Атаки шифровальщиков останавливают ключевые сервисы и нередко выводят из строя всю виртуальную и физическую инфраструктуру. Часто первым сигналом становится деградация: сервисы начинают подвисать, гипервизоры и хранилища уходят в 100% загрузку. Дальнейший исход зависит от дисциплины и подготовки: ясных норм для центра мониторинга и реагирования на инциденты безопасности (Security Operations Center, далее — SOC), жестких правил доступа и готовности команды с холодной головой действовать по плану.

В этом материале мы разберем, как распознать атаку в моменте, где чаще всего возникают слепые зоны, почему фишинг почти неизбежен и что может помешать злоумышленнику закрепиться в инфраструктуре. Покажем рабочие сценарии восстановления — от бэкапов до параллельного «чистого» контура — и объясним, как избежать переноса закладок в новый периметр, сократить простой и вернуть управляемость без лишних рисков.

Атаку шифровальщика сложно с чем-то перепутать: документы не открываются, всплывают ошибки прав, общие папки исчезают. Почтовый сервер, ERP (Enterprise Resource Planning — система планирования ресурсов предприятия) и CRM (Customer Relationship Management — система управления взаимоотношениями с клиентами) перестают отвечать. Процедура входа дает сбой без видимых причин. И, в конце концов, в корневых каталогах появляются текстовые файлы с контактами и суммой выкупа.

Инфраструктурный слой реагирует жестче. Гипервизоры и системы хранения данных упираются в 100% загрузки по центральному процессору и вводу-выводу, метрики застывают на пике. Начинается массовая модификация образов виртуальных машин, растут очереди записи, снимки состояния удаляются. Кластеры сообщают о деградации, узлы исключаются из пулов. Десятки рабочих станций одновременно обращаются к одному файловому ресурсу. 

Средства защиты часто становятся первыми целями. Исчезают агенты систем защиты и реагирования на конечных точках, антивирус переводится в пассивный режим, журналы очищаются, теневые копии удаляются. Срабатывают правила на массовое удаление и остановку критичных сервисов. 

В некоторых случаях может появляться нетипичный трафик по SMB (Server Message Block — протокол обмена файлами и принтерами в сетях Windows), WinRM (Windows Remote Management — протокол удаленного управления Windows) или PowerShell Remoting (удаленное выполнение команд через PowerShell) между хостами, которые обычно не взаимодействуют, но чаще это характерно для этапа латерального перемещения, а не самой атаки. Иногда фиксируются исходящие соединения на неизвестные адреса, особенно в ночные часы, но это не обязательный признак: может быть как единичная команда с C2 (Command and Control — сервер управления атакой) на центр управления внутри сети, так и действие через GPO (Group Policy Object — объект групповой политики).

Существует ряд типовых сложностей в мониторинге и выявлении потенциально опасных действий. SOC ищет отклонения от нормы, но сама норма формируется внутри компании. Без контекста от владельцев систем повседневные скрипты, массовое использование Process Execution и нестандартные административные практики могут восприниматься как подозрительная активность. Система задает вопрос — допустимы ли эти действия? — но часто не получает ответа. В результате действительно опасные сигналы теряются в общем потоке.

Часто фоновую нагрузку создают и личные устройства, которые подключаются к корпоративной сети без предварительной проверки. Пользователь запускает на домашнем ноутбуке игры, скачивает файлы, посещает сомнительные сайты — и вместе с этим приносит в офис паразитный трафик.

Отдельная сложность состоит в том, что злоумышленники часто выдают себя за администраторов. Они используют привилегированные учетные записи, изменяют групповые политики, устанавливают пакеты и добавляют задания в планировщик. Со стороны все это выглядит как обычная деятельность ИТ-отдела. Такое присутствие может долго оставаться незамеченным месяцами — до начала активных действий . Обнаружить такое проникновение порой удается случайно — например, если преступник сам себя выдаст. 

Любые участки инфраструктуры, из которых не поступают данные в систему мониторинга, создают слепые зоны. При отсутствии логирования, агентов и централизованного контроля SOC теряет обзор и не может своевременно выявлять инциденты