После атаки шифровальщика

Ограничьте распространение

Отключите затронутое устройство от сети: отсоедините сетевой кабель и Wi-Fi. Если это рабочее устройство, сообщите администратору или команде реагирования. Не подключайте к нему резервные диски.

Сохраните сведения об инциденте

• Время, когда проблема была обнаружена.
• Изменённые имена и расширения файлов.
• Записку вымогателя или снимок сообщения.
• Сведения о затронутых устройствах и резервных копиях.

Не удаляйте зашифрованные оригиналы. Не запускайте случайные программы «восстановления» на единственной копии данных.

Сначала анализ, затем инструмент

Для некоторых вариантов шифровальщиков существуют публичные средства расшифровки, но универсального решения нет. Совпадение расширения не гарантирует совместимость дешифратора. Проверяйте источник и условия применимости инструмента.

Перед восстановлением из резервной копии необходимо устранить причину заражения и подготовить безопасное окружение. Возврат файлов и реагирование на инцидент — связанные, но отдельные задачи.