Администрирование · 14 мин
Зашифровали базы 1С: что делать и как восстановить данные
Пошаговый план действий при шифровании баз 1С вирусом-вымогателем: изоляция сервера, поиск резервных копий, восстановление данных и защита от повторной атаки.
Если файлы баз 1С внезапно сменили расширение, перестали открываться, а рядом появились текстовые файлы с требованием выкупа — это работа программы-шифровальщика (ransomware). Ситуация типичная для компаний, где сервер 1С доступен по RDP из интернета, пароли простые, а резервное копирование настроено формально или отсутствует вовсе.
Главное в первые минуты — не паниковать и не предпринимать поспешных действий. Переименование файлов, перезагрузка сервера, запуск «лечилок» из интернета и удаление записки вымогателей могут уничтожить шансы на восстановление. Шифровальщики нередко оставляют служебные данные, необходимые для расшифровки, а поспешные действия стирают их безвозвратно.
Дальнейшие действия делятся на три этапа: остановить распространение заражения, оценить, что именно пострадало и есть ли копии, затем выбрать способ восстановления. Ниже — конкретный порядок действий для каждого этапа.
Первые действия: изоляция заражённой системы
Приоритет номер один — остановить шифрование и не дать зловреду уйти на другие машины сети. Шифровальщики активно распространяются по общим папкам, поэтому каждая минута работы заражённого сервера в сети увеличивает ущерб.
Отключите сервер от сети физически: вытащите сетевой кабель или отключите сетевой адаптер. Не выключайте питание и не перезагружайте машину — в оперативной памяти могут оставаться ключи шифрования, а при перезагрузке вредоносный процесс может запустить деструктивный сценарий. Если заражён файловый сервер, дополнительно отключите от сети рабочие станции, с которых открывались общие папки.
Если базы 1С размещены на SQL-сервере, проверьте, не шифруются ли файлы .mdf и .ldf прямо сейчас. При активном процессе шифрования остановите службу SQL Server, чтобы прекратить обращения к файлам, но только после отключения сети.
- 1Отключите сервер от сети, не выключая питание
- 2Отключите от сети остальные компьютеры с доступом к общим папкам
- 3Сфотографируйте или перепишите текст записки вымогателей и расширение зашифрованных файлов
- 4Зафиксируйте время обнаружения и список пострадавших машин
- 5Смените пароли администраторов и RDP-доступа с заведомо чистого компьютера
- 6Сообщите руководству и привлеките специалиста по информационной безопасности
Оценка ущерба: что именно зашифровано
После изоляции нужно понять масштаб бедствия. Осмотрите сервер и составьте список пострадавших данных: файловые базы 1С (файл 1Cv8.1CD), каталоги с конфигурациями, папки с выгрузками .dt, документы, архивы. Заодно проверьте, не зашифрованы ли сами резервные копии, если они лежали на том же сервере или на подключённом сетевом диске — шифровальщики целенаправленно ищут и портят бэкапы.
Определите семейство шифровальщика по расширению файлов и тексту записки. Сервисы идентификации (например, ID Ransomware) позволяют загрузить образец зашифрованного файла и записку, чтобы узнать название зловреда. Для некоторых семейств существуют бесплатные дешифраторы от антивирусных вендоров и проекта No More Ransom — это единственный легальный способ расшифровки без ключа злоумышленников.
Запишите расширение — по нему определяют семейство зловреда
Сохраните записку — в ней идентификатор, нужный для дешифратора
Ищите копии на внешних носителях, в облаке, у франчайзи
Проверьте целостность .mdf/.ldf до переустановки SQL Server
Чего делать нельзя: типичные ошибки после атаки
Значительная часть данных теряется не от самого шифрования, а от неправильных действий после него. Самая опасная ошибка — перезагрузка или выключение сервера до завершения диагностики: часть зловредов при рестарте стирает теневые копии и ключи, необходимые для расшифровки.
Вторая распространённая ошибка — переименование или удаление зашифрованных файлов. Дешифраторы (и официальные, и от злоумышленников) часто привязаны к именам файлов и структуре каталогов. Изменив их, вы делаете расшифровку невозможной даже при наличии ключа.
Третья ошибка — восстановление данных из бэкапа прямо на заражённый сервер. Если зловред ещё активен, он зашифрует и восстановленные файлы, и вы потеряете последнюю рабочую копию. Восстановление выполняется только на заведомо чистую систему.
Поиск резервных копий и точек восстановления
Резервная копия — основной и самый надёжный путь восстановления. Проверьте все возможные места, где могут лежать копии, даже если штатное резервное копирование не настраивалось.
Начните с внешних носителей: USB-дисков, лент, сетевых хранилищ NAS, которые были физически отключены от сети на момент атаки. Затем проверьте облачные хранилища — многие сервисы (Яндекс.Диск, OneDrive, облачные бэкап-сервисы) хранят версии файлов, и зашифрованная версия не обязательно перезаписала здоровую. Далее — теневые копии Windows (VSS): часть шифровальщиков их удаляет, но не все и не всегда успешно.
Неочевидные источники копий: выгрузки .dt, которые бухгалтерия делала перед обновлением; архивы, отправленные по почте франчайзи 1С; копии баз на домашних компьютерах сотрудников; серверы 1С:Фреш, если часть баз велась там; реплики SQL и копии, сделанные средствами СУБД. Проверьте также почту — файлы выгрузок часто пересылают между сотрудниками.
Способы восстановления баз 1С
Выбор способа зависит от того, что удалось найти на предыдущем этапе. Ниже — варианты в порядке приоритета.
Восстановление из резервной копии
Оптимальный сценарий. Разверните чистую систему: переустановите ОС или используйте заведомо незаражённую машину, установите платформу 1С той же версии, восстановите базу из выгрузки .dt через конфигуратор или подключите файл 1Cv8.1CD. Для SQL-баз восстановите .bak средствами СУБД. Перед запуском пользователей проверьте целостность базы штатной проверкой конфигуратора.
Дешифраторы от антивирусных вендоров
Если копий нет, проверьте, существует ли дешифратор для вашего семейства шифровальщика. Крупные антивирусные компании и проект No More Ransom публикуют бесплатные утилиты. Скачивайте их только с официальных сайтов вендоров. Работайте с копиями зашифрованных файлов, оригиналы сохраните нетронутыми.
Восстановление из теневых копий и файловых систем
Если VSS уцелели, утилиты вроде ShadowExplorer позволяют извлечь предыдущие версии файлов. Дополнительно файловые базы 1С иногда удаётся частично восстановить средствами восстановления удалённых данных, если шифровальщик создавал новые файлы, а исходные удалял. Это работа для специалиста по восстановлению данных — самостоятельные эксперименты на единственном носителе сокращают шансы.
Сравнение вариантов восстановления
Самый надёжный путь. Ограничение: потеря данных за период с момента последней копии
Бесплатно и полноценно, но существует не для всех семейств шифровальщиков
Быстро, если зловред их не удалил. Часто удаляются в первую очередь
Нет гарантии получения рабочего ключа, финансирует атаки, риск повторного вымогательства
Шанс при сложных случаях, но дорого и без гарантии полного результата
Частичное восстановление и перенос данных
Когда целиком базу спасти не удалось, собирайте данные по частям: последняя уцелевшая выгрузка как основа, документы за потерянный период — из бумажных источников, выписок банка через клиент-банк, данных контрагентов по ЭДО, отчётности, сданной в ФНС. Для типовых конфигураций часть данных (остатки, справочники) можно перенести обработками из старых копий в новую базу.
Стоит ли платить выкуп
Правоохранительные органы и специалисты по кибербезопасности единодушно не рекомендуют платить. Оплата не гарантирует получение ключа: известны случаи, когда после перевода денег злоумышленники исчезали или присылали неработающий дешифратор. Кроме того, заплатившая компания помечается как «платёжеспособная жертва» и становится целью повторных атак — иногда теми же группировками.
Дешифраторы злоумышленников также технически ненадёжны: при шифровании больших файлов (а база 1Cv8.1CD может занимать десятки гигабайт) часть данных повреждается необратимо, и даже «честный» ключ не восстановит базу полностью. Решение об оплате — крайняя мера, и принимать его стоит только после исчерпания остальных вариантов и консультации со специалистами.
Защита от повторной атаки после восстановления
Восстановление базы без устранения причины проникновения приводит к повторному шифрованию — иногда в течение нескольких дней. Чаще всего зловред попадает через открытый RDP-порт с простым паролем, фишинговое письмо, запущенное сотрудником, или через устаревшее ПО с известными уязвимостями.
Минимальный набор мер: закрыть прямой доступ к серверу из интернета (RDP — только через VPN), включить сложные пароли и блокировку после нескольких неудачных попыток входа, обновить ОС и платформу 1С, установить и обновить антивирус, ограничить права пользователей. Отдельно проверьте все машины сети — источником заражения могла быть рабочая станция, а не сервер.
Настройте резервное копирование по правилу «3-2-1»: минимум три копии данных, на двух разных типах носителей, одна — вне офиса или в изолированном облаке. Ключевое требование: хотя бы одна копия должна быть недоступна для записи с сервера 1С, иначе шифровальщик доберётся и до неё. Раз в квартал проверяйте восстановление из копии на тестовой машине — бэкап, который никогда не проверяли, нельзя считать рабочим.
Как выбрать действие
Проверка базы после восстановления
После развёртывания базы из копии или дешифровки обязательно проверьте её целостность до запуска пользователей. Для файловых баз запустите конфигуратор с проверкой физической целостности (chdbfl.exe из каталога платформы) и тестирование-исправление в конфигураторе. Для SQL-баз — штатные проверки СУБД.
Затем сверьте ключевые данные: остатки на счетах, складские остатки, взаиморасчёты за последний закрытый период. Сравните с данными из независимых источников — банковских выписок, отчётности, ЭДО. Расхождения покажут, какой период нужно восстанавливать вручную.
Как проверить результат
База открывается без ошибок, журнал регистрации доступен
Ошибки формата потока или отсутствия таблиц — база повреждена
Ошибки не обнаружены
Найдены повреждения — выполните исправление на копии файла
Совпадают с банковскими выписками и последней отчётностью
Расхождения — определите потерянный период и восстановите документы
Документы проводятся, отчёты формируются без ошибок
Периодические ошибки — база требует дополнительного тестирования
На практике чаще всего спасают не «умные» средства восстановления, а банальная выгрузка .dt, которую бухгалтер сделал перед последним обновлением, и копии, разосланные по почте. После восстановления зафиксируйте в регламенте: кто, когда и куда выгружает базу — и контролируйте это ежемесячно.
Частые вопросы
Можно ли расшифровать базу 1С без ключа и без бэкапа?
Только если для конкретного семейства шифровальщика существует бесплатный дешифратор (проверяется на No More Ransom по расширению файлов и записке) либо если уцелели теневые копии Windows. Универсального способа взломать современное шифрование не существует — без ключа и копий данные чаще всего потеряны.
Сколько времени занимает восстановление из резервной копии?
Само развёртывание базы из выгрузки .dt или файла 1Cv8.1CD занимает от десятков минут до нескольких часов в зависимости от размера. Основное время уходит на переустановку и проверку системы, устранение канала заражения и сверку данных — в сумме это обычно один-три рабочих дня.
Шифровальщик попал на сервер, но SQL-базы внешне выглядят целыми. Можно просто продолжить работу?
Нет. Если зловред работал на сервере, файлы могли быть повреждены частично, а сам канал проникновения остался открытым. Сначала изолируйте сервер, проверьте целостность баз средствами СУБД, устраните причину заражения — и только потом возвращайте пользователей.
Обязательно ли обращаться в полицию?
Юридически — нет, но обращение в департамент «К» МВД имеет смысл: это фиксирует ущерб для возможного взыскания и страхового случая, а сведения о шифровальщике помогают расследованиям. Обращение не мешает параллельному восстановлению данных своими силами.
Как понять, что резервная копия сама не заражена?
Проверяйте копию на изолированном компьютере с актуальным антивирусом, не подключая носитель к рабочей сети. Дополнительный признак надёжности — копия создана до момента заражения, который можно оценить по времени изменения зашифрованных файлов и записям в журналах.
Достаточно ли копии на второй диск того же сервера?
Нет. Шифровальщик видит все диски и сетевые папки, доступные серверу, и шифрует их вместе с основными данными. Копия считается защищённой, только если она физически отключена, находится в облаке с версионированием или на носителе, недоступном для записи с сервера.
Что важно запомнить
Отключите сервер от сети, не выключая питание, и ничего не удаляйте. Восстановление почти всегда идёт через резервную копию — ищите её на изолированных носителях, в облаке и у контрагентов. Выкуп не гарантирует возврата данных. После восстановления закройте канал проникновения и настройте бэкапы по правилу 3-2-1, иначе атака повторится.