Администрирование · 12 мин
Зашифровали базу 1С: что делать в первую очередь и как восстановить данные
Пошаговые действия при шифровании базы 1С вирусом-вымогателем: изоляция, диагностика, восстановление из резервных копий, типичные ошибки и профилактика.
Шифровальщик (ransomware) — вредоносная программа, которая шифрует файлы на диске и требует выкуп за ключ расшифровки. Для компании, работающей в 1С, это означает остановку учёта: не открываются 1Cv8.1CD, файлы SQL-баз, архивы копий, документы. Паника и поспешные действия здесь опаснее самого вируса: перезагрузка сервера, запуск «чистильщиков» или оплата выкупа могут окончательно лишить шансов на восстановление.
Главное правило: зашифрованные файлы — это ещё не потерянные данные. В большинстве случаев удаётся восстановить базу из резервной копии, теневых копий Windows или с незатронутых носителей. Но порядок действий критичен: сначала изоляция и диагностика, потом восстановление, и только в конце — разбор причин проникновения.
Ниже — практический порядок действий для администратора или руководителя, который обнаружил, что база 1С зашифрована: как оценить масштаб, что делать в первые часы, откуда восстанавливать данные и как не допустить повторения.
Первые действия: изоляция и остановка распространения
Шифровальщики часто распространяются по локальной сети: один заражённый компьютер может зашифровать сетевые папки с файловыми базами 1С, общие каталоги с бэкапами и соседние машины. Поэтому первые минуты решают, сколько данных вы потеряете.
Физически отключите заражённые компьютеры и сервер от сети: вытащите сетевой кабель или выключите Wi-Fi. Не выключайте питание резко и не перезагружайте машины, если есть возможность — в оперативной памяти могут остаться ключи шифрования, а при перезапуске вирус может дошифровать то, что не успел. Если сомневаетесь, лучше всё же выключить машину, чем оставить её работать в сети.
Отключите общие сетевые папки и внешние диски, на которые писались резервные копии. Если бэкапы лежали на NAS или съёмном диске, подключённом постоянно, — считайте их потенциально заражёнными и проверяйте отдельно, на изолированной машине.
- 1Отключите заражённые компьютеры и сервер от локальной сети и интернета
- 2Отключите внешние диски и NAS с резервными копиями
- 3Зафиксируйте состояние: сфотографируйте записку с требованием выкупа, расширения зашифрованных файлов
- 4Сообщите руководству и зафиксируйте время обнаружения
- 5Не запускайте антивирусные сканеры и «лечилки» до создания образа диска или хотя бы копии зашифрованных файлов
Диагностика: как оценить масштаб и определить шифровальщика
Прежде чем что-то восстанавливать, нужно понять три вещи: какие машины и каталоги зашифрованы, какой именно шифровальщик сработал и где лежат целые копии данных. От этого зависит весь дальнейший план.
Определить семейство шифровальщика помогают расширение зашифрованных файлов и текст записки с требованием выкупа. Существуют бесплатные сервисы идентификации (например, ID Ransomware), куда можно загрузить зашифрованный файл и записку — иногда для конкретного семейства уже существует бесплатный дешифратор, опубликованный антивирусными лабораториями или проектом No More Ransom.
Составьте список затронутых ресурсов: файловые базы (1Cv8.1CD), каталоги SQL-сервера, папки с выгрузками .dt, архивы бэкапов, документы. Проверьте, живы ли копии на других машинах, в облачных хранилищах с версионированием, у сотрудников на локальных дисках.
Какое именно расширение — по нему часто определяется семейство шифровальщика
Сохраните текст и контакты злоумышленников — это нужно для идентификации и заявления в полицию
Проверьте размер и заголовок файла 1Cv8.1CD — возможно, зашифрована только часть
Ищите копии вне сервера: облако, ленты, съёмные диски, почта
Чего делать нельзя: типичные ошибки при заражении
Большинство необратимых потерь происходит не из-за самого вируса, а из-за действий после него. Удаление зашифрованных файлов «чтобы освободить место», форматирование диска, переустановка Windows — всё это уничтожает шансы на восстановление: зашифрованные файлы могут быть расшифрованы позже, если появится дешифратор или удастся извлечь ключ.
Оплата выкупа не гарантирует возврата данных: значительная часть пострадавших не получает рабочий ключ даже после оплаты, а сама оплата финансирует дальнейшие атаки и делает компанию «удобной» целью для повторного шифрования. Кроме того, переговоры с вымогателями лучше вести через специалистов по информационной безопасности или не вести вовсе.
Отдельная ошибка — запуск восстановления на той же заражённой машине. Пока вирус активен, он может зашифровать и восстановленную копию. Восстановление делается только на чистой, проверенной системе.
Восстановление базы 1С из резервной копии
Основной и самый надёжный путь — восстановление из резервной копии. Для файловой базы это файл 1Cv8.1CD или выгрузка .dt, для клиент-серверной — бэкап средствами СУБД (например, .bak для MS SQL Server) плюс, желательно, свежая выгрузка .dt из конфигуратора.
Восстановление выполняйте на чистую систему: переустановленная ОС или отдельная машина, обновлённый антивирус, закрытые лишние порты, отключённый RDP снаружи. Только после этого переносите копию и разворачивайте базу. Для .dt используйте конфигуратор: «Администрирование → Загрузить информационную базу». Для SQL — восстановление бэкапа средствами СУБД и подключение базы в консоли кластера 1С.
Если копия устарела, оцените объём потерянных данных: иногда проще восстановить копию недельной давности и вручную внести документы за несколько дней, чем неделями ждать дешифратор. Документы за пропущенный период часто можно частично восстановить из первички, почты, выгрузок банк-клиента и ЭДО.
Как проверить результат восстановления
Вход выполняется без ошибок, справочники и документы доступны
Ошибки формата, падение при открытии — копия повреждена, пробуйте другую
Проверка завершается без критических ошибок
Множество ошибок целостности — копия частично повреждена
Последние документы соответствуют дате копии, остатки сходятся
Данные старше ожидаемых — использована не та копия
Антивирус не находит угроз, нет подозрительных процессов и задач
Признаки активности вируса — восстанавливать данные рано
Что делать, если резервной копии нет
Отсутствие копии — тяжёлая, но не всегда безнадёжная ситуация. Первым делом проверьте теневые копии Windows (Volume Shadow Copy): если защита системы была включена, часть файлов может быть восстановлена через вкладку «Предыдущие версии» или утилиты работы с VSS. Учтите: многие современные шифровальщики первым делом удаляют теневые копии, поэтому шанс срабатывает не всегда.
Далее проверьте все возможные источники: облачные хранилища с историей версий (Яндекс.Диск, OneDrive, Google Drive часто хранят предыдущие версии файлов), почтовые ящики, куда отправлялись выгрузки, локальные компьютеры бухгалтеров (там могла остаться копия базы для работы дома), старые серверы и съёмные диски.
Наконец, проверьте наличие бесплатного дешифратора для вашего семейства шифровальщика на ресурсах проекта No More Ransom и антивирусных вендоров. Если дешифратора нет — сохраните зашифрованные файлы на отдельном носителе: дешифраторы появляются спустя месяцы и годы, когда правоохранительные органы изымают серверы злоумышленников.
Как выбрать действие
Расследование и юридические шаги
После стабилизации ситуации важно понять, как вирус попал в сеть. Типичные векторы: фишинговое письмо с вложением, открытый наружу RDP со слабым паролем, уязвимое ПО, заражённая флешка. Пока источник не найден и не закрыт, восстановленная инфраструктура остаётся уязвимой — повторное шифрование через несколько дней после восстановления встречается регулярно.
Подайте заявление в полицию (в России — в том числе через подразделения по борьбе с компьютерными преступлениями). Это фиксирует факт преступления, даёт шанс получить ключи при поимке злоумышленников и может потребоваться для страховой и внутренней отчётности. Сохраните записку вымогателей, образцы зашифрованных файлов и логи.
Если в базе были персональные данные сотрудников или клиентов, оцените обязанности по уведомлению регулятора об утечке — в ряде юрисдикций это обязательная процедура с установленными сроками.
Профилактика: как не попасть в ситуацию снова
Единственная надёжная защита от шифровальщика — резервные копии, которые вирус физически не может зашифровать. Действует правило: минимум три копии, на двух разных носителях, одна — вне офиса и отключена от сети (offline или immutable-хранилище). Копия на том же сервере или на постоянно подключённом сетевом диске шифруется вместе с базой и не считается защитой.
Настройте автоматическое резервное копирование: для файловых баз — ежедневная выгрузка .dt по расписанию, для SQL — регламентные бэкапы СУБД плюс периодическая выгрузка .dt. Регулярно проверяйте восстановление: копия, которая ни разу не разворачивалась в тестовом режиме, может оказаться битой в самый нужный момент.
Технический минимум: закрыть RDP снаружи (доступ только через VPN), сложные пароли и двухфакторная аутентификация, актуальные обновления ОС и платформы 1С, антивирус на всех машинах, ограничение прав пользователей, обучение сотрудников распознавать фишинговые письма. Разделите права: учётная запись, под которой работают пользователи, не должна иметь прав на запись в каталог с бэкапами.
Что важно запомнить
Изолируйте заражённые машины, не удаляйте зашифрованные файлы и не платите выкуп. Восстанавливайте базу из резервной копии только на чистую систему. Если копий нет — проверяйте теневые копии, облачные версии и дешифраторы, сохраните зашифрованные файлы на будущее. После инцидента обязательно найдите источник заражения и настройте автономные резервные копии.
Частые вопросы
Стоит ли платить выкуп, чтобы вернуть базу 1С?
Нет, если есть любая альтернатива. Оплата не гарантирует получение рабочего ключа: часть злоумышленников присылает неработающий дешифратор или не отвечает вовсе. Кроме того, компания, заплатившая один раз, попадает в списки «платящих» и подвергается повторным атакам. Средства лучше направить на специалистов по восстановлению данных и укрепление защиты.
Можно ли расшифровать базу без ключа?
Для современных шифровальщиков с корректной реализацией криптографии — практически нет. Реальные шансы дают: бесплатные дешифраторы для конкретных семейств (проверяйте проект No More Ransom), ошибки в реализации конкретного вируса, которые находят антивирусные лаборатории, и изъятие серверов злоумышленников правоохранителями. Поэтому зашифрованные файлы нужно сохранить, а не удалить.
Антивирус удалил вирус, но файлы всё равно зашифрованы. Что дальше?
Это нормально: антивирус устраняет саму вредоносную программу, но не расшифровывает данные — обратное преобразование требует ключа. После удаления вируса действуйте по стандартной схеме: ищите резервные копии, теневые копии, облачные версии и дешифраторы для вашего семейства шифровальщика.
Как понять, что резервная копия не заражена и её можно разворачивать?
Проверяйте копию на изолированной машине без доступа в сеть: просканируйте файлы обновлённым антивирусом, убедитесь, что расширения и размеры файлов нормальные, а архив открывается. Сама выгрузка .dt или файл .bak практически не может содержать активный вирус — опасны исполняемые файлы и скрипты, которые могли лежать рядом в том же каталоге.
База файловая, зашифрован только файл 1Cv8.1CD. Можно ли вытащить часть данных?
При полном шифровании файла — нет, формат 1CD не поддаётся частичному чтению после шифрования. Но иногда вирус шифрует только начало файла или не успевает завершить работу: в таких случаях специалисты по восстановлению данных иногда извлекают часть таблиц. Самостоятельно экспериментировать с файлом не стоит — работайте с его копией.
Как часто нужно делать резервные копии базы 1С?
Ориентируйтесь на допустимый объём потерь: сколько дней ввода документов компания готова повторить вручную. Для активно работающей базы разумный минимум — ежедневная выгрузка по расписанию плюс копия перед каждым обновлением конфигурации. Храните несколько поколений копий: если свежая окажется битой или зашифрованной, спасёт предыдущая.