پوشه عکس‌های خانوادگی را باز می‌کنید و هیچ‌کدام باز نمی‌شوند. کنارشان یک فایل متنی هست که شما نساخته‌اید: فایل‌هایتان رمزگذاری شده‌اند، کلید را می‌توان خرید و قیمت پس از یک مهلت بالا می‌رود. همان روز صبح، شرکتی کوچک همه درایوهای اشتراکی خود را در همین وضعیت پیدا می‌کند، با یک تهدید اضافه: پول بدهید، وگرنه سوابق مشتریان منتشر می‌شود.
هر دو مورد باج‌افزار (ransomware) هستند. این نوشته توضیح می‌دهد باج‌افزار چیست، یک حمله چگونه پیش می‌رود، انواع و نشانه‌های اصلی آن کدام‌اند، در ساعت اول چه باید کرد، چگونه می‌توان فایل‌ها را بدون پرداخت پول پس گرفت و چگونه در خانه و محل کار از آن پیشگیری کرد. نوشته برای کسانی است که هدف حمله قرار می‌گیرند، نه برای مهاجمان.
باج‌افزار چیست؟
باج‌افزار بدافزاری است که فایل‌ها یا دستگاه شما را تا زمان پرداخت باج غیرقابل‌استفاده می‌کند. CISA، آژانس امنیت سایبری آمریکا، آن را بدافزاری توصیف می‌کند که برای رمزگذاری فایل‌های یک دستگاه طراحی شده است و فایل‌ها و سامانه‌هایی را که به آن‌ها متکی‌اند از کار می‌اندازد. مرکز ملی امنیت سایبری بریتانیا (NCSC) از نگاه قربانی به آن می‌نگرد: باج‌افزار نمی‌گذارد به دستگاه و داده‌هایتان دسترسی داشته باشید.
رمزنگاری به‌خودی‌خود فناوری عادی‌ای است که از بانکداری اینترنتی و حافظه گوشی شما محافظت می‌کند؛ وقتی به باج‌افزار تبدیل می‌شود که تنها کلید در دست مهاجم باشد. باج‌افزار یکی از خانواده‌های بدافزار است، یعنی نام کلی نرم‌افزاری که برای آسیب زدن به یک دستگاه، جاسوسی از آن یا در دست گرفتن کنترلش ساخته می‌شود؛ نوشته بدافزار چیست؟ خانواده‌های دیگر را شرح می‌دهد.
بسیاری از حمله‌ها اکنون اهرم دومی هم به کار می‌گیرند. مهاجمان پیش از رمزگذاری هر چیزی، داده‌ها را بیرون کپی می‌کنند و تهدید می‌کنند که اگر کسی پول ندهد آن‌ها را منتشر می‌کنند؛ CISA این ترفند را اخاذی مضاعف (double extortion) می‌نامد. برخی اصلاً رمزگذاری نمی‌کنند و فقط به انتشار آنچه برده‌اند تهدید می‌کنند.
حمله باج‌افزاری چگونه کار می‌کند؟
- ورود. درهای معمول این‌ها هستند: ایمیل فیشینگ با پیوست یا پیوند مخرب (نوشته فیشینگ چیست؟ راه تشخیص آن را نشان می‌دهد)، رمز عبوری که دزدیده شده یا در جاهای دیگر هم به کار رفته است، دسکتاپ از راه دور (ابزاری برای کنترل یک رایانه از روی شبکه) که روی اینترنت باز مانده است، دستگاهی رو به اینترنت و به‌روزنشده مانند گیت‌وی VPN، یا دانلود نرم‌افزاری جعلی.
- گسترش. در شبکه یک شرکت، مهاجمان از نخستین رایانه به رایانه‌های دیگر می‌روند و دنبال حساب‌های مدیر سیستم می‌گردند؛ CISA این را حرکت جانبی (lateral movement) می‌نامد. در رایانه خانگی، بدافزار به هر چیزی می‌رسد که رایانه به آن دسترسی دارد: فلش USB وصل‌شده، درایو شبکه، پوشه‌های اشتراکی.
- حمله به نسخه‌های پشتیبان. بسیاری از گونه‌های باج‌افزار دنبال نسخه‌های پشتیبانی می‌گردند که به آن‌ها دسترسی دارند و آن‌ها را پاک یا رمزگذاری می‌کنند، و مهاجمان از ابزارهای داخلی ویندوز برای حذف نقطه‌های بازیابی سوءاستفاده می‌کنند.
- کپی کردن داده‌ها به بیرون. در حمله اخاذی مضاعف، اسناد، سوابق مشتریان و ایمیل‌ها پیش از قفل شدن هر چیزی به سرورهای مهاجمان فرستاده می‌شوند.
- رمزگذاری و درخواست باج. فایل‌ها رمزگذاری و نسخه‌های اصلی پاک می‌شوند. یادداشتی در هر پوشه یا روی کل صفحه ظاهر می‌شود که دستور پرداخت و یک مهلت دارد.
درخواست باج اغلب آخرین گام نفوذی است که زودتر آغاز شده است. راهنمای CISA می‌گوید یک رخداد باج‌افزاری ممکن است نشانه نفوذی قبلی و حل‌نشده به شبکه باشد؛ به همین دلیل شرکت‌ها پیش از بازسازی سیستم‌ها بررسی می‌کنند مهاجمان از کجا وارد شده‌اند.
باج‌افزار چه انواعی دارد؟
| نوع | چه می‌کند | چه می‌بینید | آیا نسخه پشتیبان کمک می‌کند؟ |
|---|---|---|---|
| باج‌افزار رمزگذار (crypto) | فایل‌ها را رمزگذاری می‌کند | فایل‌هایی که باز نمی‌شوند، یادداشتی در هر پوشه | بله، اگر نسخه پشتیبان آفلاین بوده باشد |
| باج‌افزار قفل‌کننده (locker) | صفحه را قفل می‌کند | درخواستی تمام‌صفحه که همه‌چیز را مسدود می‌کند | فایل‌ها شاید سالم باشند؛ دستگاه را پاک‌سازی کنید |
| باج‌افزار سطح راه‌اندازی | رکورد راه‌اندازی دیسک را تغییر می‌دهد | درخواست باج به‌جای بالا آمدن ویندوز | بله، پس از پاک کردن کامل دیسک |
| اخاذی مضاعف | داده‌ها را بیرون کپی می‌کند، سپس رمزگذاری می‌کند | فایل‌های رمزگذاری‌شده و تهدید به انتشار | برای فایل‌ها بله، برای نشت نه |
| اخاذی داده | فقط داده‌ها را بیرون کپی می‌کند | درخواستی همراه با نمونه‌هایی از داده‌های شما | نه؛ این یک نقض داده است |
باج‌افزار رمزگذار همان چیزی است که بیشتر مردم از این واژه می‌فهمند: پروژه No More Ransom یادآوری می‌کند که پس از ساخته شدن نسخه‌های رمزگذاری‌شده، فایل‌های اصلی پاک می‌شوند و فایلی متنی با دستور پرداخت معمولاً در همان پوشه قرار دارد. اخاذی مضاعف و اخاذی داده فایل‌های ازدست‌رفته را به نقض داده تبدیل می‌کنند، چون حتی یک نسخه پشتیبان کامل هم نمی‌تواند آنچه را کپی شده است پس بگیرد. باج‌افزار برای سرورهای وب و گوشی‌ها، بیشتر گوشی‌های اندرویدی، هم وجود دارد.
چگونه بفهمید به باج‌افزار آلوده شده‌اید؟
معمولاً نخستین نشانه خود درخواست باج است. مایکروسافت یادآوری می‌کند که آلودگی به‌ندرت پیش از آن خودش را نشان می‌دهد که یک پنجره، یک برنامه یا یک پیام تمام‌صفحه پول بخواهد، و این اغلب وقتی است که فایل‌ها دیگر رمزگذاری شده‌اند.
نشانه‌هایی که به باج‌افزار اشاره می‌کنند:
- فایل‌هایی که باز نمی‌شوند، آن هم هم‌زمان در پوشه‌های زیاد.
- فایل متنی یا صفحه وبی که شما نساخته‌اید و دستور پرداخت دارد، در همان پوشه‌ها.
- پیامی تمام‌صفحه که قیمت و مهلتی را اعلام می‌کند.
- نسخه‌های پشتیبان، نقطه‌های بازیابی یا نسخه‌های قبلی فایل‌ها که ناپدید شده‌اند یا آن‌ها هم رمزگذاری شده‌اند.
- در شبکه، درایوهای اشتراکی در همان وضعیت و همکارانی که همان پیام را می‌بینند.
صفحه‌ای در مرورگر که ادعا می‌کند رایانه شما قفل شده است و شماره تلفنی نشان می‌دهد، معمولاً کلاهبرداری پشتیبانی فنی است، نه باج‌افزار. مایکروسافت توصیه می‌کند مرورگر را ببندید (اگر ماوس واکنش نشان نمی‌دهد، با Alt+F4) یا رایانه را دوباره راه‌اندازی کنید؛ پیام‌های خطای واقعی مایکروسافت هرگز شماره تلفن ندارند.
اگر باج‌افزار به رایانه شما حمله کرد چه کنید؟
نخست اتصال دستگاه به شبکه را قطع کنید: فهرست واکنش در راهنمای #StopRansomware آژانس CISA با جدا کردن فوری سیستم‌های آسیب‌دیده آغاز می‌شود. سپس:
- اتصال را قطع کنید. کابل شبکه را بکشید، Wi-Fi را خاموش کنید و فلش‌های USB و دیسک‌های پشتیبان را جدا کنید. دستگاه را روشن بگذارید، مگر اینکه نتوانید اتصالش را قطع کنید؛ CISA فقط در این حالت خاموش کردن را توصیه می‌کند، چون خاموش کردن شواهدی را که در حافظه نگه داشته شده است پاک می‌کند.
- از پیام عکس بگیرید. با گوشی خود از یادداشت، هر نشانی وبی که در آن آمده و نام چند فایل رمزگذاری‌شده عکس بگیرید. این‌ها به پلیس کمک می‌کنند و به شناسایی باج‌افزار هم کمک می‌کنند.
- پول ندهید و با مهاجمان تماس نگیرید. توصیه رسمی درباره پرداخت در پرسش‌های متداول پایین آمده است.
- در محل کار، با واحد فناوری اطلاعات یا تیم امنیت تلفنی تماس بگیرید. CISA توصیه می‌کند هماهنگی تلفنی انجام شود، چون ممکن است مهاجمان ایمیل‌ها را بخوانند.
- حمله را گزارش دهید. در آمریکا به CISA (cisa.gov/report) یا مرکز شکایات جرائم اینترنتی FBI (ic3.gov)؛ در بریتانیا از راه gov.uk/report-cyber؛ در جاهای دیگر به آژانس ملی امنیت سایبری، CERT کشور شما (تیم واکنش به رخدادهای رایانه‌ای) یا پلیس.
- دستگاه را پاک‌سازی یا از نو نصب کنید. با نرم‌افزار امنیتی خود یک اسکن کامل اجرا کنید. اگر نرم‌افزار نتواند دستگاه را پاک‌سازی کند، NCSC توصیه می‌کند آن را کاملاً پاک کنید و همه‌چیز را، از سیستم‌عامل به بعد، دوباره نصب کنید.
- فایل‌ها را بازیابی و رمزهای عبور را عوض کنید. فایل‌ها را فقط روی دستگاه پاک‌سازی‌شده بازیابی کنید؛ NCSC هشدار می‌دهد که بازیابی روی دستگاه آلوده می‌تواند آلودگی را برگرداند. از یک دستگاه سالم، رمزهای ایمیل، بانک و همه حساب‌هایی را که روی رایانه آلوده استفاده شده‌اند عوض کنید.
آیا می‌توان فایل‌ها را بدون پرداخت باج پس گرفت؟
اغلب بله: از نسخه پشتیبانی که پیش از آلودگی گرفته شده است، از تاریخچه نسخه‌های یک سرویس ابری یا با یک ابزار رمزگشایی رایگان. هیچ‌کدام از این راه‌ها همیشه جواب نمی‌دهد و NCSC هشدار می‌دهد که بیشتر فایل‌های رمزگذاری‌شده را هیچ‌کس جز مهاجم نمی‌تواند رمزگشایی کند؛ به همین دلیل نسخه پشتیبانی که به دستگاه وصل نمانده است، تکیه‌گاه واقعی شماست.
No More Ransom، که واحد ملی جرائم فناوری پیشرفته پلیس هلند و مرکز جرائم سایبری اروپا در یوروپل همراه با شرکت‌های امنیتی راه‌اندازی کرده‌اند، ابزارهای رمزگشایی را گرد می‌آورد که برای همه رایگان‌اند. ابزار Crypto Sheriff این سایت، باج‌افزار را از روی اطلاعاتی که به آن می‌دهید شناسایی می‌کند و بررسی می‌کند که ابزار رمزگشایی برای آن هست یا نه. کلیدها وقتی پیدا می‌شوند که مهاجمان اشتباه کنند یا پلیس سرورهایشان را توقیف کند؛ پس اگر امروز ابزار مناسبی نبود، بعداً دوباره سر بزنید.
چگونه از خود در برابر باج‌افزار محافظت کنید؟
یک نسخه پشتیبان آفلاین نگه دارید، به‌روزرسانی‌ها را بی‌درنگ نصب کنید، ورودها را با احراز هویت چندعاملی محافظت کنید و درهای آسانی مانند دسکتاپ از راه دوری را که روی اینترنت باز است ببندید. جدول زیر اقدام‌های اصلی را بر اساس آنچه جلویش را می‌گیرند مرتب می‌کند:
| اقدام | جلوی چه چیزی را می‌گیرد یا آن را محدود می‌کند | برای چه کسی |
|---|---|---|
| نسخه پشتیبان آفلاین و آزموده | از دست رفتن فایل‌ها، پرداخت پول برای کلید | همه |
| به‌روزرسانی سیستم، برنامه‌ها و روتر | نفوذ از راه نقص‌های شناخته‌شده | همه |
| MFA برای ایمیل و دسترسی از راه دور | ورود با رمز عبور دزدیده‌شده | همه |
| باز نگذاشتن دسکتاپ از راه دور روی اینترنت | یکی از راه‌های رایج ورود | خانه و دفتر |
| حساب روزمره بدون دسترسی مدیر | میزان دسترسی بدافزار | همه |
| فیلتر ایمیل، مسدود کردن ماکروهای Office | پیوست‌های مخرب | شرکت‌ها |
| تقسیم‌بندی شبکه | گسترش میان رایانه‌ها | شرکت‌ها |
| دسترسی کنترل‌شده به پوشه‌ها | تغییر فایل‌های شما به دست برنامه‌های ناشناس | کاربران ویندوز |
یک قاعده سرانگشتی رایج برای نسخه پشتیبان، قاعده 3-2-1 است: سه نسخه از فایل‌های مهم (نسخه اصلی و دو نسخه پشتیبان)، روی دو نوع حافظه ذخیره‌سازی، که یکی از آن‌ها جای دیگری نگه داشته می‌شود. در برابر باج‌افزار، نسخه‌ای به کار می‌آید که رایانه آلوده نتواند به آن برسد، مانند یک دیسک خارجی که پس از هر بار پشتیبان‌گیری جدایش می‌کنید. راهنمای باج‌افزار NCSC دو نکته را می‌افزاید که بسیاری نادیده می‌گیرند: دستگاه پشتیبان را جدا از رایانه نگه دارید و هرازگاهی بازیابی را آزمایش کنید.
به‌روزرسانی‌ها نقص‌هایی را می‌بندند که مهاجمان از قبل می‌شناسند؛ CISA از سازمان‌ها می‌خواهد ابتدا سیستم‌های رو به اینترنت و آسیب‌پذیری‌هایی را وصله کنند که معلوم است از آن‌ها سوءاستفاده می‌شود. نقصی که هنوز وصله‌ای ندارد حکایت دیگری است که نوشته آسیب‌پذیری روز صفر چیست؟ آن را توضیح می‌دهد.
احراز هویت چندعاملی (MFA) گام دومی به رمز عبور اضافه می‌کند، پس رمز عبور دزدیده‌شده به‌تنهایی ایمیل شما یا ورود به یک سرویس دسترسی از راه دور را باز نمی‌کند. CISA استفاده از MFA مقاوم در برابر فیشینگ را توصیه می‌کند، مانند passkeyها (کلیدهای ورودی که روی دستگاه شما ذخیره می‌شوند) یا کلیدهای امنیتی، و اینکه کار از ایمیل و دسترسی VPN آغاز شود.
چگونه محافظت در برابر باج‌افزار را در ویندوز روشن کنید؟
ویندوز 10 و 11 قابلیتی به نام Controlled folder access (دسترسی کنترل‌شده به پوشه‌ها) دارند که نمی‌گذارد برنامه‌های ناشناس یا نامطمئن فایل‌های پوشه‌های محافظت‌شده را تغییر دهند. صفحه راهنمای Windows Security در سایت مایکروسافت مسیر را این‌طور می‌دهد (نام گزینه‌ها به انگلیسی و با ترجمه آمده است):
- Windows Security (امنیت ویندوز) را از منوی Start باز کنید.
- Virus & threat protection (محافظت در برابر ویروس و تهدید) > Manage ransomware protection (مدیریت محافظت در برابر باج‌افزار) را انتخاب کنید.
- Controlled folder access را روشن کنید.
- در بخش Protected folders (پوشه‌های محافظت‌شده)، پوشه‌هایی غیر از پوشه‌های پیش‌فرض (Documents، Pictures، Videos، Music و Desktop) اضافه کنید.
اگر برنامه‌ای که به آن اعتماد دارید مسدود شود، ویندوز اعلان App is blocked (برنامه مسدود شد) را نشان می‌دهد؛ روی اعلان کلیک کنید و سپس Add an allowed app (افزودن برنامه مجاز) را بزنید. فقط برنامه‌هایی را اضافه کنید که می‌شناسید: مایکروسافت هشدار می‌دهد برنامه مجازی که بعدها به دست مهاجم بیفتد می‌تواند فایل‌های محافظت‌شده را تغییر دهد. این بده‌بستان برای رایانه خانگی مناسب است: گاهی برنامه‌ای مسدود می‌شود و در عوض پوشه‌هایی دارید که نرم‌افزار ناشناس نمی‌تواند بازنویسی‌شان کند.
باج‌افزار برای کاربران خانگی و شرکت‌ها چه تفاوتی دارد؟
در خانه، باج‌افزار معمولاً به یک رایانه و فایل‌هایی که آن رایانه به آن‌ها دسترسی دارد ضربه می‌زند؛ در شرکت، اغلب نفوذی برنامه‌ریزی‌شده است که هم‌زمان سرورها، نسخه‌های پشتیبان و داده‌ها را هدف می‌گیرد. در خانه دفاع ساده است: نسخه پشتیبانی که از رایانه جدا شده است، به‌روزرسانی‌ها و یک حساب استاندارد برای کار روزمره.
شرکت‌ها با مهاجمانی روبه‌رو هستند که ممکن است پیش از رمزگذاری هر چیزی مدتی در شبکه بمانند. CISA از سازمان‌ها می‌خواهد یک برنامه واکنش به رخداد داشته باشند، شبکه را تقسیم‌بندی کنند، نسخه‌های پشتیبان آفلاین و رمزگذاری‌شده و ایمیج‌های آماده سیستم برای بازسازی نگه دارند و نهادهای انتظامی را در جریان بگذارند. اگر داده‌های شخصی رمزگذاری یا کپی شده باشند، رخداد یک نقض داده‌های شخصی هم هست: هیئت حفاظت از داده اروپا (EDPB) داده‌ای را که رمزگذاری باج‌افزار از دسترس خارج کرده است نیز نقض داده می‌داند، و هر جا اطلاع‌رسانی الزامی باشد، مرجع نظارتی باید ظرف 72 ساعت مطلع شود.
پروکسی یا VPN از شما در برابر باج‌افزار محافظت نمی‌کند: هر دو فقط آدرس آی‌پی‌ای را تغییر می‌دهند که ترافیک شما از آن می‌آید، و هیچ‌کدام بررسی نمی‌کنند چه چیزی دانلود یا اجرا می‌کنید. در عوض، پروکسی‌ها در سمت مدافع دیده می‌شوند. تیم‌های اطلاعات تهدید (threat intelligence) که منابع عمومی را برای یافتن اسناد نشت‌کرده یک شرکت زیر نظر دارند، از ماشین‌های ایزوله کار می‌کنند و این پژوهش را از راه پروکسی‌های مسکونی انجام می‌دهند تا شبکه خودشان دیده نشود؛ صفحه امنیت داده ما این روش را شرح می‌دهد.
جاهایی که با باج‌افزار روبه‌رو می‌شوید
در پیوست‌های ایمیلی که خود را صورت‌حساب، رسید تحویل یا رزومه جا می‌زنند. در دانلودهای نرم‌افزار جعلی و برنامه‌های کرک‌شده. در شبکه‌های شرکتی که از راه دسترسی از راه دور یا حساب یک تأمین‌کننده به آن‌ها نفوذ شده است. در سرورهای وبی که نرم‌افزار قدیمی اجرا می‌کنند. در گوشی‌های اندرویدی از راه برنامه‌های جعلی. در اخبار، وقتی یک شرکت یا یک خدمت عمومی چند روز نمی‌تواند کار کند.
اشتباه‌های رایج
- وصل نگه داشتن تنها نسخه پشتیبان. باج‌افزار هر درایوی را که به آن برسد رمزگذاری می‌کند.
- نسخه پشتیبان دانستن پوشه همگام‌سازی. فایل‌های رمزگذاری‌شده هم مثل هر تغییر دیگری با فضای ابری همگام می‌شوند.
- پاک کردن رایانه پیش از ثبت یادداشت باج. یادداشت و نام فایل‌ها به شناسایی باج‌افزار و یافتن رمزگشای احتمالی کمک می‌کنند.
- بازیابی روی دستگاهی که هنوز آلوده است. ابتدا آن را پاک‌سازی یا از نو نصب کنید.
- پرداخت باج و تمام‌شده دانستن ماجرا. ممکن است کلید کار نکند، داده‌های کپی‌شده همچنان منتشر شوند، و NCSC هشدار می‌دهد که پرداخت‌کنندگان بیشتر در معرض حمله دوباره‌اند.
راهنمای انتخاب
| وضعیت شما | نخستین کار |
|---|---|
| یادداشتی می‌گوید فایل‌هایتان رمزگذاری شده‌اند | اتصال را قطع کنید، از یادداشت عکس بگیرید، پول ندهید |
| صفحه‌ای در مرورگر می‌گوید رایانه‌تان قفل شده و شماره تلفن می‌دهد | مرورگر را ببندید؛ این یک صفحه کلاهبرداری است |
| فایل‌ها رمزگذاری شده‌اند، نسخه پشتیبان آفلاین دارید | دستگاه را پاک‌سازی یا از نو نصب کنید، سپس بازیابی کنید |
| فایل‌ها رمزگذاری شده‌اند، نسخه پشتیبان ندارید | No More Ransom را بررسی کنید؛ فایل‌های رمزگذاری‌شده را نگه دارید، شاید کلیدی پیدا شود |
| رایانه محل کار درخواست باج نشان می‌دهد | اتصالش را قطع کنید و با واحد فناوری اطلاعات یا تیم امنیت تلفنی تماس بگیرید |
| فایل‌های OneDrive رمزگذاری شده‌اند | رایانه را پاک‌سازی کنید، سپس OneDrive را به یک زمان قبلی بازگردانید |
| پول را پرداخت کرده‌اید | با بانک خود تماس بگیرید و موضوع را به پلیس گزارش دهید |
پرسش‌های متداول
آیا باید باج را پرداخت کرد؟
نه، به گفته همه منابع رسمی. NCSC و نهادهای انتظامی بریتانیا پرداخت باج را تشویق یا تأیید نمی‌کنند و آن را روا نمی‌دانند، FBI از پرداخت حمایت نمی‌کند و No More Ransom توصیه می‌کند هرگز پول ندهید. پرداخت نه کلیدی کارا را تضمین می‌کند و نه محرمانه ماندن داده‌های کپی‌شده را. اگر پیش‌تر پرداخت کرده‌اید، مایکروسافت توصیه می‌کند فوراً با بانک خود و مقام‌های محلی تماس بگیرید؛ پرداخت با کارت گاهی قابل توقف است.
آیا آنتی‌ویروس می‌تواند باج‌افزار را پاک کند؟
معمولاً می‌تواند خود برنامه باج‌افزار را پاک کند، اما نمی‌تواند رمزگذاری را برگرداند. مایکروسافت توصیه می‌کند پیش از بازیابی فایل‌ها، رایانه را با Windows Security کاملاً پاک‌سازی کنید، و NCSC می‌گوید اگر نرم‌افزار امنیتی نتواند دستگاه را پاک‌سازی کند، آن را پاک کنید و از نو نصب کنید. فایل‌ها از نسخه پشتیبان، یا در برخی انواع با یک ابزار رمزگشایی رایگان، برمی‌گردند.
آیا گوشی‌ها هم به باج‌افزار آلوده می‌شوند؟
بله، بیشتر گوشی‌های اندرویدی. به گفته No More Ransom، باج‌افزار موبایل از راه برنامه‌های جعلی و دانلودهای خودکار (drive-by download)، یعنی فایل‌هایی که با باز کردن یک صفحه خودبه‌خود دانلود می‌شوند، می‌رسد؛ پس برنامه‌ها را فقط از فروشگاه رسمی نصب کنید و گوشی را به‌روز نگه دارید. اگر برنامه‌ای گوشی را قفل کرده است، NCSC بازنشانی کارخانه‌ای و سپس بازیابی از نسخه پشتیبان را امن‌ترین راه می‌داند.
آیا باج‌افزار می‌تواند فایل‌های OneDrive یا فضای ابری دیگر را رمزگذاری کند؟
بله، اگر فایل‌ها در پوشه‌ای باشند که همگام‌سازی می‌شود: نسخه‌های رمزگذاری‌شده مثل هر تغییر دیگری بارگذاری می‌شوند، و FBI هشدار داده است که باج‌افزار می‌تواند نسخه‌های پشتیبان ابری را که پیوسته همگام می‌شوند قفل کند. تاریخچه نسخه‌ها امکان بازگشت را می‌دهد؛ مشترکان Microsoft 365 می‌توانند کل OneDrive خود را به زمانی در 30 روز گذشته بازگردانند.
آیا باج‌افزار می‌تواند به رایانه‌های دیگر شبکه من سرایت کند؟
بله. مایکروسافت یادآوری می‌کند که باج‌افزار ممکن است از یک رایانه متصل به شبکه به رایانه‌ها و دستگاه‌های ذخیره‌سازی دیگر همان شبکه سرایت کند، و در شبکه‌های شرکتی مهاجمان عمداً از ماشینی به ماشین دیگر می‌روند. دستگاه‌هایی که به یک Wi-Fi وصل‌اند یک شبکه محلی مشترک دارند، پس این موضوع در خانه هم صدق می‌کند.
آیا باج‌افزار یک ویروس است؟
دقیقاً نه. مردم به هر بدافزاری «ویروس» می‌گویند، اما ویروس به معنای دقیق، نوعی بدافزار است که خودش را درون فایل‌های دیگر کپی می‌کند. باج‌افزار به خاطر کاری که می‌کند نام گرفته است، یعنی قفل کردن یا رمزگذاری برای پول، و ممکن است درون یک تروجان (برنامه‌ای که خود را مفید جا می‌زند) برسد یا مهاجمانی که از قبل وارد شبکه شده‌اند آن را اجرا کنند.
خلاصه
باج‌افزار فایل‌های خود شما را گروگان می‌گیرد: آن‌ها را رمزگذاری یا قفل می‌کند، اغلب پیش از آن کپی‌شان می‌کند و پول می‌خواهد. یک نسخه پشتیبان جداشده از رایانه، نصب به‌موقع به‌روزرسانی‌ها و احراز هویت چندعاملی بیشتر اهرم‌های آن را از کار می‌اندازند. اگر گرفتارش شدید، اتصال را قطع کنید، از یادداشت عکس بگیرید، حمله را گزارش دهید، No More Ransom را بررسی کنید و به‌جای پرداخت باج، از یک نسخه پشتیبان سالم بازیابی کنید. پروکسی آدرسی را که ترافیک شما از آن می‌آید تغییر می‌دهد، نه آنچه را روی رایانه‌تان اجرا می‌شود؛ کاربرد واقعی پروکسی‌ها در صفحه پروکسی ما توضیح داده شده است.
