Как защитить корпоративную сеть и базы данных от распространения вируса-шифровальщика?

← На главную

Столкнувшись с масштабной вирусной атакой в корпоративной сети, системные администраторы и специалисты по сопровождению инфраструктуры должны действовать максимально оперативно. Рассмотрим природу подобных угроз, разберем первоочередные меры реагирования, а также пошагово настроим защиту сетевой инфраструктуры и баз данных от шифрования и уничтожения.

Анализ природы угрозы: особенности работы вайперов и шифровальщиков

Проанализируем специфику вредоносного ПО семейства NotPetya и аналогичных угроз. В отличие от классических программ-вымогателей, современные деструктивные атаки часто нацелены не на получение выкупа, а на необратимое уничтожение структуры диска. Вредоносная программа перезаписывает главную загрузочную запись (MBR) и шифрует главную файловую таблицу (MFT). При этом идентификатор восстановления создается случайным образом, из-за чего расшифровка математически невозможна.

Дополнительно вредоносный код удаляет точки восстановления и журналы событий операционной системы с помощью штатных системных утилит Windows:


vssadmin delete shadows /all /quiet
wevtutil cl

Рассмотрим векторы распространения вредоносного кода внутри сети. Помимо использования эксплойтов сетевого протокола SMB (уязвимость MS17-010), вредоносные модули используют легитимные административные механизмы:

Дамп учетных данных: вредоносный модуль извлекает пароли и NTLM-хэши учетных записей из процесса LSASS.exe.
Боковое перемещение (Lateral Movement): используя полученные административные привилегии, программа запускает копии кода на соседних узлах через интерфейсы WMI и утилиту PsExec.

Первоочередные действия при обнаружении атаки в сети

Если в локальной сети зафиксированы первые случаи заражения, выполним следующий комплекс экстренных мер:

Отключение сетевых сегментов: изолируем зараженные рабочие станции от общей корпоративной сети (отключение патч-кордов, отключение Wi-Fi, изоляция портов на управляемых коммутаторах).
Блокировка автоматической перезагрузки: если система еще работает, но есть подозрение на заражение, принудительно отменим запланированное выключение командой shutdown -a в командной строке.
Экстренное обесточивание при начале шифрования: вредоносный процесс шифрует MFT после перезагрузки под видом проверки диска (утилита CHKDSK). Если выключить питание компьютера (Hard Power Off) до или в самом начале этого экрана, структура файлов не будет повреждена.
Снятие посекторных образов: если разделы диска заблокированы, не форматируем накопители, а создаем полные посекторные копии дисков для дальнейшего криминалистического анализа и возможного восстановления данных в режиме Read-Only.

Применение локальной вакцинации рабочих станций

Разберем механизм предотвращения срабатывания конкретных модификаций вредоносного файла. Некоторые версии зловреда перед началом шифрования проверяют наличие специальных файлов-маркеров в системной директории C:\Windows. Если файл существует, выполнение прерывается.

Для автоматической вакцинации создадим и выполним командный файл .bat с правами локального администратора:


@echo off
net session >nul 2>&1
if %errorLevel% == 0 (
    echo Создание файлов вакцинации...
    echo Vaccination > C:\Windows\perfc
    echo Vaccination > C:\Windows\perfc.dll
    echo Vaccination > C:\Windows\perfc.dat
    attrib +R C:\Windows\perfc
    attrib +R C:\Windows\perfc.dll
    attrib +R C:\Windows\perfc.dat
    echo Система успешно вакцинирована.
) else (
    echo Ошибка: скрипт должен быть запущен с правами администратора.
)
pause

Важно: вакцинация через создание файлов perfc является временной мерой и не отменяет необходимости закрытия системных уязвимостей.

Комплексная настройка системной и сетевой безопасности

Рассмотрим системные шаги для предотвращения повторных атак и блокировки внутренних векторов распространения:

Установка обновлений безопасности: все серверы и клиентские машины под управлением Windows должны содержать актуальные накопительные обновления и исправление MS17-010.
Сетевая фильтрация: заблокируем на пограничных маршрутизаторах, межсетевых экранах и локальных фаерволах входящие и исходящие соединения по сетевым портам 135, 445, а также диапазону 1024-1035 TCP.
Отключение устаревших протоколов: полностью отключим компонент SMBv1 на уровне операционной системы на всех серверах и рабочих станциях.
Защита подсистемы LSASS: включим режим LSA Protection (RunAsPPL) и технологию Credential Guard для блокировки чтения паролей из памяти сторонними процессами. Запретим хранение открытых паролей в оперативной памяти параметром реестра UseLogonCredential = 0 в ветке HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest.
Ограничение запуска исполняемых файлов: с помощью групповых политик (Software Restriction Policies или AppLocker) заблокируем запуск исполняемых файлов (.exe, .bat, .vbs, .js) из пользовательских каталогов %AppData%, %LocalAppData% и %Temp%.
Разграничение прав пользователей: отзовем права локальных администраторов у рядовых учетных записей пользователей и внедрим решение LAPS для генерации уникальных локальных паролей на каждом компьютере.

Организация отказоустойчивого резервного копирования баз данных

Проанализируем правильную архитектуру хранения резервных копий баз данных 1С и критически важных файлов. Стандартное копирование на соседний диск сервера или общедоступную сетевую папку (SMB-шару) не защищает от вируса-шифровальщика, так как вредоносный код использует права текущей скомпрометированной сессии.

Построим надежную схему резервного копирования на основе следующих принципов:

Изолированное сетевое хранилище: целевой сервер резервных копий не должен состоять в домене Active Directory и не должен быть доступен по стандартным сетевым протоколам Windows с рабочих станций пользователей.
Модель прав только на добавление (WORM / Append-only): учетная запись, под которой выполняется выгрузка бэкапа, должна обладать правами исключительно на запись новых файлов без права изменения или удаления уже существующих архивов.
Хранение на автономных носителях: регулярная выгрузка ключевых снимков баз на внешние физические накопители, которые отключаются от оборудования сразу после завершения процедуры резервирования.