Ловушка для шифровальщика: Делаем «невидимый» бэкап с защитой 98% (Hasleo + Honeypot)

Привет, коллеги.

Все мы знаем старую поговорку: «Админы делятся на тех, кто еще не делает бэкапы, и тех, кто уже делает». Но в эпоху вирусов-шифровальщиков (Ransomware) появилась третья категория: те, кто бэкапы делал, но шифровальщик добрался и до них.

Обычный сценарий: к компьютеру (или серверу с 1С) подключен внешний USB-диск, на который по расписанию падают архивы. Вы ловите вирус, он шифрует диск C:, видит диск H: (бэкап) и шифрует его тоже. Итог: данных нет.

Решение «выдергивать шнур руками» не работает — человеческий фактор. Облака — не всегда применимы из-за объема или скорости.

Я нашел и протестировал решение, которое реализует принцип «Программного воздушного зазора» (Soft Air Gap). Система полностью бесплатна, работает автоматически и держит диск с бэкапами отключенным от системы 98% времени, подключая его только на момент копирования.

Ниже — подробная инструкция, как это настроить.

Инструментарий

Нам понадобится:

1. Внешний USB-диск.
2. Программа Hasleo Backup Suite Free (бесплатный аналог Acronis/Veeam, очень шустрый).
3. Два простых .bat скрипта.

Где скачать программу?
Официальный сайт: easyuefi.com/backup-software/backup-suite-free.html
Программа полностью бесплатна для домашнего использования, интерфейс на русском языке (выбирается при установке).

Часть 1. Теория: Как сэкономить место (Инкрементный бэкап)

Многие боятся делать полные бэкапы дисков, думая, что диск забьется за неделю.
Hasleo умеет делать Инкрементное копирование.

Как это работает:

1. День 1 (Полный): Программа копирует диск целиком. Это «Фундамент».
2. День 2 (Инкремент): Программа сканирует диск, находит только изменившиеся файлы и сохраняет только их. Это занимает копейки места (МБ вместо ГБ).
3. День 14: Цепочка продолжается.

Важный момент: В настройках мы зададим «Политику хранения» (Retention Policy). Например, хранить 14 дней. Программа сама будет удалять старые цепочки и “схлопывать” их, чтобы место на диске никогда не заканчивалось.

Часть 2. Магия скриптов (Air Gap)

Наша цель: чтобы внешний диск был виден в «Моем компьютере» только во время бэкапа.
Для этого мы будем использовать системную команду mountvol, которая удаляет букву диска, делая его невидимым для проводника и вирусов.

Шаг 1. Узнаем ID вашего диска

1. Подключите внешний диск. Пусть он будет под буквой H:.
2. Нажмите Win + R, введите cmd.
3. Напишите команду mountvol и нажмите Enter.
4. Найдите в списке вашу букву H:\. Над ней будет длинная строка вида \\?\Volume{ваш-длинный-гуид}\.
5. Скопируйте эту строку (это паспорт вашего диска).

Шаг 2. Создаем скрипты (Защита 2.0: Honeypot)

1. Создаем файлы-приманки
Чтобы защититься не только от простых вирусов, но и от «умных» (которые не трогают .bat файлы, но шифруют документы), мы применим хитрость. Мы создадим файлы-приманки («канарейки») и научим скрипт проверять их целостность перед подключением диска.

Важно про размер файлов:
Вирусы иногда пропускают слишком мелкие файлы (менее 1 КБ). Чтобы приманка сработала гарантированно, файлы должны весить хотя бы 50–100 КБ.

Как создать правильную «жирную» приманку:

1. Откройте Блокнот.
2. Скопируйте туда любой длинный текст (новость из интернета, «рыбу» Lorem Ipsum), размножьте его копированием, чтобы получилось много строк.
3. В середину или конец вставьте нашу контрольную фразу: SYSTEM_OK_CHECK_TOKEN
4. Сохраните файл как !00_Critical_Passport.doc (выберите «Все файлы» при сохранении).
   • Почему так: Мы сохраняем текстовый файл, но даем ему расширение .doc. Для команды findstr он останется читаемым текстом, а для вируса станет лакомой целью (документом Word).
5. Сделайте то же самое для второго файла !01_Financial_Report.xls.

2. Скрипт включения (Show_Disk.bat)

Создайте файл Show_Disk.bat в папке C:\Backup_scripts и вставьте следующий код.

@echo off
rem Включаем поддержку русских символов и расширенный набор команд
chcp 65001 >nul
setlocal
rem =====================================================
rem НАСТРОЙКА ЛОВУШЕК (HONEYPOT / CANARY)
rem =====================================================
rem Пути к файлам-приманкам. Они должны лежать рядом со скриптом.
set “canary1=C:\Backup_scripts\!00_Critical_Passport.doc”
set “canary2=C:\Backup_scripts\!01_Financial_Report.xls”
rem Секретная фраза, которая записана внутри этих файлов
rem Если вирус зашифрует файл, эта фраза исчезнет
set “token=SYSTEM_OK_CHECK_TOKEN”
echo Запуск проверки безопасности…
rem =====================================================
rem ЭТАП 1: ПРОВЕРКА НАЛИЧИЯ (Вирус сменил расширение?)
rem =====================================================
if not exist “%canary1%” goto :DANGER
if not exist “%canary2%” goto :DANGER
rem =====================================================
rem ЭТАП 2: ПРОВЕРКА СОДЕРЖИМОГО (Шифрование без смены имени?)
rem =====================================================
rem Ищем кодовое слово внутри файла.
findstr /C:“%token%” “%canary1%” >nul
if %errorlevel% neq 0 goto :DANGER
findstr /C:“%token%” “%canary2%” >nul
if %errorlevel% neq 0 goto :DANGER
rem =====================================================
rem ВСЁ ЧИСТО - МОНТИРУЕМ ДИСК
rem =====================================================
echo [OK] Проверка пройдена. Вирусной активности не обнаружено.
echo Подключаем диск резервного копирования…
rem === МОНТИРОВАНИЕ ТОМА ===

mountvol H: \\?\Volume{ВАШ-ID-ЗДЕСЬ}\

rem Ждем инициализацию диска (10 секунд)
timeout /t 10 /nobreak >nul
rem =====================================================
rem ФИНАЛЬНАЯ ПРОВЕРКА (БЕЗ МАРКЕРА)
rem =====================================================
rem Проверяем, существует ли сам диск H:
if exist “H:\” (
echo \[SUCCESS\] Диск H: успешно подключен.
exit /b 0
) else (
echo \[ERROR\] Ошибка\! Диск H: не появился.
rem Завершаем с ошибкой, чтобы остановить бэкап
exit /b 1
)
:DANGER
rem =====================================================
rem ТРЕВОГА! БЛОКИРОВКА!
rem =====================================================
echo !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
echo ВНИМАНИЕ! ОБНАРУЖЕНА АКТИВНОСТЬ ШИФРОВАЛЬЩИКА!
echo Файлы-ловушки изменены или повреждены.
echo Диск с бэкапами НЕ БУДЕТ подключен.
echo !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
rem Возвращаем код ошибки 1. Hasleo увидит это и отменит задачи.
exit /b 1

Замените {ВАШ-ID-ЗДЕСЬ} на реальный ID вашего диска!

3. Скрипт выключения Hide_Disk.bat
Этот скрипт удаляет букву, скрывая диск.

@echo off
rem Удаляем точку монтирования (букву), диск становится невидимым
mountvol H: /D
exit /b 0

Проверьте скрипты: запустите Hide от имени администратора — диск должен пропасть. Запустите Show — появиться.

Для тех, кто ценит время (Готовый комплект):

Чтобы вам не создавать файлы вручную, не набивать их текстом для веса и не копировать код, я прикрепил к статье архив Backup_scripts.zip.

Внутри лежит готовая папка, в которой:

1. Два настроенных .bat файла.
2. Два файла-приманки (.doc и .xls), которые уже имеют правильный размер (75+ КБ) и содержат нужный токен внутри.

Как использовать:

1. Скачайте архив и распакуйте папку Backup_scripts в корень диска C:.
2. Нажмите правой кнопкой на файл Show_Disk.bat -> Изменить.
3. ОБЯЗАТЕЛЬНО замените ID тома (Volume{…}) на свой собственный (как его узнать — см. Шаг 1).
4. Сохраните. Всё готово к работе.

Часть 3. Настройка задач (Стратегия «Локомотив»)

Главная проблема: если настроить бэкап сразу на диск H:, программа при старте проверит наличие пути. Диска нет (он скрыт) -> Ошибка -> Скрипт подключения даже не успевает запуститься.

Мы обойдем это с помощью очереди из трех задач.

Схема по времени:

• 12:59 — Задача-Триггер (включает диск).
• 13:00 — Бэкап Системы (диск уже открыт).
• 13:01 — Бэкап Данных + Выключение диска.

Задача №1: «Триггер» (Включаем диск)

Эта задача фиктивная. Она делает бэкап мусорного файла на диск C, просто чтобы запустить скрипт.

1. Создайте текстовый файл dummy.txt например здесь: C:\Backup_dummy\dummy.txt
2. В Hasleo выберите «Файловый бэкап».
3. Выберите файл dummy.txt.
4. Место назначения: Любая папка на диске C: (например C:\Backup_Temp). Хитрость: диск C доступен всегда, ошибки не будет.
5. Расписание: Ежедневно, 12:59.
6. Внизу нажмите шестеренку «Опции бэкапа» -> «Команда»:
   • Поставьте галочку «Выполнить команду перед».
   • Укажите путь к C:\Backup_scripts\Show_Disk.bat.
   • Важно: Поставьте галочку «Прервать операцию, если команда не выполнена».
7. Сохраните задачу.

Задача №2: Бэкап Системы

Теперь диск открыт, можно делать настоящую работу.

1. В главном меню выберите «Бэкап системы». Программа сама выберет нужные разделы Windows.
2. Место назначения: Ваш внешний диск H:\System_Backup.
3. Расписание: Ежедневно, 13:00 (через 1 мин после открытия).
4. Режим резервного копирования: Инкрементный.
5. Политика хранения образа (внизу):
   • Поставьте галочку.
   • Выберите «Хранить 14 Дня(ей)».
6. Опции бэкапа -> Шифрование: Рекомендую включить пароль (AES256), чтобы никто не прочитал ваши данные, если диск украдут.
7. Вкладку «Команда» не трогаем. Диск уже открыт, закрывать рано.

Задача №3: Бэкап Данных + Отключение

Копируем остальные диски (D, E) и прячем диск обратно.

1. В главном меню «Бэкап Дисков/Разделов».
2. Отметьте галочками диски D и E.
3. Место назначения: H:\Data_Backup.
4. Расписание: Ежедневно, 13:01.
5. Опции бэкапа -> Команда:
   • «Выполнить команду перед»: Пусто.
   • «Выполнить команду после»: Укажите скрипт C:\Backup_scripts\Hide_Disk.bat.
   • Критически важно: Поставьте галочки «Выполнить при успешном завершении» И «Выполнить, если закончилось неудачей».
   • Смысл: Диск должен спрятаться в любом случае, даже если бэкап прервется.

Анализ безопасности: Почему это спасёт ваши данные?

Сценарий: Компьютер заразился утром (до начала бэкапа) Это самый частый случай. Вы поймали шифровальщик в 10:00. Он начинает шифровать диск C:. Вирусы настроены так, чтобы в первую очередь шифровать документы (.doc, .xls, .jpg), и часто делают это по алфавиту. Наши файлы-приманки специально названы !00_..., чтобы попасть под удар первыми. Наступает 12:59. Запускается скрипт Show_Disk.bat.

1. Он проверяет приманки.
2. Видит, что файл либо переименован (вирусом), либо внутри него вместо кодовой фразы SYSTEM_OK_CHECK_TOKEN находится зашифрованная «каша».
3. Скрипт выдает ошибку и аварийно завершается. Команда на подключение диска H: не отправляется. Итог: Hasleo получает ошибку и отменяет бэкап. Ваш внешний диск остался отключенным и стерильным.

Итог

Что мы получили в сухом остатке?

1. Автоматизация: В 12:59 диск сам появляется в системе. В 13:05 - 13:10 (после окончания всех копий) он сам исчезает.
2. Безопасность: 23 часа 45 минут в сутки внешний диск физически подключен, но программно отсутствует. Вирус-шифровальщик не видит диска H: и не может его зашифровать.
3. Экономия: Благодаря инкрементным копиям и политике хранения (14 дней) диск не переполняется.
4. Надежность: Даже если диск C: умрет полностью, мы загружаемся с аварийной флешки (ее можно создать в меню “Инструменты”), подключаем диск и восстанавливаем Windows за 15 минут.

Это решение идеально подходит для домашнего ПК, компьютера бухгалтера или небольшого файлового сервера.

Перед тем как редактировать задачи №2 и №3 в будущем, не забудьте вручную запустить скрипт Show_Disk.bat от админа, иначе программа не даст сохранить настройки, не видя диска.

Бонус: Как достать один файл из копии недельной давности?

Еще одно мощное преимущество этой системы — возможность «заглянуть» в прошлое. Вам не нужно восстанавливать Windows целиком, если вы просто случайно удалили важный отчет или базу 1С. Вы можете подключить резервную копию как обычную флешку и скопировать оттуда нужный файл.

Но так как наш диск скрыт («Air Gap»), порядок действий немного отличается от стандартного:

Шаг 1. Открываем сейф

Так как диск H: у нас отключен, программа его не увидит.

• Зайдите в папку со скриптами C:\Backup_scripts.
• Запустите файл Show_Disk.bat от имени администратора.
• Дождитесь появления диска в системе.

Шаг 2. Монтируем образ

1. Откройте Hasleo Backup Suite и перейдите в раздел «Инструменты» (Tools).
2. Выберите пункт «Смонтировать/размонтировать образ».
3. Выберите нужную задачу (например, «Бэкап Системы»).

1. Важный момент: Так как мы защитили бэкап паролем (AES256), программа попросит его ввести. Это гарантия того, что даже если диск попадет в чужие руки, файлы оттуда не достанут.

1. На следующем этапе вы увидите список разделов.
   • Если нужно достать файл с Рабочего стола или из Документов — ставьте галочку только напротив диска C:.
   • В колонке «Буква диска» нажмите дважды и выберите любую свободную букву (например, Z:).
   • Лайфхак: Справа сверху есть кнопка «Изменить версию». Нажав на неё, вы увидите календарь и сможете выбрать состояние системы на любой день (вчера, позавчера, неделю назад).

Шаг 3. Забираем файлы
Нажмите «Продолжить». Через пару секунд в «Моем компьютере» появится новый диск Z:.

Это ваша «машина времени». Заходите в него, ищите нужный файл и просто копируйте его себе на рабочий стол.

Шаг 4. Уборка

Когда файл спасен:

1. В программе нажмите кнопку «Размонтировать» (диск Z пропадет).
2. Запустите скрипт Hide_Disk.bat от администратора, чтобы снова спрятать основной диск с бэкапами от греха подальше.
    

FAQ: Ответы на частые вопросы

1. «А что, если вирус запустится во время бэкапа (в 13:00)?»

Да, это единственное «окно уязвимости» — примерно 10-20 минут в сутки.
Но давайте посчитаем вероятность. В сутках 1440 минут. Диск открыт 20 минут.
Вероятность, что случайный вирус активируется именно в этот момент — 1.3%.
В остальные 98.7% времени диск физически подключен, но программно невидим. Для домашнего или офисного ПК это отличный результат за 0 рублей.

2. «Настоящий бэкап — это когда сервер сам забирает данные (Pull). Ваше решение ненадежно!»

Согласен, отдельный Linux-сервер, который забирает бэкапы — это идеал.
Но покажите мне, как это реализовать в маленьком магазине с одним ноутбуком или у бухгалтера-фрилансера?
Данное решение предназначено для SOHO-сегмента (Small Office / Home Office), где нет бюджетов на серверы и сисадминов. 

3. «Надо просто отключить пользователю интернет и отобрать права админа!»

Отобрать права админа — святое дело. А вот отключить интернет в 2025 году?

• 1С: Обновление классификаторов, проверка контрагентов (1С:Контрагент), 1С-ЭДО, 1С-Отчетность — всё требует сети.
• Банки: Клиент-банки работают через интернет.
• ИИ: Современный бухгалтер пишет письма и ответы налоговой с помощью ChatGPT/GigaChat.
  Лишать сотрудника инструментов ради безопасности — это делать бизнес неэффективным. Данный метод позволяет работать в интернете и иметь защищенный бэкап.

4. «Я хочу 100% гарантию. Что делать?»

Добавьте в схему Облако.
Настройте копирование файлов бэкапа (.DBI) в папку Яндекс.Диска или Облака Mail.ru.

• Опасение: “А если вирус зашифрует файл и он синхронизируется в облако испорченным?”
• Решение: Во всех современных облаках есть «История версий» (Версионирование). Даже если вирус перезапишет файл бэкапа поверх, вы заходите в веб-интерфейс облака, жмете «История изменений» и восстанавливаете вчерашнюю версию. Вирус до неё не доберется без вашего логина/пароля.

5. «А вдруг вирус прочитает скрипт, найдет ID диска и сам его подключит?»

Важно различать два типа угроз:

1. Целевая атака (Targeted Attack): Когда живой хакер ломает конкретно вашу компанию. Он может прочитать скрипты, найти пароли и подключить всё руками. Но это угроза для крупных корпораций, и защита там стоит миллионы.

2. Массовый шифровальщик (Mass Malware): Это 99% случаев. Это автоматический бот, задача которого — максимально быстро зашифровать файлы по списку расширений (.doc, .jpg, .1cd).

Почему массовый вирус не подключит диск:

• У него нет «интеллекта»: Вирусы не умеют анализировать логику .bat файлов. Они не ищут в тексте команды mountvol или GUID томов. Это слишком сложно и долго для программы, которой нужно заразить тысячи ПК за час.

• Сработает ловушка: Даже если вирус «умный» и не трогает сам файл скрипта, он обязательно набросится на наши файлы-приманки (Канарейки). Скрипт при запуске увидит, что приманки повреждены, и сам откажется выполнять команду подключения диска.

• Риск сломать Windows: Вы спросите: "Почему вирус просто не переберет все скрытые тома и не подключит их?". Потому что среди скрытых томов есть служебные разделы (Загрузчик EFI, Раздел восстановления). Если вирус смонтирует их и зашифрует — Windows просто перестанет загружаться. Жертва не сможет заплатить выкуп. Разработчики вирусов специально ставят «защиту от дурака» и не трогают скрытые тома, чтобы не сломать "кормушку".

Так что против 99% реальных угроз, гуляющих в интернете, этот метод работает безотказно.

P.S. Коллеги, если метод показался интересным или сэкономил вам время на настройку — буду благодарен за плюсик. Это мотивирует писать дальше про бесплатные полезности»