Вайпер (wiper) — разрушительное вредоносное ПО, которое безвозвратно стирает или портит данные и выводит системы из строя, а не крадёт информацию и не вымогает деньги.
Как работают вайперы
Вайперы перезаписывают файлы случайными данными, уничтожают главную загрузочную запись и таблицы разделов, портят прошивку или шифруют данные ключом, который сразу же выбрасывается. Некоторые нарочно маскируются под программы-вымогатели и показывают требование выкупа, хотя восстановление невозможно — «выкуп» лишь прикрытие для саботажа. Обычно вайпер запускают в конце долгого вторжения, получив права администратора домена, чтобы поразить тысячи машин одновременно.
Известные атаки
- Shamoon (2012) — стёр данные примерно на 30 тысячах рабочих станций Saudi Aramco.
- NotPetya (2017) — распространился через заражённое обновление украинской бухгалтерской программы; ущерб правительство США оценило примерно в 10 млрд долларов.
- WhisperGate, HermeticWiper и другие (2022) — волна вайперов против украинских организаций в начале российского вторжения; AcidRain вывел из строя десятки тысяч спутниковых модемов.
Почему это важно
Вайперы — оружие государственных группировок и APT в геополитических конфликтах, а также хактивистов и иногда преступников. Их цели — критическая инфраструктура, госорганы и компании, нарушение работы которых даёт политический эффект. Договориться не с кем: без резервных копий данные потеряны навсегда.
Как подготовиться
- Хранить офлайн- или неизменяемые резервные копии и регулярно проверять восстановление.
- Защищать учётные записи администраторов домена и сегментировать сеть.
- Отслеживать массовые изменения файлов и необычное использование инструментов администрирования, например групповых политик.
- Иметь план реагирования на инциденты с восстановлением систем с нуля.
Как и другое вредоносное ПО, вайперы часто попадают в сеть через уязвимые внешние сервисы или украденные учётные данные.
