Ситуация, когда при начале рабочего дня сотрудники обнаруживают в папке с базой 1С странные файлы с расширением .xtbl, .ytbl или записку Dont_Worry.txt, является критической для любого бизнеса. В данной статье мы подробно разберем алгоритм действий, который поможет восстановить данные файловой базы 1С (формата .1CD), проанализируем причины заражения и выясним, как обезопасить систему в будущем.
Первым делом проанализируем текст записки, оставленной злоумышленниками. В нашем случае упоминание почтовых адресов на домене torbox и характерные инструкции по использованию Tor-браузера указывают на то, что сервер был атакован шифровальщиком семейства Shade (также известным как Trojan-Ransom.Win32.Shade). Это крайне распространенный тип вредоносного ПО, который нацелен именно на корпоративный сектор и бухгалтерские данные.
Рассмотрим специфику работы этого вируса с файлами 1С. Поскольку база объемом 2.7 Гб является достаточно тяжелым объектом, шифровальщик зачастую повреждает только заголовок файла и первые несколько мегабайт данных. Это делается для скорости, чтобы успеть заблокировать максимум информации до того, как его обнаружит антивирус или системный администратор. Для нас это хорошая новость: физически большая часть данных (таблицы, проводки, документы) может оставаться в целости внутри зашифрованного массива.
Прежде чем приступать к любым манипуляциям, выполним следующие действия:
1Cv8.1CD на отдельный внешний жесткий диск или флешку.Проанализируем доступные инструменты восстановления. Важно понимать, что в 2020 году разработчики вируса Shade прекратили свою деятельность и опубликовали ключи для дешифровки. Это позволило крупным антивирусным лабораториям создать бесплатные утилиты для автоматического восстановления файлов.
Разберем процесс использования утилиты ShadeDecryptor:
ShadeDecryptor.exe на зараженном сервере.После того как утилита-дешифратор отрапортует об успехе, файл 1Cv8.1CD может все еще не открываться в 1С. Это происходит из-за того, что структура заголовка базы данных была нарушена в процессе криптографических манипуляций. Выясним причину и исправим ее с помощью штатных средств платформы.
Воспользуемся утилитой chdbfl.exe, которая входит в комплект поставки платформы 1С:Предприятие. Рассмотрим алгоритм работы с ней:
C:\Program Files\1cv8\номер_версии\bin\).chdbfl.exe.1Cv8.1CD.Проанализируем результаты работы утилиты. Если она сообщает о множественных исправлениях в таблицах и индексах, значит, дешифровка прошла успешно, но часть метаданных пришлось пересоздать. После завершения работы chdbfl.exe попробуем открыть базу в режиме Конфигуратора и выполнить "Тестирование и исправление" со всеми установленными флажками.
Разберем основные причины, по которым шифровальщик смог попасть на сервер и повредить базу 1С. Как правило, это происходит через две основные уязвимости:
Посмотрим на рекомендации, которые помогут избежать подобных инцидентов:
1. Настройка системы резервного копирования (Backup). Помните золотое правило: бэкапы, которые хранятся на том же сервере, где и рабочая база — это не бэкапы. Шифровальщик найдет их в первую очередь. Рассмотрим стратегию "3-2-1":
2. Использование скриптов для автоматизации. Для регулярного создания копий можно использовать простые cmd или powershell скрипты, которые будут архивировать базу и переносить ее в защищенное хранилище. Рассмотрим пример структуры такого скрипта:
REM Завершение работы пользователей 1С
taskkill /F /IM 1cv8*
REM Копирование файла базы в архивную папку
"C:\Program Files\7-Zip\7z.exe" a -tzip "D:\Backups\Backup_%date%.zip" "C:\Base1C\1Cv8.1CD"
REM Перенос архива на удаленный ресурс, недоступный для записи вирусу
net use Z: \\BackupServer\Storage /user:Admin Password
copy "D:\Backups\Backup_%date%.zip" "Z:\"
net use Z: /delete
3. Ограничение прав доступа. Процесс 1С и пользователи не должны иметь прав администратора. Файловая база должна находиться в папке, доступ к которой имеют только те сотрудники, которые с ней работают.
4. Защита RDP. Никогда не публикуйте стандартный порт 3389 в интернет. Используйте VPN-шлюзы для подключения сотрудников или хотя бы смените стандартный порт на любой свободный из диапазона 40000-60000, предварительно настроив блокировку по количеству неудачных попыток входа.
Ситуация с шифрованием базы — это серьезный урок по информационной безопасности. Несмотря на то что для версии Shade существуют решения, новые модификации вирусов могут быть гораздо более устойчивыми к расшифровке. Единственным гарантированным способом защиты остается регулярное создание бэкапов и строгая политика доступа к серверным ресурсам.