До 70% успешных атак шифровальщиков на малый и средний бизнес начинаются с брутфорса RDP или эксплуатации уязвимостей в шлюзах удаленного доступа. Обычного антивируса с сигнатурным сканером здесь недостаточно, так как злоумышленник заходит в систему с легитимными правами администратора.
Вектор RDP: почему классический AV бессилен
Когда шифровальщик попадает в сеть через RDP (Remote Desktop Protocol), он не «просачивается» через почту, а заходит через «парадную дверь». В 80% случаев используются слабые пароли или утечки учетных данных. Традиционный антивирус начинает работать только в момент запуска исполняемого файла, но к этому времени атакующий уже успевает отключить теневые копии (VSS) и остановить службы бэкапа с помощью команды vssadmin.exe.
Пример: компания из 20 рабочих станций оставила порт 3389 открытым. Брутфорс подобрал пароль за 14 часов. Итог — зашифрованы все серверы, так как антивирус не счел действия администратора в консоли RDP вредоносными. Экспертный вывод: защита должна сместиться с анализа файлов на поведенческий анализ сессий и контроль привилегий.
Матрица функций защиты от удаленного проникновения
Для эффективного противодействия через RDP антивирусное решение должно обладать тремя критическими функциями: поведенческим анализом (EDR-модуль), контролем целостности критических процессов и интеграцией с MFA. Без MFA вероятность взлома RDP возрастает в десятки раз, даже при сложности пароля в 12 символов.
- Поведенческий анализ: фиксирует массовое переименование файлов в течение 1-2 минут (индикатор шифрования).
- Защита от модификации VSS: блокирует попытки удаления теневых копий даже от имени System.
- Контроль запуска PowerShell/CMD: блокирует подозрительные скрипты, которые часто используются для горизонтального перемещения по сети.
Экспертный вывод: выбирайте решения с полноценным EDR-функционалом, даже если это увеличивает стоимость лицензии на 30-50%.
Сравнение подходов: Signatures vs Behavioral Analysis
Сигнатурный метод обнаруживает известный шифровальщик за 1-3 секунды, но бессилен против новых модификаций или Living-off-the-Land (LotL) атак, где используются легитимные инструменты Windows. Поведенческий анализ (Behavioral Analysis) реагирует на аномалии: например, если процесс RDP-сессии внезапно начинает обращаться к 100 файлам в секунду, система должна мгновенно изолировать хост от сети.
Кейс: атака с использованием модифицированного LockBit. Сигнатурные антивирусы пропустили файл, так как хеш был изменен. Поведенческий модуль заблокировал процесс на 4-м зашифрованном файле, сохранив 99% данных. Экспертный вывод: в контексте удаленного доступа сигнатуры имеют ценность лишь как первый, самый слабый эшелон защиты.
Риски смежных векторов и сетевое взаимодействие
Проникновение через RDP часто становится плацдармом для атак на сетевые хранилища. После захвата прав администратора через удаленный стол, шифровальщик начинает сканировать сеть по протоколу SMB. Если антивирус не умеет анализировать сетевой трафик на предмет аномального количества запросов к общим папкам, защита считается неполной.
Стоимость внедрения комплексной защиты (Endpoint + Network Monitoring) для сегмента SMB варьируется от $15 до $45 за узел в год. Это ничтожно мало по сравнению с выкупом, который сейчас составляет от $10 000 до $1 000 000. Экспертный вывод: необходимо внедрять антивирусную защиту от шифровальщиков: сравнительный анализ инструментов защиты от атак на сетевые хранилища (NAS) и протоколы SMB поможет закрыть эту брешь.
Ошибки настройки и «ложное чувство безопасности»
Главная ошибка — полагаться на встроенный брандмауэр Windows и стандартный антивирус без настройки политик доступа. Опытные администраторы знают: открытие порта 3389 наружу без VPN — это приглашение для хакера. Даже самый дорогой антивирус может не успеть среагировать, если злоумышленник использует легитимные инструменты управления системой (например, PsExec).
Рекомендация: ограничьте доступ к RDP по белому списку IP и внедрите правило «одного окна» через VPN-шлюз. Экспертный вывод: никакой софт не заменит базовую гигиену сети; антивирус — это страховка, а не замена закрытому периметру.
Вывод
Для защиты от шифровальщиков, проникающих через RDP, забудьте о простых антивирусах. Вашим выбором должен стать EDR-решение с функцией поведенческого анализа и жестким контролем процессов VSS. Начинать нужно с закрытия порта 3389 и перехода на VPN с MFA, а затем разворачивать ПО, которое умеет блокировать массовое изменение файлов в реальном времени. Избегайте бесплатных или базовых версий ПО, где отсутствует модуль анализа поведения — они бесполезны против современных LotL-атак.