До 90% современных шифровальщиков в первые 60 секунд работы пытаются выполнить команду vssadmin.exe delete shadows /all /quiet, чтобы лишить администратора возможности бесплатного отката системы. Если антивирус блокирует только запуск исполняемого файла вируса, но пропускает вызов системных утилит для зачистки бэкапов, вероятность полной потери данных в корпоративном сегменте возрастает с 15% до 85%.
Механика атаки на Shadow Copies
Злоумышленники используют легитимные инструменты Windows: vssadmin, PowerShell (cmdlet Remove-WmiObject) и wmic. Проблема в том, что классический сигнатурный анализ здесь бесполезен — исполняемые файлы системы доверенные. Эффективная защита должна опираться на поведенческий анализ (HIPS), который отслеживает цепочку событий: «Неизвестный процесс → Запуск cmd.exe/powershell.exe → Команда удаления теневых копий».
Кейс: В 2023 году в среднем размере компании (50-100 рабочих станций) стандартный антивирус обнаружил тело шифровальщика, но не заблокировал выполнение скрипта очистки VSS. Итог: вирус удален, но данные за последние 48 часов потеряны, так как точки восстановления стерты до начала срабатывания детектора. Экспертный вывод: защита должна срабатывать на попытку модификации VSS, а не на факт обнаружения вредоносного кода.
Эффективность блокировки через vssadmin и PowerShell
Анализ показывает, что около 40% потребительских антивирусов (Home-версии) игнорируют вызовы vssadmin, если они идут от имени администратора, считая это действием пользователя. Профессиональные решения (EDR/XDR) внедряют механизмы «защиты от самоудаления» и мониторинг API-вызовов. Время реакции на попытку удаления теневых копий в топовых решениях составляет от 10 до 150 мс, что критично при скорости шифрования современных алгоритмов (AES-256) до 50-100 МБ/с.
Сравнение: Бесплатные утилиты блокируют vssadmin в 20% случаев, платные корпоративные пакеты (стоимостью от $30 до $120 за лицензию в год) — в 85-95% случаев. Оставшиеся 5-15% приходятся на сложные обфусцированные скрипты, которые имитируют работу системного обновления. Экспертный вывод: полагаться на базовый брандмауэр или стандартный Defender без настроенных политик запрета выполнения скриптов — фатальная ошибка.
Слабые места поведенческого анализа
Основной подводный камень — ложноположительные срабатывания. Легитимное ПО для бэкапа (Veeam, Acronis) также вызывает VSS-сервисы. Если антивирус настроен слишком агрессивно, он блокирует бэкап-окно, что приводит к простою бизнеса. Поэтому современные вендоры внедряют «белые списки» доверенных процессов, но именно здесь создается брешь: шифровальщики начинают использовать технику DLL Hijacking, чтобы маскироваться под доверенный бэкап-агент.
Пример: Атака через подмену библиотеки в папке приложения, которое имеет доступ к VSS. В этом случае антивирус видит доверенный процесс и пропускает команду на удаление копий. Для борьбы с этим необходима антивирусная защита от шифровальщиков: системный реестр технологических подходов и матрица выбора ПО, где приоритетом стоит проверка целостности вызывающего процесса. Экспертный вывод: необходим строгий контроль прав доступа к VSS на уровне групповых политик (GPO), дополняющий антивирус.
Интеграция с мониторингом файловой системы
Блокировка удаления Shadow Copies — это лишь первый рубеж. Если вирус обошел защиту VSS, единственным шансом остается мгновенная остановка процесса при обнаружении аномальной активности в MFT (Master File Table). Когда антивирус видит массовую смену расширений файлов (более 100 файлов в секунду), он должен принудительно завершить все подозрительные сессии, даже если команда удаления бэкапов прошла успешно.
Практика показывает, что связка «Блокировка VSS + Мониторинг MFT» сокращает объем потерь данных с 100% до 2-5% от общего объема диска. Сравнение антивирусных методов защиты от шифровальщиков на уровне мониторинга MFT и USN-журнала: анализ скорости обнаружения массовых изменений подтверждает, что задержка в 1 секунду при обнаружении может привести к потере еще 50-200 МБ критически важных документов. Экспертный вывод: выбирайте ПО, которое объединяет защиту теневых копий с низкоуровневым мониторингом дисковых операций.
Вывод
Для защиты критических точек восстановления недостаточно просто установить «хороший антивирус». Необходимо выбирать EDR-решения с жестким контролем вызовов vssadmin и PowerShell, стоимость которых начинается от $40 за узел. Избегайте продуктов, которые не предоставляют логов по событиям VSS. Моя рекомендация: внедрить запрет на запуск cmd.exe и powershell.exe для обычных пользователей через GPO и дополнить это антивирусом с функцией поведенческого анализа, который блокирует любые попытки удаления Shadow Copies, независимо от прав доступа процесса. Это единственный способ гарантировать выживание данных при атаке.