Показано с 1 по 8 из 8.

Шифровальщик Trojan-Ransom.Win32.Hanar (Trojan.Encoder.162)

  1. #1
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,382
    Вес репутации
    3019

    Шифровальщик Trojan-Ransom.Win32.Hanar (Trojan.Encoder.162)

    С начала октября пользователи стали массово обращаться на форумы лечения с жалобами на шифровальщика, который показывает следующие картинки



    Это шифровальщик Trojan-Ransom.Win32.Hanar (по классификации Лаборатории Касперского) или Trojan.Encoder.162 (по классификации DrWeb)

    В настоящий момент известно 4 вариации шифровальщика (первая картинка для версии a, вторая - для версий b, c, d)

    Файл шифровальщика имеет имя error.exe. Написан на С++. Упакован предположительно упаковщиком Yakes. Располагается либо в папке Windows (скорее всего только для Windows XP) или в ProgramData (для Windows 7). Прописывается в автозапуск.

    Механизм работы:
    1) шифруются файлы с расширениями .doc, .docx, .xls, .xlsx, .jpg (хотя однажды попался случай, что почему-то оказались зашифрованы и файлы .tif, .eps).
    2) шифруются первые 100 байт файла. Ключ для шифрования (дешифровки) основан на серийном номере системного диска.
    Для шифрования используется побайтный XOR.
    - в версиях a, b использовалось десятичное представление серийного номера системного диска (могли получиться как положительные, так и отрицательные числа)
    - в версиях c, d серийный номер отсылается на сервер злоумышленников и ключ генерируется по неизвестному пока принципу, состоит из двух частей 64+36 байт, первые 36 байт в обеих частях полностью совпадают

    Как расшифровать файлы
    Для расшифровки можно использовать следубющие утилиты
    RectorDecryptor (начиная с версии 2.5.0)
    te162decrypt

    Особенности дешифровки (на примере RectorDecryptor):
    - для версий a, b:
    а) если система не переустанавливалась, просто запустить утилиту (не переустанавливать систему, потому что сменится серийный номер диска и утилита не сможет расшифровать).
    б) если переустановка была произведена, пробовать просто определить ключ шифрования (особенно хорошо получается его определить по зашифрованным .xls) или просить пользователя прислать незашифрованный оригинал файла, чтобы получить ключ реверсированием.
    В этом случае утилиту запускать из командной строки так
    RectorDecryptor.exe -hanarp "ключ_дешифровки"
    (кавычки обязательны)

    - для версий c, d сразу просить присылать вместе с зашифрованным файлом его незашифрованный оригинал, чтобы определить ключ, например
    RectorDecryptor.exe -hanarp "45dd83ba721c9248f9f35c0474bf079583a06a55e2ce7d981 8ad861f55608dc045dd83ba721c9248f9f35c0474bf079583a 0"
    Особенности дешифровки (на примере te162decrypt):
    - пробовать расшифровать обычным образом (если система не переустанавливалась)
    - прислать вместе с зашифрованным файлом его незашифрованный оригинал (начиная с версии от 19 октября)

    Внимание: до (после) дешифровки обязательно удостовериться, что файл error.exe уничтожен. В противном случае возможен рецидив.
    Последний раз редактировалось thyrex; 20.10.2012 в 14:46.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect


  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,382
    Вес репутации
    3019
    Очень похоже, что уже начала распространение еще одна версия шифровальщика.
    Там уже не просто XOR, а какой-то из алгоритмов шифрования

    - - - Добавлено - - -

    Печально. Все новые модификации используют алгоритм шифрования Blowfish. Возможно ли будет подобрать ключи, смогут сказать только специалисты
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  4. Это понравилось:


  5. #3
    Junior Member Репутация
    Регистрация
    31.10.2012
    Сообщений
    3
    Вес репутации
    19
    Добрый день, помогите дешифровать файлы. Троян закодировал фотографии и файлы офис, тип вируса картинка 2, предложенные методы дешифровки файлов не помогли..что делать дальше ?

  6. #4
    Junior Member Репутация
    Регистрация
    23.10.2012
    Сообщений
    6
    Вес репутации
    19
    Цитата Сообщение от Кирилл М Посмотреть сообщение
    Добрый день, помогите дешифровать файлы. Троян закодировал фотографии и файлы офис, тип вируса картинка 2, предложенные методы дешифровки файлов не помогли..что делать дальше ?
    Тоже пострадал от этого вируса Trojan-Ransom.Win32.Hanar.e (картинка 2) Утилита для дешифровки не помогает. Я так понимаю даже смысла нету сюда публиковать данные по поводу вируса, т. к. в соседней ветке сказано "Расшифровать файлы на данный момент не представляется возможным" Так что остается только ждать. Обидно, 3.5 гб фоток недоступно теперь...

  7. #5
    Junior Member Репутация
    Регистрация
    31.10.2012
    Сообщений
    3
    Вес репутации
    19
    Цитата Сообщение от gaspar Посмотреть сообщение
    Тоже пострадал от этого вируса Trojan-Ransom.Win32.Hanar.e (картинка 2) Утилита для дешифровки не помогает. Я так понимаю даже смысла нету сюда публиковать данные по поводу вируса, т. к. в соседней ветке сказано "Расшифровать файлы на данный момент не представляется возможным" Так что остается только ждать. Обидно, 3.5 гб фоток недоступно теперь...
    Как у тебя заразился комп, через какой сайт ? у меня есть подозрения что вирус проник через сбербанк Онлайн. Хваленый NOD не помог.

  8. #6
    Junior Member Репутация
    Регистрация
    23.10.2012
    Сообщений
    6
    Вес репутации
    19
    Через Сбербанк Онлайн точно не мог проникнуть, т. к. им не пользуюсь. Просто гулял по просторам интернета и поймал. На всякий случай свои файлы jpg не буду удалять пока, вдруг решение этой проблемы найдется. Да и жалко, за 4 года фотки то

  9. #7
    Junior Member (OID) Репутация
    Регистрация
    04.02.2013
    Сообщений
    1
    Вес репутации
    18
    Добрый вечер ! Ранее я писал:" Троян закодировал фотографии и файлы офис, тип вируса картинка 2, предложенные методы дешифровки файлов не помогли..что делать дальше ?" есть на сегодняшний момент возможность мне помочь? Или можете посоветовать технических специалистов, которые смогут мне помочь .

  10. #8
    Junior Member Репутация
    Регистрация
    31.10.2012
    Сообщений
    3
    Вес репутации
    19
    Благодаря специалисту из компании Drweb получилось раскодировать фотографии. Все оказалась очень просто найдите 2 фотографии 1 закодированную и другую точно такую же не закодированную, положите обе фотографии в 1 паку, скопируйте туда это файл ---- ftp://ftp.drweb.com/pub/drweb/tools/te162decrypt.exe и запустите его! 12 часов и все фотографии раскодированы... Спасибо спецам из Drweb !!!

Похожие темы

  1. Ответов: 49
    Последнее сообщение: 16.07.2013, 18:31
  2. Ответов: 20
    Последнее сообщение: 22.10.2012, 20:35
  3. Ответов: 5
    Последнее сообщение: 03.09.2012, 19:47
  4. Ответов: 3
    Последнее сообщение: 11.08.2012, 17:18
  5. uFast Download Manager (Trojan-Ransom.Win32.SMSer.qm, Trojan.Win32.Agent.dapb): описание и лечение
    От NickGolovko в разделе Вредоносные программы
    Ответов: 48
    Последнее сообщение: 30.11.2009, 23:09

Метки для этой темы

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00685 seconds with 16 queries