Miesiąc temu pisałem na mirko o wirusie który zaszyfrował mojej mamuśce dysk uniemożliwiając dostęp do plików graficznych i dokumentów. Pomyslałem wtedy "na pewno coś otworzyła - lewego maila, dziwną stronę albo cholera wie co". A dzisiaj jeb - to samo spotkało mnie.
Nie otwierałem żadnego maila, żadnej dziwnej strony a jak się okazało mam od paru godzin zaszyfrowane wszystkie dokumenty i zdjęcia. To co spotkało moją mamuśke spotkało i mnie - mimo, że mam schiza na punkcie zabezpieczeń i bezpieczeństwa.
Mam windowsa 7, wszystkie aktualizacje, antywirusa (nortona - oryginalnego!) z aktualkami z dzisiaj i jeb - nic to nie dało.
Na dysku potworzyło się tysiace plików o nazwie HELP_DECRYPT o rozszerzeniu html, png lub txt z informacją, że zaszyfrowano pliki i by odzyskać do nich dostęp trzeba zapłacić kilkaset dolarów. Nie da się otworzyć żadnego pliku graficznego czy dokumentu bo albo wywala błąd albo wyskakuja chińskie znaczki.
Ja na szczęście co 2-3 tygodnie robie backupy całego dysku, wiec straty będą minimalne i będę stratny co najwyżej o kilkanaście godzin pracy - a Wy? Co będzie jeśli i Wy złapiecie takie gówno? Szans na rozszyfrowanie praktycznie nie ma. By odzyskać pliki z mamuśkowego laptopa bawiłem się ostatnio programami do odzyskiwania danych. Udało mi się odzyskać może 30% plików.
Aktualnie siadam do eliminowania skutków wirusa. Aktualnie mogę powiedzieć że:
- utworzono mi na dysku C: ponad 12 tys plików o nazwie HELP_DECRYPT w każdym folderze na dysku C.
- Pliki graficzne i dokumenty prawdopodobnie zostają niezmienione do czasu ich otwarcia. Oglądałem własnie plik, jego data modyfikacji pokazywała czerwiec, a po otwarciu pliku data modyfikacji zmieniła się na aktualną datę.
- do autostartu i rejestru trafiły nowe pliki
- w logach antywirusa istnieje wpis który informuje, że zablokowano "cryptodefensa" - jak widać antywirus nie dał rady.
Aktualnie robię backupy najważniejszych plików na pendrive i dyski zewnętrzne. W komentarzu (jeśli kogoś to zainteresuje) napiszę co udało mi sie osiągnać za kilka godzin.
Myślę, że warto wykopać ten wpis, by ludzie mieli świadomość, że nawet osoby obeznane z tematem mogą paść ofiarą takiego dziadostwa. Mimo posiadania dużej wiedzy o zabezpieczeniu systemu, legalnego i aktualnego antywirusa mimo, że nie wchodziłem na żadną nową stronę jestem teraz ofiarą.
Moje rady: róbcie kopie najważniejszych plików i liczcie się z tym, że czasem nawet najlepszy antywirus gówno Wam da.
Komentarze (447)
najlepsze
- pliki mimo, że nie są zmodyfikowane (mowa o dacie modyfikacji) nie dają się otworzyć - albo błąd albo krzaki
- drugi dysk - D - posiada pliki informujące o szyfrowaniu i płaceniu "okupu". ale pliki na nim nie są zaszyfrowane.
- mimo, że cały dysk jest zainfekowany i zaszyfrowany żaden z antywirusów nie wykrył na razie zagrożenia (norton wprawdzie
Popularne i dobre AV wykrywa ok 60% z tego gówna, reszta utrzymuje się w ok 40-50%.
Spróbuj, może załapałeś się na którąś z rozpracowanych wersji: http://sekurak.pl/jest-nadzieja-dla-ofiar-coinvaulta-i-bitcryptora/
@chomik3: To jest największy debilizm w Windowsach. Pierwsza rzecz po zainstalowaniu nowego systemu, to zmiana tej opcji. Przecież nieraz ma się w katalogu wiele plików o te samej nazwie i różnych rozszerzeniach. A podsunięcie komuś pliku z podwójnym rozszerzeniem to kolejny problem.
Zwykły użytkownik nie poczuje różnicy w pracy, przez to, że CryptoPrevent umocnił system.
2015, ludzie wciąż korzystają z rozwiązań firmy symantec XDDD Niech zgadnę, dostałeś go do czegoś gratis?
źródło: comment_NtjJDNloWC6h3SncJmGofdh4HYSuokSU.jpg
Pobierz1. O ile miałeś aktualizacje systemu, to podpięcie pendrive/dysku i autouruchomienie (poprzez autorun) jest w 99% wykluczone ponieważ MS zablokował domyślnie opcje autouruchamiania.
2. Antywirusy działają na zasadzie oceny zachowania aplikacji w czasie pracy (runtime) oraz poprzez sygnatury (scantime). To że antywirus mógł nie wykryć zagrożenia - całkiem normalne, bo to jest niecała godzina pracy aby stworzyć program który ukryje najbardziej wykrywalne malware do postaci w której plik wygląda czysty jak łza.
3. Zachowaj próbkę tego ransoma i najważniejsze pliki. Jeżeli zostały zaszyfrowane, to kluczem który on sobie wygenerował (który musi w którymś momencie zostać wygenerowany, np. używając HWID Twojego komputera) może, ale powtarzam - może, zostać znaleziony w pamięci. Jest na to powiedzmy prowizoryczne rozwiązanie, ale nie zawsze działa.
4. Poszukaj fora reverse-engineeringu jak np. kernelmode.info , tam spróbuj podesłać próbkę i opisz problem.
Zaszyfrowane pliki bym zostawił, ponieważ JEST szansa, że np. serwer C&C który dysponuje kluczami do odszyfrowania zostanie ładnie mówiąć "przejęty" przez 'good guys', a klucze do odszyfrowania udostępnione (vide Xylitol).
Sądze że powinieneś poprosić o pomoc na kernelmode.info, podsyłając próbkę ransoma. Tam zostanie prawdopodobnie 'zreversowany', wszyscy będą wiedzieć
Myślałem, że napiszesz jakiś Tails, ale jak masz Windows 7 to szacun! #januszeinformatyki
Ciekawostka - nie posiadam antywirusa od dziesięciu lat, nigdy nie złapałem żadnego wirusa, który by cokolwiek wielkiego zrobił, przypadek ? nie sądze xD
@1999: To samo tyczy się Ciebie, Panie Ekspercie...
Czyli tak naprawdę nie powiedziałeś nic konkretnego. To tak
http://screenshu.com/static/uploads/temporary/1z/0i/5h/92qd5y.jpg - plik jest, ale w dziwnej ścieżce (tak jakby w sieci?). Chwilę wcześniej przeleciałem dysk Esetem który wywalił sporo zarażonych plików. Widzę, żę sporo plików ma swoje "poprzednie wersje" - gdzie są one przechowywane?
Jeżeli chodzi o tworzone projekty, to wyrób sobie zasadę: na koniec dnia pracy dane muszą mieć kopię. Najlepiej, gdybyś po prostu używał system kontroli wersji i minimum raz dziennie robił commita do repozytorium przechowywanego, gdzieś w sieci. Robienie kopii bezpieczeństa tworzonego projektu raz na dwa tygodnie jest rażącym błędęm strategii ochrony danych.
W kwestii zwykłych dokumentów, arkuszy etc.:
Jeżeli nie masz problemu z tym, że wujek Google czyta twoje dokumenty
Część plików udało mi się odzyskać (kilka miałem na pendrive, pare na serwerze a kilka dzięki drop-boxowi i opcji przywracaniu starych wersji plików), 2 tygodnie pracy nie będzie, ale i tak czeka mnie dzień z reinstalką.