Новый образ IronChain уничтожает данные: расшифровка после оплаты выкупа технически невозможна

Семейство IronChain известно с февраля 2026 года. Ранние публичные отчёты описывали экран требования выкупа, разрушительную работу с файлами, закрепление в системе, повреждение диска и слабый механизм восстановления. Сентябрьская версия отличается от предшественниц исполнением, а не замыслом. Авторы переписали часть низкоуровневых компонентов и добавили новые ошибки.

Опасность для бизнеса прямая. Программа ставит под удар данные, без которых останавливается работа: договоры, отчётность, проектные архивы, клиентские базы. На экран выводится требование выкупа, и во многих компаниях рассматривают оплату как способ вернуть доступ. Здесь такой расчёт не оправдан: техническая конструкция не оставляет надёжного пути к восстановлению, а простой растягивается на недели. Тяжелее всего организациям, где критичные системы должны вернуться в строй за считанные часы.

По данным ANY.RUN, запуск в изолированной среде подтвердил создание привилегированной задачи, попытки отключить брандмауэр и остановить службы журналирования событий. Песочница зафиксировала перемещение исполняемого файла, появление драйверов и изменения в настройках системы. Задуманный сценарий шире. Программа запрашивает права администратора, запускает четыре службы драйверов, мешает средствам защиты и восстановления, шифрует пользовательские файлы, пытается повредить диск напрямую. К этому добавляются распространение по сетевым папкам и съёмным носителям, зондирование сети, блокировка ввода и завершение работы. Выполнить всё сразу программа не смогла.

Разбор кода объясняет, почему восстановление почти исключено. При старте программа создаёт пару ключей - открытый и закрытый - и сразу оставляет только открытую часть. Закрытый компонент никуда не выгружается: ни в файл, ни на удалённый сервер. Для каждого документа программа подбирает отдельный симметричный ключ и оборачивает его открытым ключом. Поверх идут случайные преобразования байтов, а их параметры нигде не сохраняются. Даже если закрытый ключ когда-нибудь найдётся, расшифрованные данные останутся искажёнными. Исходные байты вернуть уже нельзя.

Крупные файлы программа обрабатывает выборочно. Она шифрует начало, случайный участок в середине и конец, а между ними оставляет нетронутые промежутки. Такой подход ускоряет работу и одновременно делает документы непригодными для открытия. Промежутки, резервные копии и следы в оперативной памяти дают специалистам по реагированию шанс спасти часть данных. По совокупности признаков сборку относят к уничтожающему ПО с вымогательским оформлением.

Из четырёх встроенных драйверов с запросами программы согласуется только один. Это драйвер Baidu: параметры обращения совпадают полностью, и цепочка завершения процессов выглядит рабочей. Три остальные интеграции сломаны. Драйвер Safetica отвергает запрос из-за неверного кода операции и слишком коротких данных. Драйвер Lenovo ожидает обращения к другому устройству и использует другой набор команд. Опасная операция драйвера ThrottleStop прописана в конфигурации, но ни один участок кода её не вызывает.

Важная оговорка: наличие уязвимого драйвера в комплекте не значит, что программа сумеет им воспользоваться. Требуется открыть именно то устройство, которое создаёт драйвер, отправить поддерживаемую команду и передать данные ожидаемого формата. Здесь совпадение произошло лишь в одном случае из четырёх. Это говорит о низком качестве сборки, а не о продуманной схеме обхода защиты.

Авторы допускают и другие огрехи. Обработчик исключений не даёт программе завершиться после повышения прав, поэтому основной процесс продолжает работу и порождает лишние копии. Ошибка в имени переменной сужает обход файлов: после пользовательских папок код пытается добраться до системных каталогов и других дисков, но на этом шаге выполнение прерывается. Ущерб оказывается меньше задуманного, однако причина тому - ошибки в коде, а не изменение замысла.

Сетевые наблюдения требуют осторожных выводов. Программа обращается к общедоступному сервису геолокации, чтобы показать в окне выкупа город и страну жертвы. Другой адрес, который иногда связывают с IronChain, в изолированной среде не отвечал. Команды не поступали, обмен ключами не состоялся, а в самом коде нет указаний на этот узел. Приписывать ему роль управляющего сервера преждевременно, а блокировать его для всей сети - вредно.

Для служб безопасности главное - раннее обнаружение. Четыре низкоуровневых компонента усложняют сдерживание, очистку и восстановление: разбираться приходится с драйверами, привилегированной задачей и изменениями в системе одновременно. Незнакомые драйверы, новые службы и задачи с системными правами заслуживают внимания в первые минуты после появления подозрительного файла. Неизвестные исполняемые файлы и архивы разумно проверять в изолированной среде до запуска на рабочих машинах.

Если заражение подтвердилось, узел отрезают от сети и съёмных носителей. Перезагрузку лучше отложить до оценки состояния загрузочного диска. Память и образы дисков сохраняют, пока это разрешает политика компании. Резервные копии хранят отдельно и регулярно проверяют на возможность восстановления. Помогают блок-листы уязвимых драйверов, политики контроля приложений и изоляция памяти ядра. Наблюдение за системой в первые часы после запуска подозрительного файла даёт шанс остановить разрушение до необратимых потерь.