В первые минуты
- Отключите заражённые компьютеры от сети — выдерните кабель, отключите Wi-Fi. Не выключайте их: в памяти могут остаться ключи.
- Отключите от сети сервер и сетевые хранилища, если они ещё не зашифрованы.
- Не платите выкуп: гарантий нет, а платёж финансирует следующие атаки.
- Позвоните специалисту и сообщите, что видите.
Чего не делать
- Не запускать «дешифраторы» из интернета — они могут повредить файлы окончательно.
- Не форматировать диски до анализа.
- Не подключать резервные диски к заражённым машинам.
Восстановление
Определяем точку проникновения, очищаем или переустанавливаем системы, восстанавливаем данные из резервных копий, меняем все пароли. Если копий нет или они тоже зашифрованы — проверяем, существует ли дешифратор для этого семейства.
Как не допустить
- Резервные копии, недоступные с рабочих компьютеров, и копия вне офиса.
- Без прав администратора у пользователей.
- Закрытый RDP снаружи, VPN для удалённого доступа.
- Обновления и мониторинг.
Подробнее о защите — на странице резервного копирования.