Винарус — компьютерный вирус-вымогатель¶

Винус (точнее — «винарус», от сочетания «вирус» и «вымогатель») — неофициальное, бытовое или искажённое название класса вредоносных программ-вымогателей (ransomware), либо конкретного семейства шифровальщиков, распространявшихся через фишинговые вложения и требовавших выкуп за восстановление доступа к файлам. В профессиональной среде термин «винарус» не является устоявшимся: им обычно называют любой вирус, который блокирует работу устройства и требует деньги, тогда как корректное название таких угроз — программы-вымогатели, или ransomware.

¶Терминология и происхождение названия

Слово «винарус» не встречается в классификаторах антивирусных лабораторий (Kaspersky, ESET, Dr.Web, Microsoft Defender) и не используется в отчётах CERT. Оно возникло в пользовательской среде как гибрид слов «вирус» и «выкуп» либо как искажение английского ransomware при пересказе. Чаще всего так называют:

• классические шифровальщики, шифрующие файлы и требующие оплату в криптовалюте;
• блокировщики экрана (locker), которые перекрывают рабочий стол сообщением о «нарушении закона» и просят перевести деньги;
• трояны-вымогатели, угрожающие публикацией украденных данных (двойное вымогательство).

Поскольку термин бытовой, под ним может подразумеваться любое вредоносное ПО, требующее денег, — от примитивных SMS-блокировщиков 2010-х до сложных Ransomware-as-a-Service платформ.

¶История развития

Первые программы-вымогатели появились в конце 1980-х. В 1989 году троян AIDS (PC Cyborg) заменил файлы на диске и требовал переслать 189 долларов на адрес в Панаме. Массовым явлением вымогатели стали в 2005–2006 годах (семейства Gpcode, TROJ.RANSOM). Перелом наступил в 2013 году с появлением CryptoLocker, использовавшего стойкое шифрование RSA-2048 и биткойн для оплаты. Далее последовали CryptoWall, Locky, Petya (2016), WannaCry и NotPetya (2017). Атака WannaCry за несколько дней поразила более 200 тысяч компьютеров в 150 странах, включая объекты здравоохранения Великобритании.

¶Принцип работы

Типичный сценарий «винаруса» включает несколько этапов:

1. Проникновение. Фишинговое письмо с вложением, эксплойт уязвимости, брутфорс RDP, вредоносная реклама или загрузка через пиратское ПО.
2. Закрепление. Создание записи в автозагрузке, планировщике задач, службе.
3. Сбор данных. Поиск файлов по расширениям, отключение теневых копий (vssadmin delete shadows), остановка служб резервного копирования.
4. Шифрование. Файлы шифруются симметричным ключом (AES), который затем шифруется асимметричным (RSA) и передаётся оператору.
5. Требование выкупа. Появляется записка с адресом, суммой и таймером.

Современные группы применяют двойное и тройное вымогательство: сначала похищают конфиденциальные данные, затем шифруют файлы, а при отказе платить угрожают публикацией и DDoS-атакой.

¶Классификация

¶Распространение и масштаб

По оценкам аналитических компаний, ущерб от программ-вымогателей исчисляется десятками миллиардов долларов в год. Наиболее пострадавшие отрасли — здравоохранение, образование, муниципальные службы, логистика, финансовый сектор. Крупные инциденты: атака на Colonial Pipeline (2021), на оператора Kaseya (2021), на сети госпиталей и страховых компаний. Значительная часть группировок действует с территории, где правоохранительные органы не преследуют кибервымогательство.

¶Признаки заражения

• Массовое изменение расширений файлов (например, .locked, .crypt, .enc).
• Появление текстовых файлов с инструкцией по выкупу в каждой папке.
• Смена обоев рабочего стола на сообщение злоумышленников.
• Недоступность теневых копий и точек восстановления.
• Аномальная нагрузка на диск и процессор.

¶Меры защиты

Эффективная профилактика строится на нескольких принципах:

• регулярные резервные копии по схеме 3-2-1 (три копии, два носителя, одна вне офиса) с проверкой восстановления;
• своевременная установка обновлений ОС и приложений;
• сегментация сети и принцип минимальных привилегий;
• многофакторная аутентификация для удалённого доступа;
• обучение сотрудников распознаванию фишинга;
• использование решений класса EDR и антивирусов с поведенческим анализом;
• блокировка макросов и подозрительных вложений на почтовом шлюзе.

¶Что делать при заражении

Рекомендуется немедленно изолировать заражённый узел от сети, сохранить образ диска для криминалистического анализа, сообщить в ИБ-службу и правоохранительные органы. Оплата выкупа не гарантирует восстановления данных и стимулирует дальнейшие атаки; в ряде юрисдикций перевод средств лицам из санкционных списков может быть незаконным. Если резервные копии сохранены, систему переустанавливают и восстанавливают данные из чистого бэкапа.

¶Правовой аспект

Создание, распространение и использование программ-вымогателей квалифицируется как преступление в большинстве стран: в России — по статьям о неправомерном доступе к компьютерной информации и мошенничестве; в США — по Computer Fraud and Abuse Act; в ЕС — в рамках директив о киберпреступности. Международные операции (например, против группировок REvil, LockBit) приводят к арестам участников и изъятию криптоактивов, однако полностью остановить явление не удаётся из-за анонимности криптовалют и трансграничного характера атак.

¶Культурное отражение

Тема вымогателей вошла в массовую культуру: ей посвящены эпизоды сериалов о кибербезопасности, документальные фильмы и книги о крупных атаках. В бытовой речи слово «винарус» закрепилось как синоним любой «страшной» компьютерной угрозы, требующей денег, что создаёт путаницу в терминологии и мешает пользователям правильно реагировать на инциденты.