Администрирование · 12 мин
Зашифрована база 1С: что делать
База 1С зашифрована вирусом или паролем? Разбираем, как определить тип шифрования, что делать сразу, способы восстановления данных и защиту от повторения.
Ситуация, когда база 1С оказывается зашифрованной, встречается в двух принципиально разных сценариях. Первый — файлы базы поражены вирусом-шифровальщиком (ransomware), и рядом лежит записка с требованием выкупа. Второй — база или её файлы защищены паролем штатными средствами, а пароль утерян или известен только уволенному сотруднику. Действия в этих случаях различаются кардинально, и первое, что нужно сделать, — точно определить, с чем вы столкнулись.
Главная опасность в обоих сценариях — поспешные действия, которые необратимо уничтожают шансы на восстановление. Переустановка Windows, запуск «антивирусной чистки» без копии, попытки переименовать файлы или вскрыть их подручными утилитами часто доводят ситуацию до полной потери данных. Поэтому универсальное правило: сначала изолировать и зафиксировать состояние, потом диагностировать, и только затем лечить.
Ниже разобраны признаки каждого сценария, безопасный порядок действий, способы восстановления из резервных копий и меры, которые исключают повторение инцидента.
Как определить, что именно произошло с базой
Начните с внешнего осмотра, ничего не запуская и не изменяя. Откройте папку с базой через проводник и посмотрите на имена и расширения файлов. При атаке шифровальщика файлы обычно получают нестандартное расширение (длинный набор символов, email злоумышленника в имени), а рядом лежит текстовый файл с требованием выкупа — имена вроде README, HOW_TO_DECRYPT, RECOVER FILES. Сам файл базы 1Cv8.1CD при этом меняет расширение или перестаёт открываться.
Если расширения файлов не изменились, но 1С при запуске просит пароль, которого раньше не было, либо выдаёт ошибку доступа к базе — речь, скорее всего, о парольной защите: установлен пароль на пользователя, на саму информационную базу (в файловом варианте) или зашифрованы данные средствами SQL Server. Уточните у коллег, не менял ли кто-то настройки доступа, и не увольнялся ли администратор.
Третий вариант — база не открывается с ошибкой «файл базы данных повреждён». Это не шифрование, а повреждение структуры файла, и лечится оно иначе: утилитой chdbfl.exe из комплекта поставки платформы или тестированием и исправлением в конфигураторе.
Наличие записки с требованием выкупа и массовое изменение файлов на диске
Кто администрировал базу, есть ли записи паролей, работает ли сервер 1С
Запустите chdbfl.exe на копии файла базы
Статус службы SQL Server, доступность дисков, журналы ошибок
Первые действия при вирусе-шифровальщике
Шифровальщики распространяются по локальной сети: заражённая машина может шифровать сетевые папки, файловые серверы и даже подключённые внешние диски. Поэтому первое действие — физически отключить поражённый компьютер от сети: выдернуть кабель или выключить Wi-Fi. Не выключайте и не перезагружайте компьютер: часть шифровальщиков при перезагрузке запускает второй проход или удаляет теневые копии.
Далее отключите от сети остальные машины, на которых обнаружены зашифрованные файлы, и проверьте сервер, где лежит база. Если база файловая и лежит в общей папке — закройте общий доступ к этой папке. Зафиксируйте состояние: сфотографируйте записку вымогателей, сохраните несколько зашифрованных файлов и записку на отдельный носитель — это может пригодиться для определения семейства шифровальщика и поиска дешифратора.
После изоляции определите семейство шифровальщика. Сервисы идентификации (например, проект No More Ransom) позволяют загрузить зашифрованный файл или записку и узнать, существует ли бесплатный дешифратор. Для ряда старых семейств дешифраторы существуют, для современных — чаще нет.
Восстановление базы из резервной копии
Резервная копия — главный и почти всегда единственный надёжный способ вернуть данные после шифрования. Найдите свежие копии: это могут быть файлы .dt (выгрузка из конфигуратора), копии файла 1Cv8.1CD, бэкапы SQL Server (.bak), архивы системы резервного копирования. Проверьте, не зашифрованы ли сами копии: шифровальщики часто добираются и до сетевых папок с бэкапами, если те были подключены как диски.
Восстановление выполняйте только на заведомо чистой машине — после полной переустановки системы или на другом компьютере, не связанном с заражённой сетью. Для файловой базы достаточно скопировать файл 1Cv8.1CD в новую папку и подключить её в списке баз. Для копии в формате .dt создайте пустую базу и загрузите данные через конфигуратор (Администрирование → Загрузить информационную базу). Для SQL-базы восстановите бэкап средствами SQL Server Management Studio и привяжите базу в консоли кластера 1С.
После восстановления сверьте актуальность данных: откройте последние документы, журналы проводок, остатки. Определите «дельту» — период между датой копии и датой шифрования. Документы за этот период придётся вводить заново, поэтому сразу соберите первичку: бумажные документы, выписки банка из клиент-банка, данные касс и эквайринга.
- 1Отключите заражённые машины от сети и зафиксируйте состояние
- 2Найдите свежую резервную копию (.dt или копию 1Cv8.1CD) и убедитесь, что она не зашифрована
- 3Подготовьте чистую машину или переустановите систему на поражённой
- 4Скопируйте файл базы в новую папку и подключите её в списке информационных баз
- 5Проверьте дату последних документов и определите период для ручного доввода
- 6Восстановите документы за период дельты по первичным источникам
Что делать, если резервной копии нет
Это самый тяжёлый сценарий, и важно трезво оценить шансы. Проверьте теневые копии Windows (предыдущие версии файлов) — через свойства папки, вкладка «Предыдущие версии». Современные шифровальщики удаляют теневые копии, но иногда это удаётся не полностью. Также проверьте, не осталось ли копий базы у бухгалтера на домашнем компьютере, в почте (файлы .dt часто пересылают), в облачных хранилищах, на старом сервере после переезда.
Обратите внимание на косвенные источники данных. Клиент-банк хранит всю историю платежей, касса — данные по чекам, контрагенты могут предоставить свои копии документов. Из этих источников базу можно собрать заново: это трудоёмко, но реально, особенно если вести восстановление от банковских выписок и актов сверки.
Специализированные компании по восстановлению данных иногда могут помочь с частично зашифрованными файлами, но гарантий здесь нет, а стоимость услуги высокая. Платить выкуп злоумышленникам не рекомендуется: значительная часть жертв не получает рабочий ключ даже после оплаты, а сам факт оплаты провоцирует повторные атаки.
Если база защищена паролем, а не вирусом
Когда файлы не повреждены, но доступа нет, действуйте через штатные механизмы. Если утерян пароль пользователя, но есть другой пользователь с административными правами — он сбросит пароль в конфигураторе или в режиме предприятия. В клиент-серверном варианте администратор кластера 1С или администратор SQL Server может управлять доступом без знания пароля конкретного пользователя.
Сложнее ситуация, когда единственный администратор уволился и не передал пароль. Для файловой базы существуют платные и бесплатные инструменты сброса паролей, но их использование вне собственной организации может нарушать закон — применяйте их только к базам, на которые у вас есть права. Для SQL-базы доступ восстанавливается через административные права на сам SQL Server: пароль пользователя 1С хранится в базе и может быть сброшен при наличии доступа к СУБД.
Отдельный случай — шифрование данных средствами SQL Server (TDE) или BitLocker на диске с базой. Здесь без ключа или сертификата восстановление практически невозможно, поэтому ключи шифрования должны храниться отдельно и быть доступны минимум двум ответственным лицам.
Как защитить базу от повторного шифрования
После разбора инцидента обязательно устраните первопричину. Чаще всего шифровальщики проникают через открытый RDP-порт с простым паролем, фишинговые письма с вложениями или взломанный пароль пользователя. Закройте прямой доступ к RDP из интернета (используйте VPN), включите двухфакторную аутентификацию там, где это возможно, и проведите полную проверку всех машин антивирусом.
Настройте резервное копирование по правилу «3-2-1»: минимум три копии данных, на двух разных носителях, одна — вне офиса или в облаке. Критически важно, чтобы хранилище бэкапов не было постоянно подключено сетевым диском с правами записи — именно такие диски шифровальщики уничтожают в первую очередь. Подойдут копирование по расписанию с последующим отключением носителя, облачные хранилища с версионированием или выделенный сервер бэкапов с доступом только на запись.
Раз в месяц проверяйте, что копии реально восстанавливаются: поднимите тестовую базу из свежего бэкапа и убедитесь, что она открывается. Бэкап, который никогда не проверяли, нельзя считать существующим.
Как выбрать действие
Как проверить результат восстановления
Соответствует дате резервной копии
Документы заканчиваются раньше — копия старее, чем ожидалось
Сходятся с последними известными отчётами
Расхождения — возможно, копия сделана в середине незавершённых операций
Тестирование и исправление проходит без ошибок
Ошибки структуры — копия повреждена, ищите другую
Все отделы подключились и проводят документы
Часть функций недоступна — не восстановлены настройки или расширения
Частые вопросы
Можно ли расшифровать базу 1С без ключа после атаки вируса?
Для современных шифровальщиков — практически нет: используется стойкая криптография, и подбор ключа нереален. Исключения — старые семейства, для которых опубликованы бесплатные дешифраторы (проверяйте через проект No More Ransom), и редкие ошибки злоумышленников в реализации шифрования. Реалистичный путь — восстановление из резервной копии.
Стоит ли платить выкуп, чтобы вернуть базу?
Нет. Оплата не гарантирует получение рабочего ключа: часть злоумышленников исчезает после оплаты, часть присылает неработающий дешифратор. Кроме того, оплатившие организации попадают в списки «платящих» и подвергаются повторным атакам. Эти деньги эффективнее вложить в восстановление данных и защиту инфраструктуры.
База лежит в облаке 1С (1С:Фреш) — она тоже может быть зашифрована?
Риск заражения самого облака минимален, но возможна другая проблема: если злоумышленник получил ваш логин и пароль от сервиса, он может удалить или повредить данные легитимными средствами. В облачных сервисах обычно есть резервные копии на стороне провайдера — при инциденте сразу обращайтесь в поддержку сервиса и меняйте все пароли.
Как понять, что база зашифрована, а не просто повреждена?
Откройте файл базы любым шестнадцатеричным просмотрщиком или посмотрите на размер и поведение файла. Зашифрованные файлы обычно имеют высокую энтропию (выглядят как случайный шум с первого байта) и изменённое расширение, а рядом лежит записка вымогателей. Повреждённый файл часто имеет нормальное начало и читаемые фрагменты текста внутри, а 1С при открытии выдаёт конкретную ошибку формата.
Как часто нужно делать резервные копии базы 1С?
Минимум — ежедневно, при активной работе — несколько раз в день плюс копии перед каждым обновлением конфигурации. Ориентируйтесь на допустимый объём потерь: сколько дней ввода документов вы готовы повторить вручную, таков и максимальный интервал между копиями. Храните копии минимум за несколько недель, чтобы можно было откатиться до момента до заражения.
Шифровальщик попал на сервер с SQL-базой 1С. Файлы .mdf зашифрованы. Что делать?
Порядок тот же: изоляция сервера, сохранение зашифрованных файлов, поиск бэкапов (.bak или копии средствами системы резервного копирования). Восстановление выполняется на чистом SQL Server через restore. Если бэкапов нет, зашифрованные .mdf восстановить практически невозможно — остаются косвенные источники данных и ручной ввод.
Что важно запомнить
При шифровании базы 1С сначала изолируйте машины и зафиксируйте состояние, затем определяйте тип проблемы и восстанавливайте данные из резервной копии на чистой системе. Выкуп не платите. Надёжная защита — регулярные проверенные бэкапы, хранящиеся вне досягаемости шифровальщика.