Шифровальщик [Trojan-Ransom.Win32.Cryakl, Trojan.Encoder.540]

[thyrex]

Начал распространение очередной шифровальщик

Механизм распространения: вредоносное вложение в электронное письмо с темой о задолженности

Шифруемые файлы:

.jpg, .jpeg, .doc, .docx, .xls, xlsx, .dbf, .1cd, .psd, .dwg, .xml, .zip, .rar, .db3, .pdf, .rtf, .7z, .kwm, .arj, .xlsm, .key, cer, .accdb, .odt, .ppt, .mdb, .dt, .gsf, .ppsx, .pptx

Механизм работы: что-то экзотическое, работающее на уровне службы, завязанной на svchost.exe.
Скорее всего ключ шифрования получается с сервера злоумышленников.

Исследование продолжается...

Известные адреса для связи по поводу дешифратора:
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]




В связи с участившимися случаями окончательной порчи файлов после использования неподходящих для расшифровки файлов после этого шифровальщика спецутилит от Лаборатории Касперского (ЛК) и, возможно, неправильного использования спецутилиты от DrWeb обращаю внимание:

RannohDecryptor от ЛК - расшифровывает только самые первые разновидности этого шифровальщика (конец апреля-начало мая). Все более поздние разновидности утилита не дешифрует;

RectorDecryptor от ЛК - совсем не предназначен для дешифровки этого типа, хотя и иногда "пытается" (это ЛОЖНОЕ СРАБАТЫВАНИЕ и не нужно самостоятельно менять настройки сканирования, выбирая опцию Удалять зашифрованные файлы после успешной расшифровки);

te567decrypt от DrWeb - как правильно пользоваться этой утилитой знают только в их техподдержке, обращаться в которую можно при наличии действующей лицензии на один из коммерческих продуктов.

[mike 1]

Рекомендация в сложившиеся ситуации пока такая у кого есть коммерческая лицензия на антивирус DrWeb создайте запрос (https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1) в службу технической поддержки DrWeb возможно они смогут что нибудь придумать.

[thyrex]

Лаборатория Касперского обещает дешифратор, как минимум, после майских праздников

[thyrex]

Расшифровка файлов, зашифрованных Trojan-Ransom.Win32.Cryakl, добавлена в утилиту RannohDecryptor 1.4.0.0: http://support.kaspersky.ru/viruses/disinfection/8547
Для расшифровки необходимо указать утилите путь к паре файлов (незашифрованный и соответствующий зашифрованный).

[thyrex]

Начала распространение новая версия

https://www.virustotal.com/ru/file/eaad9883e71989f8a7a9e6f4d6b40e2dfeffe33254ea341d27 ad91a53a962db8/analysis/1399739095/

Ответ из вирлаба ЛК:

В присланном Вами файле обнаружено новое вредоносное программное обеспечение - Trojan-Ransom.Win32.Cryakl.d.

[thyrex]

Начала распространение очередная модификация (http://virusinfo.info/showthread.php?t=159956) (есть и другие темы).


New malicious software was found in the attached file.
NZP484920.scr_ - Trojan-Ransom.Win32.Cryakl.e
Its detection will be included in the next update.

Отличительный признак: видоизмененный ID.Пример

{NNOPRRSSTUVVWWXYZZAABCCDEFFGGHIJJKKL-19.05.2014 9:02:026301763}

[thyrex]

Такой же измененный ID идет и в версии Cryakl.f (http://virusinfo.info/showthread.php?t=160182)

[mike 1]

Начала распространение (http://forum.kaspersky.com/index.php?showtopic=297357) новая версия

https://www.virustotal.com/ru/file/a5747cf771e784099c66d6d4cee447b49e80939b9a3086f1a5 06b5f8b967c4a7/analysis/1401298568/

Ответ из вирлаба ЛК:



В присланном Вами файле обнаружено новое вредоносное программное обеспечение - Trojan-Ransom.Win32.Cryakl.j

Его детектирование будет включено в очередное обновление антивирусных баз.


Такой же измененный ID идет и в версии Cryakl.j

[mike 1]

Начала распространение (http://virusinfo.info/showthread.php?t=162370) новая версия.

https://www.virustotal.com/ru/file/81176a82ddd60aba5a38388a0ba3d5419e311a8786b8880998 f9e5d21cd850a0/analysis/

Ответ из вирлаба ЛК:

В присланном Вами файле обнаружено новое вредоносное программное обеспечение - Trojan-Ransom.Win32.Cryakl.o

Его детектирование будет включено в очередное обновление антивирусных баз.

[mike 1]

Еще одна версия (http://virusinfo.info/showthread.php?t=162007) Trojan-Ransom.Win32.Cryakl.n. За дешифратором просят обращаться на [email protected]

Дешифровка возможна некоторых типов файлов при наличии 1 зашифрованного файла. Дешифровка осуществляется при помощи te567decrypt (http://download.geo.drweb.com/pub/drweb/tools/te567decrypt.exe) от DrWeb. В предыдущей версии декриптора требовалась пара зашифрованный/не зашифрованный документ теперь в версии 1.0.2 требуется только 1 зашифрованный файл.

[thyrex]

Добавил в первое сообщение темы чрезвычайно актуальную информацию

[mike 1]

Начала распространение новая (http://virusinfo.info/showthread.php?t=164131) версия этого шифратора.

https://www.virustotal.com/ru/file/50fd2e17bc1db58d0fb5860c357b757229b7b2de9fe0a3c102 62ca609931df55/analysis/

Примеры тем: http://virusinfo.info/showthread.php?t=164131

Особенности: в видоизмененном id есть такая запись: ver-4.0.0.0.cbf. В этой версии автор шифратора проделал работу над ошибками и теперь по его заявлению 567 декриптор от DrWeb ничего расшифровать не сможет.

В ближайшее время шифратор будет детектироваться Лабораторией Касперского как Trojan-Ransom.Win32.Cryakl.ae

[mike 1]

Подробное описание работы шифратора Cryakl от Лаборатории Касперского.

https://securelist.ru/blog/issledovaniya/24070/shifrovalshhik-cryakl-ili-fantomas-razbushevalsya/