Вирус-шифровальщик и 1С: как проникает и что делать

Вирус-шифровальщик (ransomware) — вредоносная программа, которая шифрует файлы на компьютере или сервере и требует выкуп за ключ расшифровки. Для компаний, работающих в 1С, особенно опасно то, что шифруются файлы баз данных (1Cv8.1CD, файлы SQL-бэкапов, архивы выгрузок .dt), а вместе с ними — вся учётная история предприятия: документы, справочники, проводки, остатки.

Важно понимать: шифровальщик не атакует 1С как программу. Он использует самые обычные каналы проникновения в операционную систему и сеть, а базы 1С оказываются пострадавшими просто потому, что лежат в доступных каталогах. Поэтому защита строится не внутри конфигурации, а на уровне почты, пользователей, сети и резервного копирования.

Ниже разобраны реальные каналы заражения, признаки атаки, первые действия при инциденте и конкретные меры, которые снижают риск потери данных 1С до минимума.

Через какие каналы шифровальщик попадает в сеть с 1С

На практике выделяется несколько типовых векторов заражения, и почти все они не связаны с самой платформой 1С.

Фишинговые письма. Самый частый канал. Письмо маскируется под счёт, акт сверки, претензию или «документы от контрагента», а во вложении — архив с исполняемым файлом, документ Office с макросом или ссылка на загрузку. Пользователь бухгалтерии открывает вложение — и шифровальщик запускается с его правами, задевая все доступные ему сетевые папки, включая каталог с файловой базой 1С.

Открытый RDP (удалённый рабочий стол). Сервер 1С, выставленный в интернет с портом 3389, — классическая точка входа. Злоумышленники перебирают пароли, эксплуатируют слабые учётные данные администратора, заходят на сервер и запускают шифровальщик вручную, предварительно отключив антивирус и удалив теневые копии.

Уязвимое и нелицензионное ПО. Необновлённая операционная система, старые версии браузеров, пиратские «активаторы» и кейгены — частые носители вредоносного кода. Установка такого ПО на сервер или рабочую станцию с доступом к базе 1С прямо ведёт к заражению.

Съёмные носители и заражённые компьютеры в сети. Один заражённый ноутбук, подключённый к локальной сети, способен зашифровать все доступные ему общие ресурсы, включая сетевые папки с базами и архивами.

Как именно страдает 1С при атаке

Шифровальщик проходит по файловой системе и шифрует файлы с заданными расширениями. В зоне поражения оказываются:

• файл 1Cv8.1CD — файловая информационная база целиком;
• выгрузки .dt и архивы резервных копий, если они лежат на доступных дисках;
• файлы SQL Server (MDF/LDF) и их бэкапы (BAK) — при клиент-серверном варианте;
• печатные формы, внешние отчёты и обработки (.epf, .erf), обменные файлы XML;
• документы Word и Excel, связанные с учётом.

Особенно опасен сценарий, когда зловред работает под учётной записью с правами на сетевые папки: тогда шифруются и «резервные копии», которые администратор хранил на соседнем сетевом ресурсе. Именно поэтому копия, доступная на запись с рабочих станций, не считается надёжной.

Рядом с зашифрованными файлами появляется текстовый файл с требованием выкупа и инструкцией по связи. Расширения файлов меняются на произвольные, размер файлов обычно сохраняется, но содержимое превращается в мусор.

Признаки проникновения шифровальщика

Ранняя фаза атаки часто остаётся незамеченной, но косвенные признаки есть:

• резкий рост нагрузки на диск и процессор без видимой причины;
• массовое переименование файлов, появление необычных расширений;
• ошибки 1С при открытии базы: «Файл базы данных повреждён» или невозможность подключения;
• исчезновение теневых копий и точек восстановления Windows;
• остановленные службы антивируса, отключённый мониторинг;
• файлы вида README.txt или HOW_TO_DECRYPT.txt в папках.

В клиент-серверном варианте первым сигналом может быть отказ SQL Server: файлы базы зашифрованы, служба не стартует, а 1С выдаёт ошибку соединения с СУБД. Не пытайтесь «починить» её пересозданием базы — это уничтожит остатки данных.

Первые действия при обнаружении шифрования

Скорость реакции определяет объём потерь. Действуйте по порядку и не паникуйте.

1. 1
   Немедленно отключите заражённый компьютер или сервер от сети: выдерните кабель или отключите сетевой адаптер. Питание пока не выключайте — в памяти могут остаться ключи.
2. 2
   Отключите от сети остальные узлы с общими папками, чтобы остановить распространение.
3. 3
   Зафиксируйте состояние: сфотографируйте экран, сохраните файл с требованием выкупа, запишите расширения зашифрованных файлов.
4. 4
   Определите масштаб: какие базы 1С, бэкапы и папки затронуты, где лежат выжившие копии.
5. 5
   Переустановите ОС на заражённых машинах с полным форматированием или привлеките специалистов по кибербезопасности для расследования.
6. 6
   Восстановите базы 1С из изолированных резервных копий на чистую инфраструктуру.
7. 7
   Смените все пароли: доменные, RDP, SQL, 1С — компрометация учётных данных почти гарантирована.

Оплата выкупа не гарантирует возврат данных: расшифровщик может не прислать вовсе, а присланный инструмент нередко работает с ошибками и портит файлы. Кроме того, оплата финансирует дальнейшие атаки и ставит компанию в списки «платящих».

Как защитить 1С: меры на уровне сети и сервера

Базовый набор мер закрывает большинство каналов проникновения:

• Закройте RDP из интернета. Доступ к серверу — только через VPN, плюс ограничение по IP и сложные пароли. Лучше — двухфакторная аутентификация там, где она поддерживается.
• Своевременно обновляйте Windows, SQL Server, антивирус и браузеры на всех узлах, включая сервер 1С.
• Минимизируйте права. Пользователи не должны иметь прав локального администратора; учётная запись службы 1С — только с необходимыми разрешениями.
• Сегментируйте сеть. Сервер 1С и хранилище бэкапов — в отдельном сегменте, недоступном с рядовых рабочих станций напрямую.
• Фильтруйте почту. Блокируйте исполняемые вложения и архивы с паролем, включите проверку макросов, отключите макросы Office по умолчанию.
• Проводите инструктаж. Бухгалтеры и менеджеры — главная мишень фишинга; короткий регулярный разбор реальных примеров писем снижает риск сильнее любого антивируса.

Резервное копирование как последняя линия обороны

Единственный надёжный способ пережить шифровальщик без потерь — правильные резервные копии. Рабочие принципы:

Правило 3-2-1: минимум три копии данных, на двух разных носителях, одна — вне офиса или в изолированном хранилище. Для 1С это означает: локальная копия, копия на отдельном устройстве (NAS) и копия в облаке или на выносном диске.

Изоляция копий. Хранилище бэкапов не должно быть смонтировано как сетевая папка с правом записи для пользователей. Идеально — копирование «вытягиванием» с сервера по расписанию под отдельной учётной записью, либо хранилище с неизменяемыми (immutable) снапшотами.

Проверка восстановления. Копия, которую ни разу не разворачивали, нельзя считать рабочей. Периодически восстанавливайте .dt или SQL-бэкап на тестовый сервер и открывайте базу в 1С — только это подтверждает целостность.

Контрольные точки

Как проверить надёжность защиты

Где лежат резервные копии

Норма

Отдельное хранилище без доступа на запись с рабочих станций

Тревожный признак

Сетевая папка на том же сервере, куда все могут писать

Восстановление из копии

Норма

Копия регулярно разворачивается на тестовом сервере и база открывается

Тревожный признак

Копии создаются, но никто никогда не проверял их целостность

Доступ к серверу 1С

Норма

Только через VPN, сложные пароли, минимум учётных записей

Тревожный признак

RDP открыт в интернет, пароль простой или общий

Свежесть копий

Норма

Автоматическое копирование каждый день или чаще

Тревожный признак

Последняя копия старше недели или делается вручную «когда вспомнят»

Часто задаваемые вопросы

Может ли шифровальщик проникнуть через саму 1С?

Прямых атак через механизмы платформы крайне мало; почти всегда заражение происходит через почту, RDP, уязвимости ОС или действия пользователя. Однако внешние обработки и расширения из недоверенных источников открывать опасно — они выполняют код с правами пользователя 1С.

Файловая база 1С зашифрована, а бэкапов нет. Что можно сделать?

Сначала проверьте, нет ли бесплатного дешифратора для конкретного семейства шифровальщика — такие инструменты публикуют антивирусные лаборатории и проект No More Ransom. Также проверьте теневые копии Windows и старые выгрузки у контрагентов, в облачных сервисах обмена и на почте. Гарантий восстановления без копии нет.

Защищает ли клиент-серверный вариант 1С от шифровальщика?

Сам по себе — нет. Если шифровальщик запущен на сервере СУБД или на машине с доступом к его дискам, файлы базы и бэкапов будут зашифрованы так же. Преимущество клиент-серверного варианта лишь в том, что сервер проще изолировать от пользовательских станций.

Стоит ли платить выкуп?

Нет. Оплата не гарантирует получение рабочего ключа, часто присланный дешифратор повреждает файлы, а компания попадает в список «платящих» и атакуется повторно. Средства лучше направить на восстановление из копий и устранение причины проникновения.

Как часто нужно делать резервные копии базы 1С?

Ориентируйтесь на допустимый объём потерь: если потеря одного рабочего дня критична — копируйте несколько раз в день; если допустимо потерять день — достаточно ежедневного ночного копирования. Главное — автоматизация, изоляция копий и регулярная проверка восстановления.

Облачная 1С защищает от шифровальщика?

Частично: провайдер обычно делает собственные бэкапы и изолирует инфраструктуру. Но заражённый компьютер пользователя всё равно рискован — через него могут украсть учётные данные. Уточняйте у провайдера регламент резервного копирования и срок хранения копий.