По данным компании Index Engines, занимающейся защитой данных, команды восстановления данных сталкиваются с более сложной задачей. Компания утверждает, что новые программы-вымогатели часто повреждают файлы, не шифруя их полностью. Это звучит как небольшое техническое различие, но оно меняет принцип работы восстановления. Для всех, кто полагается на резервные копии, повреждение данных программами-вымогателями и резервные копии — это теперь сочетание, которое стоит понимать.

Оригинальный отчёт краток, поэтому данная статья придерживается того, что сказала Index Engines, и добавляет общий контекст о том, как работают повреждение файлов и практики резервного копирования. Там, где мы объясняем механизмы, мы описываем общие технические соображения, а не утверждения из отчёта.

Почему программы-вымогатели повреждают файлы вместо их шифрования

В отчёте констатируется тенденция, но в доступном нам резюме не детализируются мотивы, стоящие за ней. Некоторые общие моменты помогают объяснить, почему злоумышленники могут предпочитать повреждение полному шифрованию.

Полное шифрование каждого файла требует времени и вычислительных ресурсов. Повреждение только частей файла или перезапись данных таким образом, что они становятся непригодными для использования, может быть быстрее. Это также может быть сложнее обнаружить. Многие средства защиты настроены на поиск знакомой картины массового шифрования, например, переименования файлов или появления требования выкупа. Повреждение, которое больше похоже на обычные ошибки файлов, может сначала привлекать меньше внимания.

Есть и практическое последствие для жертв. Если файлы зашифрованы, ключ расшифровки иногда может их восстановить. Если файлы повреждены, расшифровывать может быть нечего. Единственный надёжный путь назад — это чистая копия.

Что частичное повреждение означает для восстановления данных

Index Engines говорит, что в результате команды восстановления сталкиваются с более сложной задачей. Причина очевидна: обычные допущения при восстановлении перестают работать.

  • Файлы могут выглядеть присутствующими, но быть непригодными для использования. Документ может существовать, показывать нормальный размер и всё равно не открываться.
  • Повреждение может распространяться на резервные копии. Если программное обеспечение для резервного копирования копирует повреждённые файлы по расписанию, хорошие версии со временем могут быть перезаписаны плохими.
  • Масштаб сложнее измерить. При полном шифровании ясно, что затронуто. При частичном повреждении команды могут не знать, какие файлы повреждены, а какие целы, без проверки каждого из них.

Последний пункт наиболее важен. Резервная копия полезна только в том случае, если вы знаете, какая точка восстановления чиста. Без этого знания восстановление может превратиться в медленные пробы и ошибки.

Как защитить резервные копии от атак повреждения

Цель — сохранить хотя бы одну чистую, нетронутую копию ваших данных, до которой злоумышленник не может добраться или изменить её. Несколько привычек помогут отдельным пользователям и небольшим организациям достичь этого.

Храните версионные резервные копии. Версионирование сохраняет несколько исторических копий файла, а не только последнюю. Если сегодняшняя версия повреждена, вчерашняя или прошлонедельная может быть ещё в порядке. Установите срок хранения достаточно долгим, чтобы медленное, незаметное повреждение не привело к устареванию ваших хороших копий до того, как вы это заметите.

Храните офлайн- или отключённую копию. Диск для резервного копирования, который подключён всё время, может быть доступен всему, что доберётся до вашего компьютера. Ротация диска, который отключается после каждого резервного копирования, ограничивает эту уязвимость.

По возможности используйте неизменяемое хранилище. Неизменяемые резервные копии не могут быть изменены или удалены в течение установленного периода, даже с учётной записи администратора. Это делает их устойчивыми как к шифрованию, так и к повреждению. Наше объяснение о неизменяемых резервных копиях как последней линии защиты от программ-вымогателей описывает, как это работает и почему злоумышленники теперь нацелены непосредственно на системы восстановления.

Разделяйте свои учётные данные. Системы резервного копирования не должны использовать тот же логин, что и повседневные учётные записи. Если злоумышленник захватит повседневную учётную запись, он не должен автоматически получить доступ к вашим резервным копиям.

Тестируйте восстановление, а не только резервное копирование. Задание резервного копирования, сообщающее об успехе, говорит лишь о том, что данные были скопированы. Периодически восстанавливайте выборку файлов и открывайте их. Это простейший способ обнаружить скрытое повреждение до того, как данные понадобятся.

Ранние признаки неожиданного повреждения файлов

Поскольку повреждение может быть тише шифрования, раннее обнаружение имеет значение. Следите за такими признаками, как:

  • Файлы, которые внезапно перестают открываться или выдают ошибки, особенно несколько сразу
  • Документы, фотографии или базы данных, которые открываются, но содержат искажённое или отсутствующее содержимое
  • Необъяснимые изменения размеров файлов или дат изменения у многих файлов
  • Задания резервного копирования, которые занимают заметно больше или меньше времени, чем обычно, или начинают выдавать предупреждения
  • Необычная активность диска или замедления, когда никто интенсивно не использует систему

Организации могут добавить мониторинг, который оповещает об изменении большого количества файлов за короткое время. Отдельные пользователи могут получить значительную часть выгоды, выборочно проверяя важные папки и читая уведомления программного обеспечения для резервного копирования, вместо того чтобы игнорировать их.

Если вы подозреваете повреждение, отключите затронутое устройство от сети и остановите задания резервного копирования, прежде чем они перезапишут хорошие версии плохими. Затем определите последнюю известную чистую точку восстановления.

Что это значит для вас

Отчёт Index Engines — напоминание о том, что планирование восстановления не может исходить из того, что программы-вымогатели всегда объявят о себе требованием выкупа и заблокированными файлами. Если повреждение частичное и тихое, качество ваших резервных копий определяет, сколько вы сможете восстановить.

Для домашних пользователей это означает наличие более одной копии того, что важно, причём хотя бы одна хранится офлайн. Для небольших организаций это означает версионные и неизменяемые копии, отдельные учётные данные для систем резервного копирования и регулярные тесты восстановления. Ничего из этого не требует большого бюджета, но требует внимания до того, как что-то пойдёт не так.

Выводы: проверьте настройки резервного копирования на этой неделе

  • Убедитесь, что ваши резервные копии хранят несколько версий, а не только последнюю копию.
  • Добавьте офлайн- или отключённую копию ваших самых важных данных.
  • Рассмотрите неизменяемое хранилище для критически важных резервных копий.
  • Восстановите несколько файлов из резервной копии и убедитесь, что они открываются правильно.
  • Обращайте внимание на предупреждения резервного копирования и неожиданные ошибки файлов.

Повреждение данных программами-вымогателями и резервные копии — это проблема, к которой можно подготовиться несколькими продуманными шагами. Найдите время на этой неделе, чтобы проверить свою настройку, и прочитайте наше руководство по неизменяемым резервным копиям для более глубокого изучения защиты систем, от которых зависит ваше восстановление.