Наша команда проводит полный комплекс мероприятий по реагированию на инциденты с шифровальщиками (ransomware) и другим разрушительным вредоносным ПО: обнаружение и локализация атаки, дешифровка или восстановление данных, восстановление серверов и рабочих станций, реконфигурация сетевой инфраструктуры, постинцидентный аудит и внедрение мер защиты.
Когда это актуально
- Файлы зашифрованы и недоступны пользователям.
- Сервисы (почта, ERP, CRM, базы данных) не работают.
- Есть признаки удалённого внедрения/эскалации привилегий.
Наши возможности
- Поиск и нейтрализация вредоносных модулей и источников распространения.
- Дешифровка файлов с использованием собственных и партнёрских инструментов (когда есть возможность).
- Восстановление из резервных копий и/или внедрение системы резервного копирования.
- Восстановление Active Directory, почтовых систем, СУБД, файловых и виртуальных инфраструктур.
- Сегментация и «заживление» сети, настройка правил доступа и мониторинга.
- Подготовка отчёта об инциденте, рекомендации по повышению устойчивости и планы на будущее.
Этапы работ
1. Реагирование (24–48 часов)
- Моментальная изоляция поражённых сегментов и устройств.
- Сбор первичных артефактов (логи, список зашифрованных файлов).
- Оценка масштаба и типа шифровальщика; предварительная вероятность дешифрования.
2. Удаление угрозы и локализация
- Устранение активных бэкдоров, остановка зловредных процессов.
- Блокировка каналов связи злоумышленников, смена учётных данных, временное усиление прав доступа.
3. Дешифровка и восстановление данных
- Пробная дешифровка образца файлов для проверки корректности.
- Масштабная дешифровка и восстановление данных.
- Восстановление сервисов в контролируемой среде.
4. Реконструкция инфраструктуры
- Восстановление AD, DNS, DHCP, почтовых систем, баз данных, виртуальных машин.
- Приведение инфраструкты в безопасное состояние.
5. Постинцидентный аудит и усиление защиты
- Полный отчёт, рекомендации по исправлению уязвимостей, внедрение систем резервного копирования, создание политики резервных копий, MFA, сегментация сети, EDR, SIEM, сетевая безопасность.
