Сегодня в первой половине дня секретарь получил письмо с заголовком ЗАДОЛЖЕННОСТЬ ОТ СБЕРБАНКА
В письме была ссылка на архив:
После открытия архива и распечатки документа зашифровались все файлы DOC, XLS, PDF, ZIP расположенные на внутресетвых ресурсах. Файл с примером зашифрованных файлов и вирусом во вложении.
Уважаемый(ая) [B]ZeniCH[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
В автозагрузке инфицированного ПК прописан текстовый файл:
Для возврата файлов пишите сюда [email][email protected][/email]
В ответ на моё письмо пришло следующее:
Здравствуйте, процедура возврата файлов платная её цена составляет 2000 рублей. оплата производится с помошью предоплатной карты яндекс деньги.
Такую карту можно купить например в Евро сети или в любом почтовом отделении подробнее можно посмотреть тут [url]https://money.yandex.ru/prepaidcards/[/url]
Если вы сомневаетесь что у меня есть хоть какое то средство возврата файлов можете послать мне 1 испорченный файл я его восстанавлю и дам вам на просмотр!
Надеюсь такая гарантия с моей стороны будет достаточной?
Как только вы мне передадите цифры написанные на карточке я сразу же (с условием что я буду в сети) дам вам ссылку на специальную программу которая восстановит все ваши данные
непосредственно у вас на компьютере.
[URL="http://virusinfo.info/showthread.php?t=120806"]http://virusinfo.info/showthread.php?t=120806[/URL]
Всё дело в том что код вводить некуда. Файлы просто не открываются. В зависимости от разрешения файла я вижу то "файл поврежден", то "не соответствует формат" и прочее. У меня получилось востановить один XLS путем замены первых 5 бит через HEX редактор на 5 бит из "здорового" файла. Но у меня то жэтих файлов несколько десятков тысяч...
В этих темах аналогичная ситуация:
[url]http://virusinfo.info/showthread.php?t=120779[/url]
[url]http://virusinfo.info/showthread.php?t=120792[/url]
Злоумышленник так же просит 2000 р. за дешифратор
Вот и здесь точно такая же ситуация:
[url]http://virusinfo.info/showthread.php?t=120792[/url]
Скажите какие ещё данные нужны для дешифровки?
По примерам зашифрованных файлов может ответить сотрудник ЛК. Ждем.
В общем на данный момент ситуация такая: с вордовскими документами у меня всё получается. Открываю порченый файл HEX-редактором и меняю 5 первых байт (они выглядят как 88 88 88 88 88) на 5 первых байт из любого здорового вордовского файла (они выглядят так d0 cf 11 e0 a1). Сохраняю. Файл открывется, форматирование на месте.
Проверю остальные форматы - отпишу.
[COLOR="silver"]- - - Updated - - -[/COLOR]
Попробовал данный способ на остальных файлах, после замены первых 5 байт получил следующие результаты: XLS - получается через раз (часть документов в норме, часть почему то пустые), JPG - просматриваются только стандартным виндовым просмотрщиком с потерей цветности, PDF - вроде всё ок, 7z - то же вроде ок.
[COLOR="silver"]- - - Updated - - -[/COLOR]
Нашел исходники испорченых файлов. Прикрепляю архив с плохими и хорошими файлами разных форматов (хорошие с подчерком в названии).
[COLOR="silver"]- - - Updated - - -[/COLOR]
Собратья по несчастью подсказывают, что изменены не только первые 5 байт. Так что не торопитесь с экспериментами. По крайней мере если пробуете, то делайте это с КОПИЯМИ поврежденных файлов. Удачи всем.
Кстати, способ описанный мною по крайней мере у меня работает со всеми файлами DOC. При этом можно запустить пакетное преобразование воспользовавшись например HEX Editor Neo. Не забывайте: если пробуете то с копиями!
Уважаемый администратор, скажите, файлы возможно дешифровать?
Или это тупик? И можно начинать востанавливать файлы вручну из старых копий и бумажных носителей?
Сотрудник ЛК дал какой-нибудь ответ?
[URL="http://virusinfo.info/showthread.php?t=120806&p=892832#post892832"]Увы[/URL]
[b]Olejah[/b], здесь иной случай.
[b]ZeniCH[/b], если ждать невмоготу, проще заплатить. Как правило, авторы присылают дешифровщик
На данный момент ни один из имеющихся у меня дешифровщиков не срабатывает
На данный момент с помощью Hex Editor Neo я пакетно поменял первые 5 байт во всех файлах с разрешением DOC, XLS, PDF, RAR, ZIP и 7Z на 5 первых байт их же здоровых собратьев. Файлы открываются, содержание сохранилось. XLSX я востановил с помощью Ontrack EasyRecovery Professional. Файлы открываются, содержание сохранилось.
Не получается побороть DOCX, JPG и GIF.
По поводу злоумышленников. Чисто теоретически я готов им заплатить. Но мне со всех сторон твердят что дешифровщик я не получу, либо получу файл который добъет существующие файлы. Остается залить на тестовую машину испорченный контент и попробовать.
[quote="ZeniCH;892895"]либо получу файл который добъет существующие файлы[/quote]Такое происходит, если используется дешифровщик, совершенно неподходящий к версии шифровальщика.
А чтобы не убить информацию достаточно перед расшифровкой скопировать все зашифрованные файлы в отдельную папку, на которую и нужно натравить дешифровщик. Так делаю я, когда подбираю необходимую версию дешифровщика
Подведем итог. Нашелся добрый человек и прислал дешифровщик для Вашего случая [url]http://zalil.ru/33347144[/url]
Он работает, но не совсем корректно. В чем это проявляется: после дешифровки в папке остаются два ([B]причем рабочих[/B]) варианта каждого расшифрованного файла. В одном - просто восстановлены замененные шифровальщиком участки файла и соответственно размер файла остается таким же, как и у зашифрованного варианта. Во втором - удалена информация, [B]которая дописывается в конец каждого файла после шифрования[/B], но расширение у файла остается .bak
Небольшая поправка. Про файлы с расширением DOCX и XLSX: рабочими являются только версии файлов с расширением BAK (вторая версия файла является пустой). В остальном всё замечательно. Спасибо огромное.
Хотелось бы узнать вот ещё что: какого объема папки можно подсовывать данному дешифровальщику? Может есть какие-то ограничения или рекомендации?
И вот ещё что: он не работает с подпапками, так? То есть востанавливает только файлы в корне папки?
[COLOR="silver"]- - - Updated - - -[/COLOR]
[QUOTE=ZeniCH;892984]Небольшая поправка. Про файлы с расширением DOCX и XLSX: рабочими являются только версии файлов с расширением BAK (вторая версия файла является пустой). В остальном всё замечательно. Спасибо огромное.
Хотелось бы узнать вот ещё что: какого объема папки можно подсовывать данному дешифровальщику? Может есть какие-то ограничения или рекомендации?
И вот ещё что: он не работает с подпапками, так? То есть востанавливает только файлы в корне папки?[/QUOTE]
Сам же себе и отвечаю.
Оказывается некоторые файлы зашифрованы у меня по 2 раза... Так что дешифратор работает корректно. Со всеми типами файлов. И с подпапками то же работает.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]