Плейбук: вредонос на рабочей станции без шифровальщика
Изолируйте станцию, на которой сработала защита или сотрудник видит странные окна, но файлы ещё не массово шифруются. Шифровальщик — отдельный обзорный сценарий: шифровальщик. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Образцы не запускаем, не «лечим вручную» и не разбираем код.
Признаки и что не делать
Срабатывание EDR, неизвестный процесс, всплывающие окна, исходящие соединения на странные узлы. Не выключайте питание: следы в памяти пропадут. Не пересылайте файл «коллеге посмотреть». Не входите в почту и банк с этой станции.
Первые шаги
- Отключите сеть (порт, Wi-Fi, кабель), питание оставьте.
- В консоли защиты изолируйте узел, если ещё на связи: антивирус и EDR.
- Снимите то, что требует ваша процедура суток (журнал, копия), затем переустановите с золотого образа: золотой образ.
- Сбросьте пароли учёток, которые на этой станции использовались, с чистой машины.
- Проверьте соседние станции тем же агентом: не «ручной охотой по сети».
На Windows со своей станции, если Defender ещё отвечает:
Get-MpThreatDetection | Select-Object -First 5 InitialDetectionTime, Resources, ThreatIDОжидаемо: строки с временем и ресурсом либо пусто, если уже сняли. Не запускайте найденный файл. Приоритет: высокий при доступе к ПДн или админской учётке; иначе средний. Эскалация к суткам, если видите шифрование или боковое движение — тогда это уже другой плейбук.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Почистили «утилитой из интернета» | Станция всё ещё грязная. Образ |
| Агент выключен «чтобы не тормозило» | Покрытие. Верните и смотрите метрику: покрытие хостов |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). EDR находит. Плейбук говорит, что не разбирать образец на коленке.
Как проверить
- Есть консоль изоляции узла и запасной золотой образ.
- В плейбуке явно запрещены выключение питания и запуск файла.
- Пароли с чистой машины, не со заражённой.
Источники
- CIS Control 17: cisecurity.org/controls.
- Get-MpThreatDetection: learn.microsoft.com.
