До 90% современных шифровальщиков в первые 30 секунд работы запускают команду vssadmin.exe delete shadows /all /quiet, чтобы лишить администратора возможности бесплатного отката системы. Без защиты механизмов VSS и бэкапов даже самый продвинутый антивирус превращается в наблюдателя за процессом потери данных.
Механика атаки на VSS и системный бэкап
Шифровальщики атакуют Volume Shadow Copy Service (VSS) через стандартные инструменты Windows: vssadmin, wmic и PowerShell. Типичный сценарий: запуск процесса с правами SYSTEM, команда на удаление всех теневых копий и последующий запуск шифрования. В 2023-2024 годах доля вредоносного ПО, использующего этот вектор, остается критически высокой, так как это самый простой способ гарантировать выкуп.
Кейс: в ходе анализа атаки одного из банковских секторов было установлено, что шифровальщик удалил теневые копии за 1.2 секунды, после чего приступил к модификации файлов. Время реакции стандартного антивируса по сигнатурам составило 45 секунд — данные были уничтожены до срабатывания алерта. Вывод: защита должна быть превентивной (блокировка вызова утилиты), а не реактивной.
Сравнение методов защиты механизмов восстановления
Эффективность защиты варьируется от простых правил HIPS до аппаратной изоляции бэкапов. Ниже представлена сравнительная оценка методов:
- Мониторинг API-вызовов (HIPS/EDR): блокировка команд vssadmin. Эффективность 60-70%, так как опытные авторы используют прямые вызовы API или обфусцированные скрипты. Цена: входит в пакеты Enterprise (от $30 до $80 за узел в год).
- Изолированные бэкапы (Air-Gap/Immutable): создание неизменяемых копий. Эффективность 99%, так как данные физически недоступны для модификации из ОС. Срок восстановления: от 2 до 24 часов.
- Поведенческий анализ записи (Anti-Ransomware модули): отслеживание массового изменения энтропии файлов. Эффективность 80%, но дает высокую нагрузку на CPU (до 15-20% при активном сканировании).
Экспертный вывод: полагаться только на антивирусный мониторинг VSS опасно. Единственный надежный метод — внедрение Immutable-бэкапов (неизменяемых снимков), которые нельзя удалить даже с правами администратора.
Подводные камни защиты теневых копий
Многие ошибочно полагают, что ограничение прав пользователя в системе защитит VSS. Однако большинство шифровальщиков используют эксплойты для повышения привилегий до уровня SYSTEM, что делает любые локальные ACL бесполезными. Еще одна ошибка — хранение бэкапов на том же логическом диске или в сетевой папке с доступом по SMB без защиты от массового шифрования.
Пример: компания настроила ежедневный бэкап на сетевой диск Z:. Шифровальщик, получив доступ к учетной записи администратора, зашифровал и рабочие станции, и архив на диске Z: за 4 часа. Это классический провал архитектуры. Для защиты таких ресурсов необходима антивирусная защита от шифровальщиков: матрица анализа инструментов контроля доступа к сетевым папкам и защиты общих ресурсов (SMB/NFS) от массового шифрования, чтобы ограничить запись в архив.
Критерии выбора антивирусного модуля защиты
При выборе ПО ориентируйтесь на наличие функции «защиты от модификации системных инструментов». Хороший продукт должен блокировать не только vssadmin, но и попытки изменения реестра в ветках, отвечающих за автоматическое восстановление системы (Recovery Environment). Проверьте, есть ли в продукте механизмы изоляции подозрительных процессов.
Для глубокой проверки функционала рекомендую изучить антивирусную защиту от шифровальщиков: реестр критериев оценки функционала «песочницы» для изоляции подозрительных процессов в режиме реального времени. Если антивирус просто «видит» удаление копий, но не может остановить процесс за миллисекунды — он бесполезен против современных модификаций LockBit или подобных. Вывод: выбирайте решения с жестким белым списком разрешенных процессов для управления VSS.
Интеграция с общей стратегией защиты данных
Техническая защита VSS — это лишь первый эшелон. Полная устойчивость достигается при сочетании трех факторов: блокировка удаления копий (EDR) → неизменяемые бэкапы (Immutable) → мониторинг аномалий записи. В 2025-2026 годах тренд смещается в сторону полной автоматизации отката системы при обнаружении первой же попытки модификации VSS.
Для понимания общего вектора развития технологий стоит изучить антивирусную защиту от шифровальщиков: аналитический обзор механизмов защиты данных от несанкционированного шифрования в 2026 году. Практика показывает, что компании, внедрившие гибридную схему (Локальный VSS + Облачный Immutable бэкап), сокращают время простоя с 72 часов до 4-6 часов. Экспертный вывод: инвестируйте в архитектуру хранения, а не только в софт для сканирования файлов.
Вывод
Защита теневых копий (VSS) средствами одного лишь антивируса — это иллюзия безопасности. Мой вердикт: для критически важных данных используйте связку из EDR-системы (для блокировки vssadmin/wmic) и внешней системы Immutable-бэкапов с интервалом снимков не более 4 часов. Избегайте хранения бэкапов в сетевых папках с прямым доступом по SMB. Начинайте с настройки политики запрета запуска командных оболочек для обычных пользователей и внедрения принципа наименьших привилегий.