Защита от шифровальщиков во многих компаниях до сих пор сводится к одному продукту. На всех компьютерах стоит лицензионный антивирус, ключи продлены, отчёты зелёные. Нам звонят именно из таких компаний. Первая фраза почти всегда одинаковая, у нас же стоит антивирус, не бесплатный. Антивирус при этом действительно работал. Просто атака прошла мимо того, что он умеет видеть.
Что антивирус для бизнеса умеет хорошо
Антивирус создавали для поиска известных вредоносных программ. Он сравнивает файлы с базой образцов, которые уже кто-то встречал и изучил, и дополняет это эвристикой. Эта работа по-прежнему нужна.
- Массовые заражения. Вирусы в пиратских программах, заражённые флешки, вложения в спам-рассылках.
- Известные трояны и шифровальщики. Всё, что уже попало в базы производителей.
- Случайные ошибки сотрудников. Скачанный не с того сайта установщик, открытый архив из почты.
Вредоносное ПО используют в 63% успешных атак на организации, а социальную инженерию в 50% (Positive Technologies, 2025). Значит, файлы и письма остаются главным оружием, и фильтр на этом направлении обязателен.
Отказ от антивируса откроет дорогу именно тем массовым угрозам, которые сейчас отсекаются автоматически и незаметно для вас. Поэтому выбрасывать его не нужно. Это хороший замок на входной двери. Вопрос в том, кто закрывает окна.
Атаки без вирусов. Чего антивирус не видит
Опытная группировка знает, как работает антивирус, и строит атаку в обход. Есть три типичных сценария, которые мы видим при расследованиях.
Украденные пароли
Злоумышленник не взламывает систему, он входит в неё. Пароль от удалённого рабочего стола подобран перебором, куплен в утечке или получен через фишинговое письмо. С точки зрения антивируса это обычный сотрудник, который вошёл на сервер. Никакого вредоносного файла нет.
В одной из наших историй консалтинговая компания на 50 человек держала платный антивирус на всех машинах. Атакующие зашли на внешний сервер под учётной записью бухгалтера и запустили свежесобранный шифровальщик. Антивирус сработал, но позже, когда данные уже были зашифрованы.
Легитимные инструменты
После входа атакующий пользуется тем, что уже есть в системе. Средства администрирования, командная строка, утилиты удалённого доступа, архиваторы. Всё это подписанные программы, которые ИТ-отдел использует каждый день. Антивирус не может их заблокировать, иначе остановится работа самого администратора.
Так проходят разведка, отключение защиты, удаление резервных копий и выгрузка данных. Сам шифровальщик появляется в последний момент, часто собранный под конкретную жертву и предварительно проверенный на популярных антивирусах.
Ночные атаки
Шифрование почти всегда запускают ночью или в выходные. Антивирус может выдать предупреждение, но его некому прочитать до утра. Утром сервер уже показывает записку с требованием выкупа, а учёт и отгрузки стоят. Записку, кстати, не стоит удалять. По идентификатору и контактам в ней специалисты определяют группировку и быстрее понимают, как она действовала внутри сети. Сумму выкупа в записке обычно не пишут, её называют уже в переписке, оценив, насколько сильно пострадала компания. По нашему опыту, простой после шифрования длится около недели.
Не сигнал, а реакция
Предупреждение в консоли, которое никто не прочитал до утра, ничем не отличается от его отсутствия. Значение имеет только то, что произошло в первые минуты.
Почему EDR тоже не всегда спасает
Следующий шаг после антивируса обычно EDR, система, которая следит за поведением на компьютерах и серверах. Она действительно видит больше. Но EDR требует постоянной настройки правил. Из-за ложных срабатываний реагирование часто отключают, и система остаётся в режиме наблюдения, то есть снова пишет журнал для человека, которого нет.
Можно поручить наблюдение людям. Собственный центр мониторинга обходится в 30-50 млн ₽ в год и запускается 6-12 месяцев. Мониторинг как услуга стоит 5-10 млн ₽ в год, но реагирование всё равно остаётся на вашей стороне. Ночью вам позвонят и сообщат об атаке, а останавливать её придётся вашему администратору, если он возьмёт трубку.
Для небольшой компании без дежурной смены это главная проблема. Обнаружить мало, нужно остановить, и сделать это без участия человека ночью.
Защита серверов от взлома, что добавить к антивирусу
Мы рекомендуем три слоя поверх антивируса. Каждый закрывает свою часть сценария.
- Поведенческий анализ с автоматическим реагированием. Система оценивает не файл, а действия. Массовое переименование файлов, удаление теневых копий, вход администратора в три часа ночи с незнакомого адреса. При подозрении она сама изолирует узел и останавливает процесс, не дожидаясь утра.
- Резервные копии вне сети. Даже лучшая защита может пропустить атаку. Копии, которые нельзя удалить или изменить с заражённого сервера, превращают катастрофу в неприятность. Подробно об этом в статье про резервную копию, которую не зашифрует хакер.
- Контроль уязвимостей на периметре. Большинство атак начинается снаружи, с открытого удалённого рабочего стола или устаревшего сервиса. Закрытая дверь лучше самой быстрой реакции. Как злоумышленники находят такие двери, мы разобрали в статье о том, как хакеры находят маленькие компании.
Первый слой закрывает Tessera. Это SOC на автономных агентах, который обнаруживает атаку на узле и реагирует за секунды, без ожидания аналитика. Стоимость 8 900 ₽ за агента в месяц, первые 30 дней бесплатно, а аудит недопустимых событий занимает 5 дней и тоже бесплатен.
Если в компании нет своего ИТ-отдела, все три слоя можно получить одним сервисом. Кибер.Дозор включает защиту до трёх серверов или компьютеров, контроль периметра и облачные копии за 24 900 ₽ в месяц, с финансовой гарантией 1 млн ₽.
Как понять, что защиты от шифровальщиков хватает
Проверьте пять утверждений. Если хотя бы одно не про вас, антивирус у вас работает в одиночку.
- Вы знаете, что произойдёт, если в три часа ночи на сервере начнётся массовое шифрование файлов.
- Вход администратора с чужого адреса заметят за минуты, а не через неделю.
- Резервные копии нельзя удалить даже с учётной записью администратора домена.
- За последний месяц кто-то проверял, какие сервисы компании открыты в интернет.
- Вы знаете, сколько дней займёт восстановление, если сервер учёта зашифруют сегодня.
Многие клиенты приходят к нам уже после атаки, и почти у всех на момент инцидента был антивирус. Он не был ошибкой. Ошибкой было считать его единственной линией защиты.
Что запомнить
Антивирус ловит известные вредоносные файлы и массовые заражения. Он не видит вход по украденному паролю, работу легитимными инструментами и не может ответить ночью вместо человека. Защита от шифровальщиков строится слоями. Антивирус остаётся, к нему добавляются автоматическое реагирование на узле, копии вне сети и регулярный контроль уязвимостей.