Что такое программы-вымогатели: как устроены атаки, кто платит и как защититься

Что такое программа-вымогатель?

Агентство по кибербезопасности и защите инфраструктуры США (CISA) определяет программу-вымогатель как вредоносное ПО, предназначенное для шифрования файлов на устройстве, в результате чего они и зависящие от них системы становятся непригодными для использования, после чего преступники требуют выкуп за расшифровку ^[1]. Шифрование в данном случае означает преобразование файлов с помощью ключа, который есть только у злоумышленника. Национальный центр кибербезопасности Великобритании (NCSC) отмечает, что может быть заблокирован сам компьютер либо данные могут быть похищены, удалены или зашифрованы, а некоторые программы-вымогатели распространяются на другие машины в сети, как это сделал WannaCry, поразивший Национальную службу здравоохранения (NHS) в мае 2017 года ^[3].

Жертвам обычно предлагают связаться со злоумышленником через анонимный адрес электронной почты или веб-страницу и заплатить в криптовалюте, например в биткоинах (Bitcoin) ^[2]. Microsoft отмечает, что заражение обычно никак не проявляется, пока окно, приложение или полноэкранное сообщение не потребует денег, — часто уже после того, как файлы зашифрованы ^[7].

Что такое двойное вымогательство?

Со временем злоумышленники стали также копировать данные жертв и угрожать их опубликовать, чтобы вынудить заплатить; сочетание шифрования и угрозы утечки называется двойным вымогательством ^[1]. В некоторых случаях преступники вовсе отказываются от шифрования и используют украденные данные как единственный рычаг давления ^[1].

Как проходит атака программы-вымогателя?

NCSC описывает типичную последовательность ^[2]:

1. Злоумышленники получают доступ к сети, закрепляют контроль и внедряют вредоносное ПО для шифрования; они также могут скопировать данные, чтобы угрожать утечкой ^[2].
2. Вредоносная программа активируется, блокируя устройства и шифруя данные по всей сети ^[2].
3. На экране появляется уведомление с описанием выкупа и способа оплаты — обычно через анонимную веб-страницу и в криптовалюте ^[2].

Как злоумышленники проникают внутрь?

CISA выделяет следующие наиболее распространённые векторы первоначального доступа: уязвимости и ошибки конфигурации систем, доступных из интернета, скомпрометированные учётные данные, фишинг, ранее произошедшие заражения вредоносным ПО, продвинутая социальная инженерия, а также третьи стороны или поставщики управляемых услуг ^[1]. NCSC отмечает, что программы-вымогатели всё чаще развёртывают злоумышленники, получающие удалённый доступ через открытые службы, например протокол удалённого рабочего стола (RDP), или через необновлённые устройства удалённого доступа ^[3]. Для домашних пользователей Microsoft называет распространёнными путями заражения открытие неожиданных вложений и вредоносных ссылок в электронной почте, соцсетях, мессенджерах или SMS ^[7].

Кто за этим стоит?

По данным компании Chainalysis, специализирующейся на анализе блокчейна, вымогательство сегодня функционирует как взаимосвязанный рынок услуг доступа, инфраструктуры и платежей ^[5]. Крупные операции по модели «вымогатель как услуга» (ransomware-as-a-service, RaaS) в 2025 году распались на множество мелких независимых участников; по некоторым данным, активно действуют до 85 вымогательских группировок ^[5]. Брокеры первоначального доступа (IAB) обеспечивают проникновение в скомпрометированные сети, чтобы аффилиаты — преступники, которые непосредственно развёртывают программу-вымогатель, — могли относительно легко атаковать; Chainalysis установила, что всплески активности IAB, как правило, предшествуют росту выплат вымогателям и утечек примерно на 30 дней ^[5].

Насколько велика проблема программ-вымогателей?

В 2025 году Центр приёма жалоб на интернет-преступления ФБР (IC3) получил 3611 жалоб на программы-вымогатели против 3156 в 2024 году; заявленный ущерб составил 32320105 долларов США ^[4]. ФБР предупреждает, что эта цифра обычно не включает упущенную выгоду, потерянное время, заработную плату, файлы или оборудование, а также расходы на восстановление силами третьих сторон, что некоторые жертвы вообще не сообщают об ущербе и что в итоге показатель потерь получается искусственно заниженным ^[4]. Чаще всего в 2025 году сообщалось о вариантах Akira, Qilin, INC./Lynx/Sinobi, BianLian и Play, а в первую десятку наиболее пострадавших отраслей вошли критически важное производство, здравоохранение и общественное здоровье, а также государственные учреждения ^[4]. За год IC3 выявил 63 новых варианта ^[4].

По оценке Chainalysis, в 2025 году вымогатели получили более 820 млн долларов США в виде выплат в блокчейне — примерно на 8% меньше обновлённой оценки за 2024 год в 892 млн, хотя число заявленных жертв выросло на 50%, сделав этот год самым активным за всю историю наблюдений ^[5]. По предположению компании, доля жертв, которые платят, могла упасть до исторического минимума в 28% ^[5]. В то же время медианная выплата выросла на 368% — с 12738 до 59556 долларов США ^[5]. Это оценки, полученные путём отслеживания транзакций в блокчейне, и они могут быть пересмотрены по мере установления принадлежности новых платежей ^[5].

Отдельные инциденты могут обходиться очень дорого. Chainalysis приводит в пример кибератаку 2025 года на Jaguar Land Rover, которая остановила производственные линии и нанесла экономический ущерб, оцениваемый в 1,9 млрд фунтов стерлингов, — самое дорогостоящее киберсобытие в истории Великобритании ^[5].

Стоит ли платить выкуп?

Официальные рекомендации единодушны: не платите, если можно этого избежать. CISA и её партнёры не рекомендуют платить, поскольку оплата не гарантирует ни расшифровки данных, ни того, что системы больше не скомпрометированы, ни того, что данные не утекут ^[1]. NCSC отмечает, что правоохранительные органы Великобритании не поощряют, не одобряют и не оправдывают выплату выкупа, и предупреждает, что в случае оплаты нет гарантии восстановления доступа, а вероятность повторной атаки возрастает ^[3]. Центр добавляет, что некоторые вредоносные программы лишь выдают себя за вымогателей: на самом деле это вайперы, и после оплаты файлы не расшифровываются ^[3].

Каковы юридические риски?

В сентябре 2021 года Управление по контролю за иностранными активами Министерства финансов США (OFAC) обновило разъяснение о возможных санкционных рисках при содействии выплатам вымогателям, подчеркнув, что правительство США настоятельно не рекомендует платить кибервыкуп, и призвав жертв сообщать об атаках ^[10]. В руководстве CISA также отмечается, что выплата выкупа может быть сопряжена с санкционными рисками ^[1].

В Великобритании 22 июля 2025 года, по итогам публичных консультаций, правительство объявило, что продвинет меры по запрету выплат выкупа для организаций государственного сектора и операторов критической национальной инфраструктуры, включая NHS, местные советы и школы ^[9]. Согласно предложениям, другие компании должны будут уведомлять правительство о намерении заплатить, а также разрабатывается режим обязательного информирования ^[9]. По состоянию на 3 ноября 2026 года читателям следует уточнить на сайте GOV.UK, стали ли эти меры законом.

Это общая информация, а не юридическая или финансовая консультация. Организации, получившей требование выкупа, следует привлечь правоохранительные органы, юристов и специалистов по реагированию на инциденты.

Как защититься от программ-вымогателей дома?

1. Делайте резервные копии всего ценного. NCSC определяет резервную копию как копию важных данных, хранящуюся в отдельном безопасном месте, например в облачном хранилище или на съёмном носителе, и называет вредоносное ПО, в том числе программы-вымогатели, среди причин, по которым можно потерять доступ к данным ^[8].
2. Держите хотя бы одну резервную копию отключённой. NCSC советует не подключать устройства резервного копирования, такие как внешние диски и USB-накопители, на постоянной основе, поскольку злоумышленники атакуют подключённые копии ^[3].
3. Пользуйтесь историей версий. Выбирайте облачный сервис, который хранит предыдущие версии файлов, поскольку облачные сервисы часто синхронизируются сразу после того, как файлы заменяются зашифрованными копиями ^[3]. По словам Microsoft, OneDrive включает обнаружение программ-вымогателей и управление версиями файлов ^[7].
4. Обновляйте всё. Своевременно устанавливайте исправления для Windows и другого ПО и держите «Безопасность Windows» включённой ^[7]; NCSC рекомендует по возможности включать автоматическое обновление операционных систем, приложений и прошивок ^[3].
5. Включите «Контролируемый доступ к папкам» в Windows 10 или 11, чтобы защитить важные папки от несанкционированных программ ^[7].
6. Будьте осторожны с вложениями и ссылками, которых вы не ждали, в том числе в мессенджерах и SMS ^[7].

Как организациям снизить риск атак программ-вымогателей?

Рекомендации ФБР для компаний за 2025 год включают зашифрованные и неизменяемые (которые нельзя изменить или удалить) резервные копии, хранящиеся офлайн или за пределами площадки, удаление паролей по умолчанию, отключение ненужных протоколов, ограничение прав администраторов, многофакторную аутентификацию (MFA) для веб-почты, VPN и критически важных систем, сегментацию сети и оперативную установку исправлений на системы, доступные из интернета ^[4].

CISA советует хранить зашифрованные резервные копии офлайн и регулярно проверять их, поскольку большинство вымогателей пытаются найти и удалить или зашифровать доступные резервные копии ^[1]. Агентство также рекомендует держать «золотые образы» — заранее настроенные шаблоны систем, позволяющие быстро восстановить серверы, — и не открывать в интернет такие службы, как RDP ^[1]. NCSC добавляет, что организациям следует планировать и отрабатывать свои действия, в том числе то, как поддерживать работу критически важных служб при недоступности систем и как реагировать на требование выкупа ^[3]. Правительство Великобритании также призывает хранить резервные копии офлайн и иметь проверенные планы работы без ИТ-систем в течение длительного времени ^[9].

Что делать, если произошла атака программы-вымогателя?

1. Изолируйте пострадавшие устройства. CISA советует отключить их от сети кабелем или отсоединить от Wi-Fi; если затронута вся сеть, отключите её на уровне коммутатора ^[1].
2. Выключайте питание, только если отключить устройство от сети невозможно. CISA отмечает, что выключение уничтожает улики в оперативной памяти, поэтому это крайняя мера ^[1].
3. Используйте внеполосные каналы связи. Злоумышленники могут следить за электронной почтой и чатами, поэтому CISA предлагает координировать реагирование по телефону ^[1].
4. Очистите устройство перед восстановлением. Microsoft советует полностью очистить компьютер с помощью защитного ПО, прежде чем пытаться восстановить файлы ^[7]; NCSC рекомендует проверить резервные копии на вредоносное ПО и подключать их только к заведомо чистым устройствам ^[3].
5. Поищите бесплатный дешифратор. Проект No More Ransom, на который ссылается NCSC, предлагает инструменты расшифровки для некоторых семейств программ-вымогателей, хотя решение есть не для каждого типа ^[6][3].
6. Сообщите об инциденте. В Великобритании об инцидентах можно сообщить в NCSC и в Report Fraud ^[3]; в США ФБР просит жертв подавать заявление в IC3 ^[4]. Microsoft советует тем, кто уже заплатил, немедленно связаться со своим банком и местными властями ^[7].

Как Иран связан с деятельностью вымогателей?

В августе 2024 года ФБР, CISA и Центр по борьбе с киберпреступностью Министерства обороны США предупредили, что группа базирующихся в Иране киберпреступников, которую ФБР считает связанной с правительством Ирана, получала доступ к сетям в США и других странах и сотрудничала с аффилиатами вымогателей, в том числе NoEscape, Ransomhouse и ALPHV (BlackCat), в обмен на процент от выкупа ^[12]. В предупреждении говорится, что злоумышленники часто проникали в сети, эксплуатируя сетевые устройства, например Citrix NetScaler и F5 BIG-IP ^[12].

В сентябре 2022 года Министерство финансов США ввело санкции против десяти физических лиц и двух организаций, связанных с Корпусом стражей исламской революции, за вредоносную киберактивность, включая вымогательство; по данным министерства, группа без разрешения активировала Microsoft BitLocker в сетях жертв и требовала выкуп за ключи расшифровки ^[11]. Это выводы американских ведомств. Подобные санкционные решения — одна из причин, по которым OFAC предупреждает, что выплата выкупа может быть сопряжена с санкционными рисками ^[10].