База записок о выкупе: анатомия вымогательства

Для специалиста по реагированию на инциденты нет более холодящего экрана, чем сервер с запиской о выкупе. Это точка, в которой защиты уже не сработали, а кризис начался: каждое следующее решение принимается под давлением времени, неполных данных и чужого сценария, написанного заранее.

Записка о выкупе — не просто требование денег, а выверенный психологический инструмент. Ниже — разбор записок WannaCry, LockBit, REvil, Conti, BlackCat и Black Basta: что в них написано, зачем и что это говорит о группировке.

Что обычно содержит записка

Формат менялся, но набор элементов остаётся узнаваемым:

сумма и валюта — чаще в биткоинах или Monero, реже в долларах с привязкой к курсу;
срок — от 12 часов до нескольких дней, с повышением цены на втором этапе;
адрес для связи — onion-ссылка на портал переговоров или, в старых вариантах, почтовый ящик;
идентификатор жертвы — строка, которую нужно указать при входе в портал;
описание украденного — перечень файлов, финансовые документы, базы клиентов;
угроза публикации — сайт утечек, уведомление регулятора, письма клиентам и партнёрам;
технические запреты — «не переименовывайте файлы», «не используйте сторонние утилиты», иногда демонстрация расшифровки одного-двух файлов как доказательство работоспособности ключа.

Уже по этим пунктам видно, к какому поколению относится образец: записка, которая говорит только о шифровании и таймере, — это 2017–2019 годы; записка, где главный аргумент — украденные данные, — это 2023–2026.

WannaCry: шаблон, который копируют до сих пор

Червь 2017 года задал визуальный язык вымогательства: ярко-красный фон, крупный заголовок «Ooops, your files have been encrypted!», два таймера — повышение суммы и потеря файлов.

Психологический приём: дефицит времени. Яркий красный цвет вызывает тревогу быстрее, чем человек успевает прочитать текст, а два счётчика рядом заставляют принимать финансовое решение до консультации с юристом или техническим специалистом.

Атрибуция: группа Lazarus, связанная с КНДР; выводы делали правоохранительные органы США, Великобритании и Австралии. Варианты и подражатели фиксируются до сих пор — в основном там, где остались непропатченные системы.

Что проверять: наличие сетевого распространения. Если записка появилась сразу на десятках машин без действий пользователя, речь о черве, и изоляция сегментов важнее расшифровки отдельных файлов.

LockBit: вымогательство в корпоративном тоне

LockBit превратил вымогательство в сервис и стал одним из самых результативных операторов в истории. Его записка написана так, будто её составил отдел продаж: «мы деловые люди», «мы дорожим репутацией», «если мы не выполним работу, нам не заплатят».

Психологический приём: перенос ответственности и нормализация сделки. Обещание «теста на проникновение после оплаты» переводит преступление в жанр услуги с бонусом и снижает барьер к платежу. Спокойный тон убирает страх, который обычно и подталкивает жертву звонить в полицию.

Что проверять: расширение зашифрованных файлов и имя записки — они указывают на конкретную сборку, а значит, на известные слабости и, возможно, на доступный инструмент расшифровки. Операция Cronos 2024 года ударила по инфраструктуре, но клоны бренда остались.

REvil: двойное вымогательство

REvil одним из первых сделал ставку на кражу данных до шифрования. Записка прямо предупреждает: восстановление из резервных копий не поможет, потому что копия данных уже у атакующих, а обращение в полицию приведёт к удалению ключа.

Психологический приём: устранение путей отхода. Жертве показывают, что привычный план — «отойду на бэкапах» — не работает, и оставляют один вариант: договариваться тайно и молча.

Громкие жертвы: Kaseya, от которой пострадали более 1500 организаций, JBS Foods, Acer. Участников задерживали в России в 2022 году, но это не остановило последователей.

Что проверять: признаки выгрузки данных — аномальные объёмы трафика, обращения к файловым хранилищам, следы архивов. Если утечка была, восстановление из резервной копии решает только половину задачи.

Conti: таймеры, портал и «служба поддержки»

Conti работала как компания с иерархией, регламентами и отдельной группой переговоров. Записка это отражает: три дня до удвоения суммы, семь дней до удаления ключа, аккуратный тон и ссылка на портал, где общение идёт в стиле службы поддержки.

Психологический приём: сочетание срочности и профессиональной отстранённости. Спокойный текст снижает панику — с паникующим клиентом труднее вести переговоры, — а пошаговый интерфейс портала создаёт иллюзию понятной процедуры.

Громкие жертвы: Ирландская служба здравоохранения (HSE), правительство Коста-Рики. Утечка внутренних документов Conti в 2022 году показала, что переговоры вели специально обученные люди.

Что проверять: сроки в записке почти всегда искусственные. Реальное ограничение — не таймер, а ваша способность восстановиться и оценить масштаб утечки.

BlackCat и ALPHV: кража данных как главный рычаг

BlackCat (ALPHV) писал вымогатель на Rust, вёл публично доступные сайты утечек и первым начал давить на жертв через регуляторов: в ноябре 2023 года группировка подала жалобу в SEC на собственную жертву за нарушение сроков раскрытия инцидента.

Психологический приём: минимализм и перенос акцента. В короткой записке почти нет технических деталей шифрования — только перечисление украденного и формула «молчание равно утечке». Расчёт верный: штрафы по GDPR, уведомления клиентов и репутационные потери часто дороже самого выкупа.

Что проверять: категории данных, названные в записке. Если там фигурируют персональные данные, включается отдельный правовой трек — уведомление регулятора и оценка ущерба.

Black Basta: расчёт на средний бизнес

Группировка целенаправленно выбирает компании на 50–500 сотрудников: у них реже есть контракт на реагирование и опытный юрист под рукой, поэтому решения принимаются быстрее и менее выгодно для жертвы. Записка даёт 12 часов и отдельно предупреждает: «не пытайтесь восстановить файлы самостоятельно, вы можете повредить их навсегда».

Психологический приём: создание зависимости. Жертву лишают уверенности в собственных силах и подталкивают к единственному «безопасному» варианту — контакту с атакующим.

Что проверять: реалистичность сроков. 12 часов не оставляют времени ни на оценку бэкапов, ни на консультацию — именно поэтому первым действием должно быть не чтение записки, а изоляция сети.

Как записки превратились в порталы

Первое поколение — текстовый файл readme.txt в каждой папке. Второе — окно с таймером и адресом почты. Третье — Tor-портал с личным кабинетом, где можно посмотреть «доказательства» утечки, поторговаться и получить пробную расшифровку.

Сегодня записка — только входная точка. Дальше жертву ведут по сценарию: чат с оператором, давление через список пострадавших компаний, публикация первых файлов как демонстрация, обращение к клиентам и журналистам.

Что записка рассказывает специалисту

Для группы реагирования записка — это источник данных, а не только требование:

семейство и сборка — по имени файла, расширению, тексту и подписи;
масштаб — где лежит записка: на одном сервере, на общих дисках, на всех узлах;
наличие утечки — прямое упоминание данных или угроза публикации;
время — метки создания записки дают нижнюю границу периода компромисса;
зрелость атаки — упоминание резервных копий и домена означает, что атакующие изучали инфраструктуру, а не действовали вслепую.

Законные шаги в первые часы

Изолировать, но не выключать. Отключите заражённые узлы от сети, сохранив питание: в оперативной памяти остаются артефакты, полезные для форензики. Работа с памятью и образами дисков проводится с письменного согласия владельца системы.
Сохранить доказательства. Сфотографируйте экран, скопируйте записку, возьмите по одному зашифрованному файлу каждого типа, выгрузите журналы за период до инцидента.
Уведомить руководство, юристов и страховщика. Решение о платеже — не техническое, а правовое и управленческое.
Обратиться в правоохранительные органы и национальный CERT. Это не гарантирует возврат данных, но фиксирует инцидент и открывает доступ к помощи.
Привлечь группу реагирования по договору с описанным объёмом работ и правилами конфиденциальности.
Восстанавливать из проверенных копий. Перед восстановлением убедитесь, что резервные копии не зашифрованы и не содержат закладок, а инфраструктура очищена от механизмов закрепления.
Проверить бесплатные расшифровщики в проекте No More Ransom.

Если вы хотите заранее понять, где именно атакующие найдут вход, обсудите с нами проверку периметра и сценарии реагирования — в рамках подписанного соглашения о работах.

Почему платить невыгодно

Платёж финансирует следующие атаки и подтверждает жизнеспособность модели.
Расшифровка не гарантирована: заметная доля заплативших не получает все файлы обратно, а восстановление после двойного вымогательства не решает проблему утечки.
Оплата отмечает компанию как плательщика — такие организации чаще становятся целью повторно.
В ряде юрисдикций перевод средств в адрес подсанкционных групп создаёт самостоятельные правовые риски.

Частые вопросы

Обязательно ли платить, если нет резервных копий? Нет. Сначала оцените, какие данные действительно критичны, есть ли расшифровщик для вашего семейства и можно ли восстановить часть систем. Решение принимается с юристами, а не по таймеру из записки.

Записка угрожает удалить ключ, если мы обратимся в полицию. Это правда? Обычно это блеф, рассчитанный на изоляцию жертвы. Обращение к властям само по себе не ухудшает положение и часто помогает с атрибуцией.

Можно ли расшифровать файлы самостоятельно? Для старых и уже закрытых семейств существуют бесплатные инструменты. Для актуальных сборок самостоятельные эксперименты опасны: часть утилит повреждает данные безвозвратно. Работайте с копиями, а не с оригиналами.

База записок о выкупе 2020–2026: анатомия кибервымогательства