Информация по .ARRESTED

[Дмитрий Брик]

Извините, что создал новую тему. Но в продолжение http://virusinfo.info/newthread.php?do=newthread&f=46
Хочу добавить, на сервере велся лог действий пользователя, я нашел под кем заходили, и вот лог, в приложении.
Если коротко то:
1) Зашли по RDP под пользователем (не известно как узнали пароль)
2) Скачали с [удалено]
3) Пароль от архива 78954123 (вводили вручную)
4) Архив на всякий случай тоже прилагаю.
Очень надеюсь , что данная информация поможет найти способ дешифровать файлы PDF файл не могу приложить, т.к. он весит 5мб

[Info_bot]

Уважаемый(ая) Дмитрий Брик, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Увы, как и предполагалось, пароль для шифрования вводился вручную.
Спасет только покупка дешифратора у злоумышленников

[Дмитрий Брик]

Возможно у меня есть ключ для дешифровки, перед каждой вставкой из буфера текста с угрозами, предшествовало 2 вставки: 1 - это тот код который указан в тексте, и 2 - который я подозреваю что ключ для дешифровки.

Можно ли как то расшифровать, имея ключ для дешифровки?

- - - Добавлено - - -

Вот кусок лога, таких подобных штуки 4 за 1 день
Соответственно я думаю, что если придется платить то платить 4 раза
В первом посте прилагалась программа, которая шифровала файлы, может быть можно отловить алгоритм или еще чего

10 30.06.2013 20:02:16
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: Program Manager
Буфер Обмена:
Здравствуйте!
Ваш компьютер был атакован опаснейшим вирусом!
Вся Ваша информация, включая базы данных, документы, бэкапы, и прочие файлы была зашифрована при помощи
криптостойких алгоритмов.
Все зашифрованные файлы имеют расширение .ARRESTED
Восстановить файлы можно только при помощи дешифратора и пароля, который, в свою очередь, знаем только мы.
Подобрать его невозможно. Переустановка ОС ничего не изменит.
Ни один системный администратор в мире не решит эту проблему не зная пароля.
Ни в коем случае не изменяйте файлы! А если решились, то сделайте резервные копии.
Напишите нам письмо на адрес [email protected] (в случае если вам не ответили в течение 12 часов, то
продублируйте письмо на почту [email protected]) для получения дальнейших инструкций.
Мы расшифруем один абсолютно любой файл .ARRESTED для вас бесплатно (кроме баз данных, за которые, собственно,
вы нам и платите)
Для этого прикрепите его и файл "ЧТО_С_ЭТИМ_ДЕЛАТЬ.TXT"
Папка C:\Program Files\Internet Explorer не зашифрована, там вы сможете запустить браузер.
Среднее время ответа специалиста 1-12 часов.
К письму прикрепите файл "ЧТО_С_ЭТИМ_ДЕЛАТЬ.TXT".
Письма с угрозами ни к чему хорошему вас не приведут.
НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!
==========================================
bXkEB8sKWk7CarVF2hn4N78bU77RaStM
==========================================
11 30.06.2013 20:02:09
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: Program Manager
Буфер Обмена:
bXkEB8sKWk7CarVF2hn4N78bU77RaStM
12 30.06.2013 20:01:57
Программа: Проводник - C:\Windows\explorer.exe
Заголовок окна: Program Manager
Буфер Обмена:
kRIkbEB6x2oPApGW3eZftGgNeAHRih4M

[thyrex]

Алгоритм шифрования известен - это Blowfish. Неизвестен алгоритм преобразования одной строки в другую (если он вообще существует)

- - - Добавлено - - -

Алгоритм шифрования известен - это Blowfish. Неизвестен алгоритм преобразования одной строки в другую (если он вообще существует)

[Дмитрий Брик]

Я Вас понял, но у меня ЕСТЬ строка для дешифрования, отловленная перехватчиком буфера обмена.
Я попробовал программы, для дешифрования blowfish а. Некоторые даже не определяют файл как blowfish.

Можете попробовать расшифровать файл? Либо зашифровать исходный файл и сравнить его с зашифрованным? У меня не получается.

Исходный файл и зашифрованный в приложении, ключи:
pYmGJ1QdOjfKhIviglEDK31AOt7Ai9mD (открытый, который пишут в TXT)
tjavaIq72NRNRuRwkldOpJewqRWqXors (закрытый, отловленный перехватчиком)

пароль к архиву
123

[thyrex]

Вопрос: что-либо еще постороннее запускалось злоумышленником? Или это отследить невозможно?

[Дмитрий Брик]

Да были какие то запросы типа IP@login;password. у меня есть pdf файл, с полным логом что делали, но я не могу его прикрепить, т.к. он 5 мб

Точнее не запросы, а запись в буфер обмена.

[thyrex]

Выложите на rghost.ru и пришлите ссылку

- - - Добавлено - - -

После скачивания я ссылку из поста уберу

[Дмитрий Брик]

[удалено]

Хронологическая последовательность снизу вверх

[thyrex]

Мда, пароли конечно у Вас слишком простые. Отсюда и взлом.

[Дмитрий Брик]

За пароли админ уже получил люлей, но слава богу удалось расшифровать файлы.

Похоже не трогаются файлы в program files, windows, documents and settings (users)

[thyrex]

не трогаются файлы в program files, windows

Здесь точно не трогаются