Ransomware: czym jest i jak się chronić

Czym jest ransomware?

Ransomware to rodzaj złośliwego oprogramowania, które szyfruje Twoje pliki, czyniąc je całkowicie niedostępnymi. Atakujący żąda następnie okupu (zwykle w kryptowalucie) w zamian za klucz deszyfrujący. Bez tego klucza Twoje dokumenty, zdjęcia, filmy i inne pliki są trwale nieczytelne.

W ostatnich latach liczba ataków ransomware gwałtownie wzrosła — celem są osoby prywatne, szpitale, szkoły i korporacje. W wielu przypadkach ofiary tracą pliki na zawsze — bo nie mogą zapłacić, nie ufają, że atakujący dotrzyma umowy, albo płacą i nigdy nie dostają działającego klucza.

Jak rozprzestrzenia się ransomware

Wiedza o tym, jak ransomware trafia na urządzenia, pomaga go uniknąć.

E-maile phishingowe

Najczęstsza droga. Przychodzi e-mail ze złośliwym załącznikiem — udającym fakturę, awizo czy dokument — albo z linkiem do złośliwej strony. Otwarcie załącznika lub kliknięcie linku uruchamia ransomware.

Złośliwe pliki do pobrania

Pirackie oprogramowanie, scrackowane aplikacje i pliki pobrane z nieoficjalnych źródeł często zawierają złośliwe oprogramowanie. Częstym kanałem są też fałszywe aktualizacje i wtyczki przeglądarki.

Wykorzystywanie niezałatanego oprogramowania

Niektóre ransomware rozprzestrzeniają się automatycznie, wykorzystując znane luki w systemach operacyjnych lub aplikacjach. Atak WannaCry w 2017 roku zainfekował setki tysięcy komputerów przez lukę w Windows, którą Microsoft już załatał — ale wiele organizacji nie zainstalowało aktualizacji.

Protokół pulpitu zdalnego (RDP)

Atakujący często skanują internet w poszukiwaniu komputerów z wystawionym protokołem pulpitu zdalnego, chronionych tylko słabymi hasłami. Po uzyskaniu dostępu ręcznie uruchamiają ransomware. To częsty scenariusz ataków na firmy.

Zainfekowane pendrive'y

Urządzenia podrzucane na parkingach lub wysyłane pocztą do wybranych osób były wykorzystywane do rozprzestrzeniania złośliwego oprogramowania — ludzie z ciekawości podłączają je do komputera, a malware instaluje się automatycznie.

Co dzieje się podczas ataku ransomware

Po uruchomieniu ransomware zazwyczaj:

1. Łączy się z serwerem atakującego, by pobrać klucz szyfrujący
2. Po cichu skanuje dysk w poszukiwaniu cennych plików — dokumentów, zdjęć, baz danych, kopii zapasowych
3. Szyfruje każdy plik, często dodając nowe rozszerzenie (np. .locked lub .encrypted)
4. Usuwa oryginały i wszelkie lokalne kopie zapasowe, które znajdzie
5. Wyświetla żądanie okupu z instrukcją płatności i terminem, po którym cena rośnie lub klucz zostaje zniszczony

Cały proces może trwać kilka minut i zostawić system pełen zaszyfrowanych plików, których nie da się otworzyć.

Jak zapobiegać ransomware

Twórz kopie zapasowe offline

To najważniejsza pojedyncza ochrona. Jeśli masz czystą, aktualną kopię danych przechowywaną w miejscu niepodłączonym do komputera, ransomware jej nie dotknie. Stosuj zasadę 3-2-1: 3 kopie danych na 2 różnych rodzajach nośników, w tym 1 kopia poza domem lub offline.

Aktualizuj oprogramowanie

Większość ransomware wykorzystuje znane podatności, na które istnieją już łatki. Aktualny system operacyjny, przeglądarka i wszystkie aplikacje zamykają te drzwi, zanim atakujący z nich skorzystają.

Nie otwieraj podejrzanych załączników i linków

Bądź bardzo ostrożny z załącznikami e-mail, nawet od znajomych — ich konta mogą być przejęte. W razie wątpliwości skontaktuj się z nadawcą innym kanałem, by potwierdzić, że rzeczywiście wysłał plik.

Używaj sprawdzonego antywirusa

Nowoczesne oprogramowanie antywirusowe i ochrona punktów końcowych potrafią wykryć i zablokować wiele odmian ransomware przed uruchomieniem. Aktualizuj bazy antywirusa i regularnie skanuj system.

Wyłącz makra w dokumentach Office

Makra Microsoft Office — małe programy automatyzujące zadania — są często nadużywane do dostarczania złośliwego oprogramowania. Jeśli nie potrzebujesz makr w pracy, wyłącz je w ustawieniach pakietu Office.

Używaj kont standardowych

Ransomware może zrobić tylko to, na co pozwala Twoje konto użytkownika. Jeśli przeglądasz internet z konta z pełnymi uprawnieniami administratora, złośliwe oprogramowanie też je dostaje. Utwórz konto standardowe (bez uprawnień administratora) do codziennego użytku, a z konta administratora korzystaj tylko w razie potrzeby.

Co zrobić, jeśli padniesz ofiarą

1. Natychmiast odłącz się od internetu. Wyjmij kabel sieciowy lub wyłącz Wi-Fi. Może to powstrzymać ransomware przed szyfrowaniem kolejnych plików lub komunikacją z serwerem atakującego.
2. Nie płać okupu — zapłata finansuje przestępców i nie gwarantuje odzyskania plików.
3. Zgłoś atak lokalnemu organowi ds. cyberprzestępczości (w Polsce: CERT Polska i policja; w USA: IC3 FBI; w Wielkiej Brytanii: Action Fraud).
4. Sprawdź No More Ransom (nomoreransom.org) — darmowy serwis udostępniający narzędzia deszyfrujące dla niektórych znanych rodzin ransomware.
5. Odtwórz dane z kopii zapasowej. Wyczyść zainfekowany system i przywróć pliki z czystej kopii offline.
6. Skorzystaj z pomocy specjalisty, jeśli nie masz pewności — nie próbuj deszyfrować ani naprawiać, dopóki złośliwe oprogramowanie może być wciąż aktywne.

Twarda prawda jest taka, że bez kopii zapasowej może nie być dobrych opcji. Zapobieganie, a zwłaszcza regularne kopie offline, to zdecydowanie najskuteczniejsza strategia.