даже если в записке с требованием выкупа говорится, что их можно восстановить.

6. Требование криптовалютного выкупа

Злоумышленник отправляет записку с требованием выкупа в криптовалюте и указанием срока оплаты.

В записке может содержаться угроза повысить сумму, опубликовать похищенную информацию, связаться с клиентами или навсегда уничтожить ключ для расшифровки.

Срочность используется, чтобы оказать давление на лиц, принимающих решения, прежде чем они успеют расследовать атаку или обратиться в правоохранительные органы.

7. Оплата и возможная расшифровка

Жертва, решившая заплатить, отправляет криптовалюту на указанный злоумышленником адрес.

Злоумышленник может предоставить программу для расшифровки, неполные инструкции, поврежденный ключ или вообще ничего не прислать.

Даже исправная программа для расшифровки может восстанавливать данные медленно и не восстановить все затронутые системы.

Оплата не удаляет вредоносное ПО, не устраняет исходную уязвимость безопасности и не доказывает, что похищенные данные были удалены.

Виды криптовымогательского ПО

Программы-вымогатели с шифрованием

Программы-вымогатели с шифрованием делают файлы нечитаемыми, применяя криптографическое шифрование и удерживая необходимый ключ для расшифровки.

Жертве предлагают отправить криптовалюту в обмен на ключ или программу для расшифровки.

Надежное шифрование может быть невозможно взломать без доступа к правильному ключу.

В программах-вымогателях со слабой реализацией иногда бывают ошибки, которые позволяют специалистам по безопасности создать бесплатный инструмент для расшифровки.

Блокирующие программы-вымогатели

Блокирующие программы-вымогатели не позволяют пользователю получить доступ к устройству, операционной системе или приложению.

Исходные файлы могут оставаться незашифрованными, но жертва не может открыть их через обычный интерфейс.

На экране с требованием выкупа может ложно утверждаться, что сообщение отправлено правоохранительным органом или другой официальной структурой.

Программы-вымогатели с двойным вымогательством

Двойное вымогательство сочетает шифрование данных с их кражей.

Злоумышленник требует криптовалюту за ключ для расшифровки и одновременно угрожает опубликовать или продать похищенную информацию.

Этот метод снижает эффективность резервных копий: даже после восстановления систем сохраняется риск раскрытия данных.

В руководстве CISA StopRansomware рассматриваются как шифрование при атаках с программами-вымогателями, так и случаи вымогательства с использованием данных.

Программы-вымогатели с тройным вымогательством

При тройном вымогательстве к шифрованию и краже данных добавляется еще один способ давления.

Злоумышленники могут связаться с клиентами, сотрудниками, поставщиками или деловыми партнерами, чья информация была похищена.

Они также могут угрожать дальнейшими нарушениями работы или атаковать другую сторону, связанную с первоначальной жертвой.

Вымогательство только с использованием похищенных данных

Некоторые преступники крадут информацию и требуют криптовалюту, не используя вредоносное ПО для шифрования файлов.

Отсутствие шифрования не делает инцидент безвредным: злоумышленник может получить конфиденциальные данные или информацию, подлежащую специальной защите.

Организациям следует рассматривать обоснованные заявления о вымогательстве с использованием данных как возможную утечку информации.

Программы-вымогатели как услуга

Программы-вымогатели как услуга — это преступная бизнес-модель, при которой разработчики программ-вымогателей предоставляют вредоносное ПО и инфраструктуру другим злоумышленникам.

Таких злоумышленников обычно называют аффилиатами.

Оператор и аффилиат могут делить криптовалютные платежи, полученные от жертв.

Эта модель позволяет преступникам с разными навыками сотрудничать и проводить множество атак с использованием одного семейства программ-вымогателей.

Программы-вымогатели, нацеленные на владельцев криптовалют

Некоторые кампании с применением программ-вымогателей специально нацелены на людей или компании, которые, предположительно, владеют криптовалютой.

Злоумышленники могут искать на зараженных устройствах приложения кошельков, расширения браузера, данные аккаунтов, приватные ключи или фразы восстановления.

Поэтому инцидент с программой-вымогателем может привести к прямой краже криптовалюты, даже если жертва откажется платить выкуп.

Фразы восстановления и приватные ключи не следует хранить в незащищенных файлах на устройствах, подключенных к интернету.

Распространенные способы атак с криптовымогательским ПО

Фишинговые письма и сообщения

Фишинговое сообщение может содержать вредоносное вложение, поддельную страницу входа или ссылку, по которой устанавливается ПО для удаленного доступа.

Сообщение может маскироваться под счет, уведомление о доставке, юридический документ, предупреждение о безопасности, заявку на работу или запрос на сброс пароля.

Прежде чем открывать файлы или вводить учетные данные, пользователям следует проверять необычные запросы через независимый канал связи.

Похищенные учетные данные

Пароли, полученные через фишинг, вредоносное ПО, утечки данных или повторное использование паролей, могут обеспечить прямой доступ к системам компании.

Многофакторная аутентификация снижает ценность похищенного пароля, хотя слабые методы аутентификации также могут стать мишенью.

Административные аккаунты и аккаунты для удаленного доступа нуждаются в особенно надежной защите.

Необновленное ПО

Злоумышленники часто ищут известные уязвимости в программном обеспечении, доступном из интернета, брандмауэрах, инструментах удаленного доступа и серверах.

Своевременные обновления безопасности позволяют устранить уязвимости до того, как их используют для проникновения в сеть.

Организациям следует вести точный реестр систем, чтобы знать, какие из них нужно обновить или заменить.

Сервисы удаленного доступа

Плохо защищенные сервисы удаленного рабочего стола, виртуальные частные сети и средства удаленного управления могут стать точкой входа для злоумышленников с программами-вымогателями.

Удаленный доступ следует ограничивать, отслеживать, защищать надежной аутентификацией и отключать, когда в нем нет необходимости.

Доступ третьих сторон

Поставщик или технологический провайдер может иметь доверенный доступ к системам многих клиентов.

Компрометация одного провайдера может позволить злоумышленнику проникнуть в системы нескольких организаций.

Договоры и технические меры контроля должны ограничивать доступ третьих сторон только теми системами и периодами времени, которые действительно необходимы.

Поддельная IT-поддержка

Злоумышленник может позвонить сотруднику и заявить, что для решения технической проблемы нужно установить программу.

Запрошенная программа может предоставить удаленный доступ, который впоследствии используют для кражи данных или установки программы-вымогателя.

Сотрудникам следует проверять неожиданные запросы на поддержку через известный им процесс обращения в службу поддержки организации.

Анонимна ли оплата криптовалютного выкупа?

Оплата криптовалютного выкупа не является автоматически анонимной, поскольку транзакция может записываться в публичный блокчейн.

Сумма платежа, адрес отправителя, адрес получателя, временная метка и последующие переводы могут оставаться видимыми.

Следователи могут анализировать движение средств и проверять, поступили ли они в идентифицируемый сервис.

Кастодиальный сервис может хранить сведения о личности, устройстве, аккаунте и транзакциях, которые не видны в блокчейне.

Анализ блокчейна также позволяет связывать адреса, которые, по-видимому, относятся к одной преступной операции.

Отслеживание не гарантирует возврат средств: они могут быстро перемещаться или поступить в юрисдикции, где правовое сотрудничество затруднено.

Можно ли вернуть оплату криптовалютного выкупа?

Отправителю, как правило, сложно отменить подтвержденный платеж в криптовалюте.

Возврат может стать возможным, если правоохранительные органы установят кошелек злоумышленника и изымут его, заморозят средства в сервисе или получат необходимые приватные ключи.

В августе 2025 года Министерство юстиции США объявило об изъятии криптовалюты и других активов на сумму свыше $2,8 млн, связанных с предполагаемой деятельностью по распространению программ-вымогателей и отмыванию денег.

В ходе другой операции в 2025 году была изъята инфраструктура программ-вымогателей и виртуальная валюта на сумму более $1 млн. Это показывает, что доходы от криптовалютных выкупов иногда удается обнаружить и заморозить.

Эти случаи не означают, что можно вернуть платеж каждого пострадавшего.

Своевременное сообщение об инциденте и полные данные о транзакциях могут предоставить следователям больше информации.

Следует ли платить криптовалютный выкуп?

ФБР не рекомендует платить выкуп: оплата не гарантирует восстановления данных и создает для преступников стимул продолжать атаки.

В рекомендациях ФБР по программам-вымогателям пострадавшим советуют сообщать об атаках, даже если они решили не платить.

В результате оплаты можно получить работающий ключ для расшифровки, но также можно получить неисправный инструмент, новое требование или не получить ответа вовсе.

Злоумышленник может сохранить похищенные данные, даже если обещал их удалить.

Организация, которая заплатила выкуп, может снова стать мишенью, поскольку преступники знают, что ранее она уже платила.

При принятии решения могут учитываться безопасность, непрерывность работы, юридические, страховые, нормативные и финансовые факторы.

Организациям, получившим действующее требование о выкупе, следует проконсультироваться с квалифицированными специалистами по реагированию на инциденты, юристами, страховщиками, высшим руководством и соответствующими правоохранительными органами.

Риски нарушения санкций при выплате криптовалютного выкупа

Выплата выкупа может создать риск нарушения санкций, если получатель — лицо, организация, юрисдикция или адрес кошелька, на которые распространяются санкции.

Санкционные правила США могут применяться, даже если жертва не знает настоящую личность злоумышленника.

В рекомендациях OFAC по выплатам выкупа при атаках с программами-вымогателями разъясняются потенциальные санкционные риски, связанные с содействием таким платежам.

Посредникам по оплате, страховщикам, переговорщикам, финансовым учреждениям и другим участникам также может потребоваться учитывать свои юридические обязательства.

Своевременное сообщение об инциденте, сотрудничество с властями и надежные методы кибербезопасности могут иметь значение при оценке инцидента регулирующими органами.

Санкции и требования к отчетности различаются в разных юрисдикциях, поэтому организации следует получить консультацию с учетом своего местонахождения и обстоятельств.

Что делать после атаки с криптовымогательским ПО

1. Изолируйте затронутые системы

Как можно скорее отключите затронутые компьютеры, серверы и устройства от проводных, беспроводных, облачных сетей и сетей удаленного доступа.

В рекомендациях CISA по реагированию на программы-вымогатели советуют немедленно изолировать затронутые системы.

Как правило, устройство следует выключать только в том случае, если его невозможно отключить от сети или если такое действие предписала группа реагирования на инцидент.

Выключение устройства может привести к потере энергозависимых данных, которые помогут следователям разобраться в атаке.

2. Запустите план реагирования на инциденты

Уведомите внутренние команды по безопасности, юридическим вопросам, защите данных, коммуникациям, управлению и непрерывности бизнеса, предусмотренные планом реагирования на инциденты.

Используйте каналы связи, которые не контролируются через скомпрометированную сеть.

Не обсуждайте план реагирования через затронутый аккаунт электронной почты, если у злоумышленника все еще может быть к нему доступ.

3. Защитите криптоактивы

Определите, имели ли затронутые устройства доступ к криптовалютным кошелькам, устройствам для подписания транзакций, приватным ключам, фразам восстановления или кастодиальным аккаунтам.

Если приватный ключ или фраза восстановления могли быть раскрыты, переведите незатронутые активы в новые защищенные кошельки.

Создавайте новые кошельки на чистых и надежных устройствах, используя совершенно новые фразы восстановления.

Не создавайте другой аккаунт с помощью скомпрометированной сид-фразы: злоумышленник может получить доступ и к нему.

Отзовите разрешения вредоносных смарт-контрактов, если могли быть скомпрометированы разрешения кошелька.

4. Сохраните доказательства

Сохраните исходную записку с требованием выкупа, сообщения злоумышленника, заголовки писем, имена файлов, адреса кошельков, инструкции по оплате и снимки экрана.

Зафиксируйте требуемую криптовалюту, сумму, сеть, срок оплаты и способ связи.

Если это безопасно, сохраните системные журналы, предупреждения безопасности, образцы вредоносного ПО, расширения файлов, активность аккаунтов и сетевые записи.

Не редактируйте исходные файлы: временные метки и метаданные могут быть полезны.

5. Определите масштаб инцидента

Установите, какие устройства, аккаунты, приложения, кошельки, резервные копии и наборы данных были затронуты.

Следователям следует определить точку проникновения злоумышленника, способы сохранения доступа, похищенные учетные данные и возможную кражу данных.

Восстановить один зашифрованный сервер недостаточно, если злоумышленник все еще имеет доступ через другой аккаунт или устройство.

6. Сообщите об атаке

Пострадавшие в США могут подать заявление через Центр рассмотрения жалоб на интернет-преступления ФБР.

В форме жалобы можно указать метаданные криптовалютных транзакций, хеши программ-вымогателей, сведения об электронной почте и другие технические доказательства.

Организациям также следует обратиться в соответствующий национальный орган по борьбе с киберпреступностью, защите данных, финансовому надзору или правоохранительную службу в своей юрисдикции.

На организации, работающие в критической инфраструктуре, могут распространяться дополнительные обязательные требования к отчетности.

7. Проверьте наличие средства для расшифровки

Специалисты по безопасности и правоохранительные органы иногда получают ключи для расшифровки или обнаруживают уязвимости в конкретном варианте программы-вымогателя.

Прежде чем считать оплату единственным способом восстановления, пострадавшим следует проконсультироваться с надежными специалистами по реагированию на инциденты и изучить общедоступные ресурсы о программах-вымогателях.

Проект No More Ransom предоставляет легальные инструменты для расшифровки некоторых известных семейств программ-вымогателей.

Бесплатный рабочий инструмент для расшифровки есть не для каждого варианта программы-вымогателя.

8. Восстановите данные из чистых резервных копий

Перед восстановлением резервные копии необходимо проверить на наличие вредоносного ПО, несанкционированных аккаунтов и измененных файлов.

Перед восстановлением рабочих данных системы следует пересоздать или очистить в соответствии с планом реагирования на инциденты.

Восстановление зараженных резервных копий может снова предоставить злоумышленнику доступ к системе.

9. Смените учетные данные

Может потребоваться заменить пароли, токены аутентификации, секреты приложений, средства контроля доступа к кошелькам и учетные данные администраторов.

Учетные данные следует менять с чистых систем после того, как способы доступа злоумышленника будут заблокированы.

Если сменить пароли слишком рано, злоумышленник, который все еще находится в сети, может узнать новые данные.

10. Выполните обязательства по уведомлению

Кража данных может повлечь юридические обязанности уведомить клиентов, сотрудников, регулирующие органы, страховщиков, деловых партнеров и другие затронутые стороны.

Необходимость уведомления зависит от типа информации, затронутых лиц, договоров и применимой юрисдикции.

Юрист поможет определить, какие обязательства действуют и в какие сроки нужно отправить уведомления.

Какие криптовалютные доказательства следует сохранить?

Адрес кошелька, указанный для получения выкупа, — одно из важнейших доказательств, связанных с криптовалютой.

Пострадавшим следует сохранить адрес в точном виде, в котором он указан в записке с требованием выкупа или на портале для оплаты.

Также следует зафиксировать требуемую криптовалюту и блокчейн-сеть, поскольку похожие форматы адресов могут использоваться в разных сетях.

Если платеж был отправлен, сохраните хеш транзакции, адрес отправителя, адрес получателя, сумму, комиссию, временную метку и название сервиса, использованного для перевода.

Документы о покупке криптовалюты могут помочь следователям установить полный путь платежа.

Сохраните переписку со злоумышленником: в ней могут содержаться дополнительные адреса, изменения условий оплаты или идентифицирующие закономерности.

Организациям не следует публиковать конфиденциальные доказательства: это может помешать расследованию или раскрыть дополнительную информацию о безопасности.

Как предотвратить атаки с криптовымогательским ПО

Создавайте и проверяйте автономные резервные копии

Важные данные следует регулярно копировать и хранить так, чтобы программа-вымогатель не могла изменить все доступные копии.

Как минимум одна резервная копия должна быть изолирована от обычных учетных данных и рабочих систем.

Резервные копии необходимо проверять: непроверенная копия может оказаться неполной, поврежденной или слишком медленной для восстановления.

В профиле NIST по управлению рисками, связанными с программами-вымогателями, опубликованном в июне 2026 года, содержатся актуальные рекомендации по управлению такими инцидентами, выявлению угроз, защите, обнаружению, реагированию и восстановлению.

Используйте надежную аутентификацию

Для важных аккаунтов следует использовать уникальные пароли и надежную многофакторную аутентификацию.

Административный доступ следует предоставлять только тем, кому он необходим для выполнения рабочих обязанностей.

Отдельные административные аккаунты могут уменьшить ущерб в случае компрометации обычной учетной записи пользователя.

Оперативно устанавливайте обновления

В первую очередь следует устанавливать обновления безопасности для систем, доступных из интернета, ПО для удаленного доступа, систем идентификации и уязвимостей, которые уже используются злоумышленниками.

ПО, поддержка которого прекращена, следует заменить, если для него больше не выпускают исправления безопасности.

Сегментируйте сеть

Сегментация сети может ограничить распространение программы-вымогателя после компрометации одной системы.

К системам кошельков, инфраструктуре резервного копирования, сервисам идентификации и конфиденциальным базам данных не должен быть свободный доступ со всех устройств сотрудников.

Отслеживайте подозрительную активность

Командам безопасности следует отслеживать необычные входы в аккаунты, крупные передачи данных, отключение средств защиты, создание новых аккаунтов администраторов и быстрое изменение большого количества файлов.

Раннее обнаружение может позволить остановить проникновение до шифрования данных.

Защитите операции с криптовалютными кошельками

Организациям, владеющим криптовалютой, следует отделить системы подписания транзакций в кошельках от обычных рабочих устройств.

Для крупных транзакций можно предусмотреть несколько независимых подтверждений с помощью мультиподписи или институциональной системы управления ключами.

Приватные ключи и фразы восстановления не следует хранить на общих дисках, в почтовых аккаунтах, чатах или незашифрованных документах.

Компрометация корпоративной сети не должна автоматически предоставлять доступ к кошелькам казначейства или клиентов.

Обучайте сотрудников

Сотрудники должны уметь распознавать фишинг, поддельную IT-поддержку, подозрительные запросы на вход, необычные вложения и срочные требования установить ПО.

Обучение должно включать простой порядок сообщения о подозрительной активности без опасения наказания.

Быстрое сообщение сотрудника может не дать одному скомпрометированному устройству стать причиной масштабной атаки с программой-вымогателем.

Отрабатывайте план реагирования

Организациям следует проводить учения по реагированию на программы-вымогатели, включающие техническую изоляцию, принятие решений об оплате в криптовалюте, коммуникации, юридическую проверку и восстановление из резервных копий.

В ходе учений необходимо определить, кто может изолировать системы, связываться с властями, сохранять доказательства о кошельках и принимать экстренные финансовые решения.

План, который никогда не проверяли, может не сработать при реальной атаке.

Криптовымогательское ПО и мошенничество с криптовалютой

Атака с криптовымогательским ПО обычно связана с вредоносным доступом к системе, шифрованием, кражей данных или угрозой нарушить работу компьютерной инфраструктуры.

При мошенничестве с криптовалютой жертву обычно убеждают добровольно отправить криптовалюту с помощью ложных инвестиционных обещаний, выдачи себя за другого человека, романтических отношений, поддельного предложения о работе или другой обманной истории.

Эти категории могут пересекаться, если злоумышленник крадет данные, а затем выдает себя за доверенное лицо, чтобы потребовать криптовалюту.

В обоих случаях необходимо быстро сообщить об инциденте и сохранить адреса кошельков и записи о транзакциях.

Криптовымогательское ПО и криптоджекинг

При атаке с криптовымогательским ПО требуют криптовалюту в обмен на восстановление данных, доступа к системе или конфиденциальности.

При криптоджекинге вычислительные ресурсы жертвы тайно используют для майнинга криптовалюты.

Криптоджекинг может замедлять работу систем и повышать расходы на электроэнергию, не показывая записку с требованием выкупа.

Если в сеть установили разные вредоносные программы, в ней могут одновременно происходить обе атаки.

Криптовымогательское ПО и вредоносный инструмент для опустошения криптокошелька

Криптовымогательское ПО использует шифрование или вымогательство, чтобы заставить жертву заплатить.

Вредоносный инструмент для опустошения кошелька использует похищенные ключи, вредоносные разрешения или обманные подписи, чтобы напрямую переводить цифровые активы из кошелька.

Злоумышленник, использующий программу-вымогатель, также может установить ПО для кражи средств из кошелька. Поэтому инцидент может включать как требования выкупа, так и несанкционированные переводы криптовалюты.

Распространенные заблуждения о криптовымогательском ПО

Одно из заблуждений состоит в том, что из-за криптовалюты платежи при атаках с программами-вымогателями невозможно отследить.

Записи в публичном блокчейне могут предоставить важные доказательства, даже если личность владельца кошелька изначально неизвестна.

Другое заблуждение — что оплата всегда позволяет восстановить все файлы.

Злоумышленники могут предоставить ненадежный инструмент для расшифровки или вовсе не ответить после получения криптовалюты.

Некоторые жертвы считают, что резервные копии полностью устраняют риск атак с программами-вымогателями.

Резервные копии помогают восстановить работу, но не мешают злоумышленникам опубликовать похищенные данные.

Еще одна ошибка — считать, что удаление программы-вымогателя избавляет от злоумышленника.

Первоначально скомпрометированный аккаунт, инструмент удаленного доступа, вредоносный аккаунт администратора или похищенные учетные данные могут по-прежнему оставаться активными.

Некоторые пользователи также полагают, что государственное ведомство может просто отменить криптовалютный платеж.

Для возврата средств обычно нужны отслеживание транзакций, законные основания, контроль над соответствующими активами и сотрудничество со стороны сервисов или юрисдикций.

Часто задаваемые вопросы

Как проще всего определить криптовымогательское ПО?

Криптовымогательское ПО — это вредоносная программа или вымогательство с использованием данных, которые нарушают доступ к цифровым системам и требуют от жертвы оплату в криптовалюте.

Почему программы-вымогатели требуют криптовалюту?

Злоумышленники могут требовать криптовалюту, поскольку ее можно быстро переводить через границы, переводы доступны постоянно, а после подтверждения отправителю сложно отменить транзакцию.

Криптовымогательское ПО — это то же самое, что криптоджекинг?

Нет. При атаке с криптовымогательским ПО требуют оплату, а при криптоджекинге устройство жертвы тайно используют для майнинга криптовалюты.

Анонимны ли платежи при атаках с криптовымогательским ПО?

Нет. Личность владельца кошелька может быть сначала неизвестна, но транзакции в блокчейне часто видны публично и поддаются анализу.

Можно ли отменить платеж криптовалютного выкупа?

Отправитель обычно не может отменить подтвержденный платеж, хотя иногда власти могут изъять или заморозить средства в ходе расследования.

Гарантирует ли оплата выкупа получение ключа для расшифровки?

Нет. Злоумышленник может предоставить неработающий ключ, потребовать дополнительную криптовалюту или исчезнуть, не оказав помощи жертве.

Может ли программа-вымогатель украсть криптовалютный кошелек?

Да. Вредоносное ПО может искать приватные ключи, фразы восстановления, файлы кошельков, расширения браузера, пароли и активные сеансы аккаунтов.

Что делать в первую очередь после обнаружения программы-вымогателя?

Немедленно изолируйте затронутые системы, запустите план реагирования на инциденты, защитите криптоактивы, сохраните доказательства и свяжитесь с соответствующими специалистами и властями.

Следует ли выключать компьютер, зараженный программой-вымогателем?

Обычно сначала компьютер отключают от сетей. Выключение может быть уместным, если изоляция невозможна или такое действие рекомендовал специалист по реагированию на инциденты.

Какие сведения о криптовалюте нужно сообщить?

Укажите адрес кошелька, требуемый актив, сеть, сумму, срок оплаты, хеш транзакции, временные метки и всю переписку со злоумышленником.

Можно ли расшифровать данные без оплаты?

Некоторые данные можно расшифровать с помощью резервных копий, найденных ключей, уязвимостей в реализации или легальных бесплатных инструментов для расшифровки, но решения для каждого варианта программы-вымогателя нет.

Могут ли резервные копии остановить программу-вымогатель?

Защищенные и проверенные резервные копии могут помочь восстановить данные, но не останавливают кражу информации и не предотвращают первоначальную атаку.

Что такое двойное вымогательство с применением программы-вымогателя?

Двойное вымогательство происходит, когда злоумышленники крадут данные и шифруют системы, а затем требуют криптовалюту за расшифровку и неразглашение информации.

Что такое программы-вымогатели как услуга?

Программы-вымогатели как услуга — это преступная модель, при которой операторы вредоносного ПО предоставляют аффилиатам инструменты и инфраструктуру для атак и раздела полученных средств.

Незаконно ли платить криптовалютный выкуп?

Оплата не является незаконной во всех случаях, но может нарушать санкции или другие законы, если получатель — запрещенное лицо или организация.

Куда сообщить об атаке с криптовымогательским ПО?

Сообщите об инциденте в соответствующий национальный орган по борьбе с киберпреступностью или правоохранительную службу, а также в органы надзора, если этого требуют сфера деятельности или местонахождение организации.

Могут ли правоохранительные органы отследить кошелек злоумышленника?

Следователи могут анализировать активность в публичном блокчейне и связывать кошелек с идентифицируемыми сервисами, аккаунтами, устройствами или другими адресами преступников.

Можно ли вернуть похищенные данные после выплаты выкупа?

Оплата не доказывает, что злоумышленник удалил все копии похищенных данных или не поделился ими с кем-либо.

Как криптокомпаниям снизить риск атак с программами-вымогателями?

Криптокомпании могут отделить системы подписания транзакций в кошельках, требовать нескольких подтверждений, защищать резервные копии, устанавливать обновления безопасности, ограничивать привилегии, отслеживать сети и отрабатывать планы реагирования на инциденты.

Может ли программа-вымогатель повлиять на аппаратный кошелек?

Программа-вымогатель может не извлечь ключи непосредственно из надежно защищенного аппаратного кошелька, но способна подменить отображаемые адреса, скомпрометировать подключенный компьютер или обманом заставить пользователя одобрить вредоносную транзакцию.

Как лучше всего защититься от криптовымогательского ПО?

Наиболее надежная защита сочетает проверенные автономные резервные копии, безопасную аутентификацию, своевременную установку обновлений, сегментацию сети, изоляцию кошельков, мониторинг, обучение сотрудников и отработанный план реагирования.

Заключение

Криптовымогательское ПО — это кибератака, при которой данные шифруют, информацию крадут, работу систем нарушают или угрожают раскрытием данных, требуя оплату в криптовалюте.

Криптовалюта дает злоумышленникам возможность быстро получать платежи из разных стран, но записи в публичном блокчейне также могут помочь отслеживанию средств и расследованию правоохранительными органами.

Оплата выкупа не гарантирует расшифровку данных, их удаление, восстановление работы или защиту от повторной атаки.

Организациям следует сосредоточиться на изоляции затронутых систем, защите криптовалютных кошельков, сохранении полной информации о транзакциях, оперативном сообщении об инциденте и восстановлении работы из проверенных резервных копий.

Для наиболее эффективной долгосрочной защиты нужны меры кибербезопасности, надежное хранение криптовалюты, четко определенные полномочия по принятию решений и план реагирования на атаки с программами-вымогателями, проверенный до возникновения чрезвычайной ситуации.