Ransomware: co to je, co dělat, když vám zašifruje soubory, a proč neplatit

Ransomware je podle Policie ČR škodlivý program, který zašifruje data a za jejich zpřístupnění požaduje výkupné. E-Bezpečí mu říká vyděračský virus a dodává, že výkupné útočníci chtějí nejčastěji v kryptoměně. Policie upozorňuje, že ransomware může zašifrovat soubory v počítači i na připojených síťových discích, a Microsoft, že se po síti může rozšířit do dalších počítačů a úložišť. NÚKIB připomíná ještě jednu podobu vydírání: útočník hrozí zveřejněním dat, hlavně u firem, které uchovávají citlivé údaje o zákaznících.

Jaké podoby ransomware má?

• Šifrovací ransomware zašifruje dokumenty, tabulky, obrázky a videa; ve stejné složce pak obvykle najdete textový soubor s pokyny k platbě. Problém zjistíte, až když soubor nejde otevřít.
• Zamykací ransomware zablokuje obrazovku obrázkem přes celou plochu a požaduje zaplacení.
• MBR ransomware změní zaváděcí záznam disku, takže operační systém nejde běžně spustit.
• Na telefonech, většinou s Androidem, se šíří i přes falešné aplikace, které se vydávají za populární služby, třeba za antivirus.

Jak se ransomware dostane do počítače?

Nejčastěji přílohou e-mailu, ať už jde o spustitelný soubor, archiv, nebo obrázek, a přes škodlivé weby, uvádí No More Ransom. Microsoft přidává odkazy v e-mailech, na sociálních sítích, v chatech a SMS. Policie popisuje typickou situaci: přijde e-mail jako od dopravce, banky nebo úřadu s přílohou údajného dokumentu a po jejím otevření se nainstaluje škodlivý kód. Nákaza se přitom nemusí hned projevit; podle No More Ransom malware pracuje potichu na pozadí, dokud data nezašifruje.

Co dělat hned

1. Okamžitě odpojte zařízení od internetu a ostatních sítí včetně domácí Wi-Fi, aby se infekce nešířila.
2. Neplaťte výkupné.
3. Vyfoťte nebo uložte výzvu k zaplacení. Pomůže určit, o jaký ransomware jde.
4. Zachovejte důkazy: zprávy, adresy webů, čísla účtů a snímky obrazovky.
5. Odstraňte ransomware antivirem, případně v nouzovém režimu. Microsoft radí počítač úplně vyčistit dřív, než začnete soubory obnovovat. Samotné odstranění soubory nerozšifruje, ale zabrání šifrování dalších.
6. Obnovte data ze zálohy. Pokud ji nemáte, zkontrolujte na nomoreransom.org, zda pro váš druh ransomwaru existuje bezplatný dešifrovací nástroj; nástroj Krypto Šerif pomůže druh určit. Řešení ale nemá každý ransomware.
7. Incident oznamte Policii ČR. Organizace mohou incident nahlásit i NÚKIB, který hlášení přijímá i od subjektů, na které se zákon o kybernetické bezpečnosti nevztahuje.

Zaplatit výkupné?

Ne. Policie i No More Ransom upozorňují, že zaplacení obnovu dat nezaručuje a motivuje pachatele k další trestné činnosti; útočníci podle policie po zaplacení často přestanou komunikovat nebo chtějí další peníze. Chyba v samotném malwaru může data znehodnotit i při použití správného klíče a kdo zaplatí, stává se podle No More Ransom pravděpodobněji terčem znovu. Česká republika se v roce 2023 připojila k prohlášení více než 40 států proti platbám výkupného a NÚKIB neplacení opakovaně doporučuje. Pokud jste už zaplatili, Microsoft radí okamžitě kontaktovat banku a úřady: při platbě kartou může banka transakci zablokovat.

Jak se připravit dřív, než přijde útok

• Dvě zálohy: No More Ransom doporučuje jednu v cloudu s automatickým zálohováním a jednu fyzickou, třeba na přenosném disku, který po dokončení odpojíte. Policie radí zálohovat mimo běžně připojené zařízení.
• Řízený přístup ke složkám ve Windows 10 a 11: Zabezpečení Windows > Ochrana před viry a hrozbami > Správa ochrany před ransomwarem. Neznámým aplikacím zabrání měnit soubory v chráněných složkách, ve výchozím stavu v Dokumentech, Obrázcích, Videích, Hudbě a na Ploše.
• OneDrive: funkce Obnovení OneDrivu umožňuje předplatitelům Microsoftu 365 vrátit zpět akce se soubory a složkami za posledních 30 dnů.
• Přípony souborů: zapněte ve Windows volbu Zobrazit přípony souborů, ať poznáte soubor, který končí na .exe, .vbs nebo .scr, i když se tváří jako video nebo dokument.
• Aktualizace a běžný účet: instalujte aktualizace systému i programů a na každodenní práci používejte standardní účet, ne administrátorský.
• Pro firmy: NÚKIB doporučuje pravidlo 3-2-1, tedy nejméně tři kopie dat na dvou různých typech médií, z toho alespoň jednu zcela mimo pracoviště.

Máte malou firmu nebo spravujete síť?

Útoky ransomwarem jsou podle NÚKIB čím dál cílenější a mohou postihnout jakoukoli instituci. Kromě záloh NÚKIB doporučuje rozdělit vnitřní síť na segmenty, aby se nákaza nešířila po celém pracovišti, pravidelně aktualizovat všechna zařízení včetně firmwaru, kontrolovat zabezpečení služeb otevřených do internetu, školit uživatele a mít připravený krizový plán obnovy ze záloh. Policejní desatero k útokům na informační systémy dodává: při podezření na napadení ihned informujte správce systému nebo IT podporu a neprovádějte samovolně zásahy, které by mohly zničit důkazy o incidentu.

Proti ransomwaru se brání předem: záloha, kterou útočník nezašifruje, protože není připojená.