Если компьютер просто стал медленнее, это ещё не доказывает заражение. Причиной могут быть обновление системы, нехватка памяти или техническая неисправность. Но если одновременно отключилась защита, изменились файлы, появились от вашего имени уходят сообщения или появились незнакомые сеансы в аккаунтах, ситуацию нужно считать возможным инцидентом.
В этот момент сотруднику не следует самостоятельно искать и удалять вирус. Первые задачи другие: отключить устройство от сети, прекратить работу и как можно быстрее сообщить ответственному специалисту.
Что называют вредоносным программным обеспечением
Вирусоносное программное обеспечение — это программы, созданные для кражи данных, получения несанкционированного доступа, слежки, шифрования файлов или нарушения работы устройства.
К нему относятся трояны, программы-вымогатели, средства кражи паролей, шпионские и рекламные программы, сетевые черви и другие угрозы. Словом «вирус» часто называют любое заражение, хотя технически это лишь один из видов вредоносных программ.
Пользователю необязательно определять точный тип угрозы. Гораздо важнее вовремя заметить признаки инцидента и не дать заражению распространиться.
Насколько серьёзны обнаруженные признаки
| Ситуация | Что это может означать | Что делать |
|---|---|---|
| Компьютер стал медленнее или одна программа начала работать со сбоями | Возможны техническая неисправность, обновление или нехватка ресурсов | Зафиксировать проблему и обратиться в техническую поддержку, если она повторяется |
| Появились неизвестные программы, окна, расширения браузера или отключилась защита | Возможно заражение или нежелательное изменение системы | Прекратить работу, отключить устройство от сети и немедленно сообщить ответственному |
| Файлы переименовываются или не открываются, появилось требование выкупа | Вероятна атака программы-вымогателя | Сразу изолировать компьютер и связаться со специалистом по телефону или с другого устройства |
| От вашего имени рассылаются сообщения, обнаружены чужие сеансы или подозрительные платежи | Аккаунты и платёжные данные могли оказаться у злоумышленников | Сообщить службе безопасности, а при угрозе деньгам — дополнительно связаться с банком по официальному номеру |
Первые действия при подозрении на заражение
1. Отключите компьютер от сети
Выключите Wi-Fi и отсоедините сетевой кабель. Не подключайте устройство обратно, чтобы проверить, «прошла ли проблема».
Изоляция ограничивает передачу данных, получение команд злоумышленников и распространение вредоносной программы на другие устройства. Именно это CISA рекомендует делать в первую очередь при обнаружении программы-вымогателя.
Обычно компьютер не нужно сразу перезагружать или выключать: специалисту могут понадобиться сведения из оперативной памяти и журналов системы. Выключение допустимо как крайняя мера, если устройство невозможно отключить от сети и заражение продолжает распространяться.
2. Не вводите пароли и не открывайте рабочие сервисы
Не заходите с подозрительного компьютера в почту, рабочие чаты, систему управления клиентами, облачные хранилища, панель сайта и интернет-банк. Программа, перехватывающая нажатия клавиш или данные браузера, может получить и новый пароль.
Не продолжайте редактировать документы, проводить платежи или отправлять файлы коллегам.
3. Сообщите об инциденте
Свяжитесь с системным администратором, службой информационной безопасности, руководителем или внешним техническим подрядчиком. Используйте телефон либо другое заведомо безопасное устройство.
Не стоит скрывать ошибку из-за опасения получить выговор. Вредоносное вложение может открыть даже внимательный сотрудник, особенно если письмо отправлено со взломанного адреса знакомого человека. Для компании гораздо важнее узнать об инциденте до того, как он затронет другие компьютеры.
4. Зафиксируйте происходящее
Запишите:
- когда появились первые признаки;
- какой файл, архив или ссылку вы открывали перед этим;
- от кого пришло сообщение;
- какие окна и предупреждения появились;
- какие действия вы уже успели выполнить;
- кто ещё мог получить тот же файл.
Сфотографируйте экран на телефон. Не удаляйте требование выкупа, подозрительные письма, файлы и сообщения: они могут понадобиться для расследования.
5. Защитите аккаунты с безопасного устройства
Если есть признаки кражи доступа, смените пароли с другого компьютера или телефона, которому можно доверять. Желательно согласовать порядок действий со специалистом: одной смены пароля может быть недостаточно.
Потребуется завершить активные сеансы, отозвать доступ подключённых приложений, проверить способы восстановления аккаунта и включить двухфакторную аутентификацию. Если под угрозой интернет-банк или корпоративные платежи, сразу позвоните в банк по номеру с его официального сайта или банковской карты.
Признаки, которые нельзя игнорировать
- Резкое замедление работы. Программы долго открываются, компьютер перегревается или постоянно работает под высокой нагрузкой без видимой причины.
- Неизвестные программы. При запуске системы появляются окна или приложения, которые пользователь не устанавливал.
- Странное поведение браузера. Меняется поисковая система, возникают перенаправления, сами открываются вкладки или устанавливаются неизвестные расширения.
- Ложные предупреждения. На экране требуют срочно установить «антивирус», позвонить в поддержку, предоставить удалённый доступ или оплатить очистку.
- Отключение защиты. Не открываются настройки безопасности, антивирус, обновления или системные средства управления.
- Изменение файлов. Документы получают необычные расширения, перестают открываться или исчезают.
- Сообщения от вашего имени. Коллеги получают ссылки, архивы и письма, которые вы не отправляли.
- Чужие сеансы. В почте, мессенджере или другом сервисе отображаются незнакомые устройства и места входа.
- Необычные операции. Появляются неподтверждённые платежи, изменения реквизитов или запросы на вход, которые вы не создавали.
Каждый из этих признаков может иметь другое объяснение. Однако сочетание нескольких симптомов требует немедленной проверки.
Как заражение попадает на рабочий компьютер
Большинство атак не похоже на взлом из фильма. Злоумышленнику достаточно убедить человека открыть файл, перейти по ссылке или установить программу.
Основные пути заражения:
- письма и сообщения с поддельными счетами, договорами и уведомлениями;
- архивы и документы, предлагающие включить макросы или «разрешить содержимое»;
- ссылки от взломанных аккаунтов знакомых людей;
- пиратские программы, генераторы ключей и средства обхода лицензий;
- поддельные сайты известных программ;
- вредоносная реклама и заражённые сайты;
- неизвестные флешки и внешние диски;
- уязвимости в необновлённой системе, браузере и рабочих программах.
Microsoft отдельно предупреждает о вредоносных почтовых вложениях, макросах в документах, заражённых USB-носителях, программах со сторонних сайтов и уязвимостях необновлённого программного обеспечения.
Чего не следует делать
- не продолжайте работать на подозрительном компьютере;
- не вводите пароли и платёжные данные;
- не пересылайте подозрительный файл коллегам для проверки;
- не подключайте флешку или внешний диск;
- не копируйте документы в облачное хранилище;
- не удаляйте системные и подозрительные файлы вручную;
- не устанавливайте программы для «быстрой очистки» из рекламы или поисковой выдачи;
- не перезагружайте и не переустанавливайте систему без согласования со специалистом;
- не связывайтесь с вымогателями и не платите им самостоятельно;
- не скрывайте инцидент от компании.
Особенно опасно копировать документы с заражённого компьютера на внешний носитель. Вместе с ними можно перенести вредоносный файл на другое устройство. Кроме того, самостоятельные действия способны изменить или уничтожить сведения, необходимые для расследования.
Кто должен проверять и очищать компьютер
На корпоративном устройстве проверку лучше поручить системному администратору или специалисту по информационной безопасности. Он должен определить не только наличие вредоносной программы, но и возможный масштаб инцидента:
- какие устройства и аккаунты затронуты;
- могли ли быть похищены данные;
- сохранился ли у злоумышленника доступ;
- распространилось ли заражение по сети;
- можно ли безопасно очистить систему или требуется полная переустановка;
- какие резервные копии подходят для восстановления.
Для диагностики используют установленные в компании средства защиты, журналы событий и другие данные. Названия инструментов и продолжительность проверки зависят от инфраструктуры, объёма дисков и вида угрозы — универсального времени сканирования не существует.
Если в компании нет штатного специалиста, лучше обратиться к заранее выбранному надёжному подрядчику. Случайную программу из поисковой рекламы нельзя считать безопасной только потому, что она называет себя антивирусом.
Сообщение об успешном удалении угрозы ещё не означает, что устройству можно доверять. Пароли могли быть украдены до очистки, а отдельные компоненты заражения — сохраниться в системе. Возвращаться к работе следует после разрешения ответственного специалиста.
Что проверить после инцидента
С безопасного устройства и по согласованию с ответственным специалистом необходимо:
- сменить пароли затронутых аккаунтов на новые и уникальные;
- завершить все активные сеансы;
- отозвать доступ неизвестных приложений и устройств;
- включить двухфакторную аутентификацию;
- проверить резервные адреса и телефоны для восстановления доступа;
- просмотреть правила пересылки почты, автоматические ответы и папку «Отправленные»;
- проверить историю входов и действий в рабочих системах;
- проверить платежи и изменение банковских реквизитов;
- предупредить получателей подозрительных сообщений, отправленных от вашего имени.
Служба безопасности и юристы компании должны отдельно оценить, были ли раскрыты клиентские или персональные данные и требуется ли уведомлять клиентов, партнёров либо государственные органы. Сотруднику не следует делать такие заявления от имени компании самостоятельно.
Как снизить риск заражения
Надёжная защита строится не на одном антивирусе. Компании необходимы несколько независимых мер:
- автоматическая установка обновлений для операционной системы, браузеров и рабочих программ;
- централизованная защита и контроль рабочих устройств;
- ограничение прав администратора у обычных сотрудников;
- запрет установки программ без согласования;
- двухфакторная аутентификация для почты, облачных сервисов и финансовых систем;
- регулярное резервное копирование важных данных;
- хранение хотя бы одной резервной копии отдельно от рабочей сети;
- периодическая проверка возможности восстановить данные из копии;
- ограничение использования неизвестных флешек и внешних дисков;
- обучение сотрудников распознаванию подозрительных писем и вложений;
- понятная инструкция с контактами на случай инцидента.
Рекомендации NIST по реагированию на инциденты рассматривают подготовку, обнаружение, реагирование и восстановление как единый процесс. Поэтому компании важно не только установить защитные программы, но и заранее решить, кто принимает сообщение, отключает устройства, восстанавливает данные и взаимодействует с руководством.
Сотруднику не требуется быть специалистом по кибербезопасности. Достаточно помнить простой порядок: заметить подозрительные признаки, отключить устройство от сети, ничего на нём не менять и сразу сообщить ответственному. Быстрая и спокойная реакция часто позволяет остановить инцидент до того, как он затронет всю компанию.
