Kratak odgovor
Ako su fajlovi šifrovani, odmah isključite računar sa mreže i interneta, ne plaćajte otkup i ne brišite ništa. Sačuvajte dokaze (poruku o otkupu, šifrovane fajlove), proverite backup i pokrenite skeniranje sa drugog, čistog računara. Ako je zahvaćeno više uređaja ili servera, prekinite rad i pozovite IT podršku.
Kako se problem prepoznaje
- Fajlovi imaju neobične ekstenzije (npr. .locked, .enc, .crypt) i ne mogu da se otvore
- Na desktopu ili u folderima pojavljuje se tekstualni fajl sa uputstvom za plaćanje otkupa
- Pozadina ekrana je promenjena u poruku upozorenja
- Računar je usporen, a antivirus prijavljuje pretnju ili je onemogućen
- Mrežni diskovi i deljeni folderi su takođe zahvaćeni
Najčešći uzroci
Phishing imejl sa zlonamernim prilogom
Najčešći put zaraze je otvaranje priloga (ZIP, dokument sa makroima) ili klika na link u lažnoj poruci. Ransomware se pokreće kada korisnik dozvoli izvršavanje.
Ranjivost u softveru ili sistemu
Neažuriran operativni sistem, pregledač ili aplikacija mogu biti iskorišćeni za automatsko preuzimanje i pokretanje ransomwarea. Redovno ažuriranje smanjuje ovaj rizik.
Slabe lozinke i RDP pristup
Napadači često pogađaju lozinke za udaljeni pristup (RDP) ili mrežne deljene foldere. Jednom kada uđu, šire šifrovanje na ostale uređaje.
Nezaštićeni prenosivi mediji
USB memorije i spoljni diskovi mogu preneti ransomware sa zaraženog računara. Priključivanje takvog medija na čist računar ponovo pokreće zarazu.
Rešenje korak po korak
- 1
Isključite računar sa mreže i interneta
Odmah izvucite mrežni kabl i isključite Wi-Fi (u Windows 11:
Podešavanja > Mreža i internet > Wi-Fiisključite prekidač; u Windows 10:Podešavanja > Mreža i internet > Wi-Fi). Time sprečavate širenje na deljene foldere i druge računare. Ne gasite računar ako niste sigurni da li je šifrovanje završeno, jer dokazi mogu biti izgubljeni. - 2
Ne plaćajte otkup i ne brišite fajlove
Plaćanje ne garantuje povraćaj podataka i podstiče napadače. Sačuvajte poruku o otkupu (tekstualni fajl, pozadinu) i ne pokušavajte da dešifrujete fajlove sami, osim ako imate proveren alat. Obrišite samo ako vam IT stručnjak kaže da je bezbedno.
- 3
Sačuvajte dokaze i zabeležite vreme
Napravite fotografiju ekrana sa porukom o otkupu i zapišite kada ste primetili problem. Kopirajte nekoliko šifrovanih fajlova i tekstualni fajl sa uputstvom na poseban USB koji ćete odmah isključiti i kasnije ne priključivati na druge računare bez skeniranja. Ti podaci pomažu u identifikaciji tipa ransomwarea i eventualnom oporavku.
- 4
Proverite da li imate backup
Ako imate spoljni disk ili mrežni backup, nemojte ga priključivati na zaraženi računar. Proverite backup sa drugog, čistog računara. Ako je backup bio povezan u trenutku zaraze, i on može biti šifrovan, pa ga tretirajte kao potencijalno zaražen.
- 5
Pokrenite skeniranje sa drugog računara
Ako znate kako, koristite provereni antivirus sa butabilnog USB-a. Ne priključujte izvađeni hard disk direktno na čist računar bez zaštite od upisa. Pokrenite potpuno skeniranje, ali ne otvarajte šifrovane fajlove. Ako niste sigurni kako, preskočite ovaj korak i obratite se stručnjaku.
- 6
Promenite lozinke sa čistog uređaja
Sa drugog, čistog računara ili telefona promenite lozinke za imejl, bankarstvo i druge važne naloge. Uključite dvofaktorsku autentifikaciju gde je moguće. Ne koristite zaraženi računar za prijavu na naloge.
- 7
Obavestite nadležne i sačuvajte mir
Ako je reč o poslovnom okruženju, obavestite IT službu i rukovodstvo. U Srbiji prijavu možete podneti Ministarstvu unutrašnjih poslova i Nacionalnom CERT-u (CERT.RS). Ne delite javno detalje o napadu dok se situacija ne stabilizuje.
Ako ništa ne pomogne: oporavak i stručna pomoć
Ako nemate backup i fajlovi su trajno šifrovani, ne pokušavajte da ih „popravite“ improvizovanim alatima. Postoje javne baze (npr. ID Ransomware) gde možete poslati uzorak šifrovanog fajla i poruku o otkupu da biste identifikovali tip ransomwarea. Za neke starije vrste postoje besplatni alati za dešifrovanje koje objavljuju proizvođači antivirusa, ali za nove verzije retko postoje. Ako je zahvaćeno više računara ili server, odvojite celu mrežu od interneta i pozovite IT podršku. Nakon oporavka obavezno uradite čistu instalaciju sistema (pre toga sačuvajte samo proverene podatke, jer instalacija briše disk), promenite sve lozinke i uspostavite redovan backup po pravilu 3-2-1 (tri kopije, dva medija, jedna van lokacije).
Kako da sprečite da se ponovi
- Redovno pravite backup i držite ga odvojeno od računara (isključen spoljni disk ili cloud sa verzionisanjem)
- Ažurirajte Windows na podržanu verziju, macOS, pregledač i aplikacije čim su dostupna ažuriranja
- Ne otvarajte priloge i linkove iz neočekivanih poruka, čak i ako deluju poznato
- Uključite dvofaktorsku autentifikaciju i koristite jake, jedinstvene lozinke
Kada je bolje pozvati stručnjaka
Ako je zaraženo više uređaja, server ili celokupna poslovna mreža, ili ako nemate proveren backup, pozovite IT podršku pre nego što pokušate sami da rešite problem. Stručnjak može da izoluje zarazu, proceni štetu i bezbedno vrati podatke.
Održavanje IT infrastrukture · Serveri, mreže, backup, bezbednost i helpdeskČesta pitanja
Da li da platim otkup da bih dobio fajlove nazad?
Ne preporučuje se. Plaćanje ne garantuje da ćete dobiti ispravne fajlove, a može vas označiti kao metu za buduće napade. Umesto toga, sačuvajte dokaze i proverite backup.
Mogu li sam da dešifrujem fajlove?
U retkim slučajevima, za poznate starije vrste ransomwarea, postoje besplatni alati. Za većinu novih zaraza nema javnog rešenja. Prvo identifikujte tip ransomwarea (npr. preko ID Ransomware) i ne plaćajte unapred.
Šta ako je ransomware zahvatio mrežni disk?
Odmah isključite mrežni disk ili prekinite deljenje sa zaraženog računara. Ako je moguće, odvojite i server od mreže, ali ga ne gasite bez saveta stručnjaka. Obratite se IT stručnjaku jer je rizik od širenja na druge korisnike veliki.