Вопрос к профессионалам!

[Onkel]

Иницииация заражения - походу письмо на почту с вложенным вордовым файлом "Резюме". Походу прочитали и удалили.

Хо-хо...
Ащета, скорее всего, это был файл "резюме.doc.exe" и неопытный лох ведётся запросто.

Нащот "надёжного алгоритма" я-бы сомневался. Но народ пишет, что платят и им присылают расшифрофщик. Даже всё восстанавливается.

Линукс, ребята, все на линукс!

http://forum.drweb.com/index.php?showtopic=314687
Может тут чего есть подходящего?

[Marksman]

Ещё...
У касперского есть.
Позвони голосом в техподдержку.
Добавлено: [time]09 Октября 2013, 15:37:23[/time]Глянь сюда:
http://support.kaspersky.ru/search?query=%d1%80%d0%b0%d1%81%d1%88%d0%b8%d1%84%d1%80%d0%be%d0%b2%d0%b0%d1%82%d1%8c&sec=SupportViruses
Смотри, что тебе подходит.
Если не подходит - звони голосом в техподдержку, объясняй ситуацию. Должны помочь.
Пообещай, что на веки вечные станешь их благодарным клиентом.

Думаю, что всё лечится.

У Dr.web есть набор утилит и тоже есть голосовая техподдержка.
Чудес не бывает. Всё, что может починить один, может сломать и починить другой.

[Дубликатор]

Какие стали расширения файлов?

файл.расширение.itstimetopay Побило доки, ексель, jpg, tiff, чуток .pdf (это мне не сильно важно) .cdr (а вот это удар ниже пояса), indd, eps не затронуло. Отработал вообще странно. В одной и той же папке могут быть как зашифрованные файлы (с одним и тем же расширением), так и не зашифрованные. Первый файл был зашифрован в 13.с чем-то позавчера, работал до полседьмого вечера (видимо, компьютер отправили в сон), продолжил с 10 утра (вывели из сна) до 13.с чем-то там.. Когда я пришел на работу, заметил "процесс" и перегрузил комп. Может и зря перегрузил.. Хотя после перезагрузки процесс не возобновился.

В техподдержку Касперского звонить не могу - неудобно 

[Marksman]

Дубликатор, неудобно штаны через голову надевать. А в техподдержку звонить всегда удобно. Они для этого и существуют.
Добавлено: 09 Октября 2013, 13:55:05Пока читай тут.
http://forum.kaspersky.com/lofiversion/index.php/t274668.html
Похоже, нет информации.
Здесь:
http://forum.drweb.com/index.php?showtopic=315043

[Дубликатор]

Да это я вчера прочитал..

[Marksman]

Дубликатор, похоже, всё грустно.
Сколько денег просят?
В текущей ситуации может быть стоит заплатить?

[Дубликатор]

Сколько денег просят?

Собственно, не запрашивали. Во первых, на мой взгляд, слишком велика вероятность, что деньги ухнут в .... Во вторых, руководство махнуло рукой и сказало "Да и ... с ним".

Учитывая, что я почти уволился, я тоже практически махнул рукой..

Криптография: Черт знает что с черт знает чем :-(
Расшифровка: В ближайшее время, думаю, нереальна.

Да, грустновато как то. Ну, авось вывезет... 

[Onkel]

файл.расширение.itstimetopay Побило доки, ексель, jpg, tiff, чуток .pdf (это мне не сильно важно) .cdr (а вот это удар ниже пояса)

Пичаль-тоска. Но противоядия, как-бы ещё нету. Только дать деньгу. А потом натравить органы.

[Дубликатор]

Пичаль-тоска. Но противоядия, как-бы ещё нету.

Ну, есть надежда. Она всегда помирает последней...
Зато для себя понял - правильно я всю свою инфу дома уже давно (больше года как) сливаю в облака яндекса-гугла и на внешний ЖДД.. два..

[Marksman]

Дубликатор, ты, главное, шифрованные файлы на диск перелей. Вируслабы работают.
Вряд ли злоумышленники заморачивались алгоритмами с открытыми ключами. Для этого надо публичный открытый ключ, а значит, командный центр, а значит палево.
Брутфорс - штука, конечно, не простая. Но есть тело вируса, есть шифрованные файлы и их оригиналы... Чё-нить придумают.

Вычитал интересную (достоверную ли?) информацию.
Ключ генерируется на основе имени компа и уникального идентификатора, указанного в файле, который сгенерировал вирус.
Если это так, то алгоритм должен быть вскрываем. Но это кажется подозрительно простым.

[Axe]

Пичаль-тоска. Но противоядия, как-бы ещё нету. Только дать деньгу. А потом натравить органы.

А денег они 5000 просят... Да, лечения пока нет. Надо усилить бдительность...

[Marksman]

А денег они 5000 просят...

От жешь сцуки жадные. В прочем я так примерно и предполагал.
Интересно, а каков способ оплаты? На карту? В руки? Как-то ещё?
Ведь не боятся сволочи, что дропа поймают и гениталии в дверях защемят.
Добавлено: 09 Октября 2013, 15:37:41Ну и всем Win-владельцам. Нехрен работать на компах из-под админской учётки. Только из-под юзверя. А детям и жёнам - тем более.

[Axe]

Интересно, а каков способ оплаты? На карту? В руки? Как-то ещё?
Ведь не боятся сволочи, что дропа поймают и гениталии в дверях защемят.
Добавлено: [time]09 Октября 2013, 15:37:41[/time]Ну и всем Win-владельцам. Нехрен работать на компах из-под админской учётки. Только из-под юзверя. А детям и жёнам - тем более.

про способ оплаты не нашел ничего. скорее всего, какой-нибудь эл. кошелек.
Слушайте, а почему работать надо из под юзерской учетки? в чем будет разница? насколько я понял, приходит в почту некий файл типа резюме, его открываешь и ловишь джек-пот...

вообще пока мало гуглится по данному вирусу... видимо, только начали слать в сентябре.

[Marksman]

Axe, для того, чтобы не попортить данные, к которым у юзверя нет доступа. Юзверь рискует только собственным профайлом.
Ещё полезно, что если юзверь ловит, например, винлокера, как моя жена года два назад, то из-под админской учётки он убивается в три щелчка.
А если админской учётки нет, то танец с бубном будет состоять из гораздо большего числа движений.

Дубликатор, два нескромных вопроса.
1. Твоё начальство что, под твоей учёткой заходило? Оно пароль знает? Бардак на палубе, однако.
2. Какой почтовый клиент? Outlook просто не даст открыть исполняемый файл из письма. И даже офисный документ с встроенными макросами.
3. Если почта с веб-доступом, то какой антивирус стоит? Как он мог разрешить запуск исполняемого (пусть и неизвестного ему) файла, скачанного из интернета?

[Marksman]

видимо, только начали слать в сентябре.

Однако, уже октябрь на дворе. Вирусу месяц.
Помнится, года 4 назад зараза распространялась... Пока патч к семантику и касперу выпустили, мы эту дрянь два дня руками убивали. Так ведь к концу второго дня утилита появилась. В прочем, всё течёт, всё изменяется и не всегда в лучшую сторону... 

[Axe]

Axe, для того, чтобы не попортить данные, к которым у юзверя нет доступа. Юзверь рискует только собственным профайлом.
Ещё полезно, что если юзверь ловит, например, винлокера, как моя жена года два назад, то из-под админской учётки он убивается в три щелчка.

спасибо! а это нет локер, который на экран вылезал и не убирался, а требовал оплаты по смс? и еще там гадости писали, что, типа, вы нам какие-то порносайты заходили и т.д.?
я такой ловил под админом. погуглил, убил, не очень сложно было 

[Сергей Евгеньевич]

Дубликатор, два нескромных вопроса.1. Твоё начальство что, под твоей учёткой заходило? Оно пароль знает? Бардак на палубе, однако.2. Какой почтовый клиент? Outlook просто не даст открыть исполняемый файл из письма. И даже офисный документ с встроенными макросами.3. Если почта с веб-доступом, то какой антивирус стоит? Как он мог разрешить запуск исполняемого (пусть и неизвестного ему) файла, скачанного из интернета?

Спасибо, Марксман, за четко определенный уровень профессионализма и вообще, грамотности некоторых "спецов".А то тут неккоторые пальцы гнули, какие они незаменимые, обученные, прямо профи, каких с руками кадровые агентства отрывают....

А темка то... так себе, нарушение правил ИТ-безопасности примитивного уровня. За что этим лохАм зарплату платят?

[Дубликатор]

1. Твоё начальство что, под твоей учёткой заходило? Оно пароль знает? Бардак на палубе, однако.

Однозначный и неизлечимый бардак. Ежели я правильно понимаю (ибо все таки проходило не при моем непосредственном участии), зашли под браузером (Лис рыжий, либо хром, стоят оба), увидели "Резюме". Ну, любопытно же ж. Скачали, посмотрели.. грохнули и файл и письмо и пошли себе дальше работать. Антивирь - KIS. Возможно, и был запрос "Открывать ли? Уверены? Точно?? А может не надо?". Ответили "Да". Не признаются же, кто скачивал и чего делал.

Спасибо, Марксман, за четко определенный уровень профессионализма и вообще, грамотности некоторых "спецов".

Сергей Евгеньевич, найди, пожалуйста, пост, где я корчил из себя спеца по компьютерной безопасности. Или опять водовки перекушать изволили? Я занимаюсь допечатной подготовкой, о компьютерной безопасности у меня сведения на уровне чуть выше чем у обычного пользователя. "Не лазить, не открывать" Даже учетка одна. БЕзопасностью как таковой в конторе никто не занимается, даже бекапов не делают. Винт скажет "ау", и все. А он такой, он может.
Кстати о бабочках. Вирус системный диск (логический) не затронул ВООБЩЕ, только второй логический диск, на котором все добро и лежит.

а это нет локер, который на экран вылезал и не убирался, а требовал оплаты по смс?

Не, эта тварюга половчее. Систему не заблокировала. Загрузилась, зашифровала 90 гиг файлов за день работы и после перезагрузки компа - её как бы и нет.

[Onkel]

Однозначный и неизлечимый бардак.

как там в законах Мерфи:
Можно сделать защиту от дурака, но только не от изобретательного.

90 гигов - это сурово и обидно. Таки рекомендую платить. Дешевле и быстрее выйдет, раз там важное рабочее файло.

Я вот что нарыл на немецких просторах:
RannohDecryptor - это типа приблуда от Касперского, может спробовать? Мало-ли...

http://www.experto24.ru/soft-i-zhelezo/kak-udalit-virus-vymogatel-i-spasti-svoi-dannye.html - вдруг Avira поможет? Качать тут http://www.avira.com/files/support/FAQ_KB_Download_Files/EN/ransom_file_unlocker.zip

Нечто похожее от Dr.Web ftp://ftp.drweb.com/pub/drweb/tools/matsnu1decrypt.exe

http://matthi.org/DecryptHelper-0.5.3.exe - ещё одна штука отсюда

Рекомендуется пробовать с копиями шифрованных файлов.

[Дубликатор]

90 гигов - это сурово и обидно. Таки рекомендую платить. Дешевле и быстрее выйдет, раз там важное рабочее файло.

Ну, на самом деле обидно и достаточно сурово. Хотя это - уже отработанный (напечатанный) материал, вся обида - ежели вдруг запросят повтор печати (бывает иногда) - опять запрашивать у заказчика файлы, обрабатывать, доделывать и собирать. Платить не собираются.

[Onkel]

Дубликатор,
а вдруг какой-то из тех декодеров, что я прислал, сработает?
С файлами, который были JPG, ещё советуют попробовать вот что:
переименовать их обратно в .jpg и прогнать через софтину для восстановления стёртых фоток. Таковых есть несколько всяких.
Если выгорит - профит, а нет - так и всё одно тю-тю.

[Дубликатор]

а вдруг какой-то из тех декодеров, что я прислал, сработает?

Попробовал. Не хочет.

переименовать их обратно в .jpg и прогнать через софтину для восстановления стёртых фоток. Таковых есть несколько всяких.

Да жипеги то меня меньше всего волнуют. Их в печать пускают меньше в процентном отношении меньше, чем у начинающего МЛМ-щика вероятность Сергей Евгеньевичем стать 

[Onkel]

Попробовал. Не хочет.

  

эх...

[Дубликатор]

Onkel, насколь я понял, паразиты-вирусописатели достаточно часто меняют алгоритмы работы вируса и методики шифрования. Так что не факт, что анлокер, сделанный под один шифровальщик, будет работать с другим. Прога от авиры захотела заблокированный и не заблокированный файл. А кушать не захотела - пара не совпадает. Еле нашел, в прошлом году по почте отправляли в другую типографию для вывода именно файл верстки, когда у нас фотонабор накрывался медным тазом (Вот проблема - никаким вирусописакам не снились те деньги, которые отдали за выводы на стороне). Потом ПДФ слали - проблем меньше. А ПДФ-ки не затронуло. Спасибо за участие..

[Сергей Евгеньевич]

БЕзопасностью как таковой в конторе никто не занимается, даже бекапов не делают. Винт скажет "ау", и все. А он такой, он может.

В общем то ты то сам мог о себе позаботиться, если спецом себя считаешь. Или жалко 1000 руб на переносной винт гигов так на 300, для периодического слива того. что ты считаешь важным для СВОЕЙ работы?
Я файлы на домашнем компе, к которому доступ запрещен любому, под страхом смертной казни , и то периодически сливаю. Потому как то очередной вирусняк появится. то винт может крякнуться, то еще что нить сдохнуть может, ибо техника.

Теперь вопрос, названия файлов поменялись? Ибо сдается мне, что нет тут никакого крутого шифрования. Таким баловством я еще в 1994 году занимался. Ключ к дешифровке лежит у тебя (ИД)

А вообще то беги в ментовку, и параллельно тяни время, соглашаясь на оплату. Думаю, шансы на отлов засранцев есть.

[Marksman]

Дубликатор, на сколько я понял, сегодня срок истек?
Судя по тредам в форумах Касперского и дрвеба, противоядия нет, но народ работает.
Сигнатура вируса определена и во всех базах он уже есть. Проблема в алгоритме шифрования и вычислении/подборе ключа.
Непосредственно сейчас ситуация не авральная. Пока не требуются старые наработки.
Я бы оставил все как есть, сделав полный бэкап винтов d:, e:, etc...
Ну и наверное, все-таки заплатил вымогателям. Из своего кармана. Обидно, но свой многолетний труд терять жалко. Следовательно следует воспринимать ситуацию как платные курсы по информбезопасности.

Сергей Евгеньевич, не надо ерничать. Не очень большие конторы редко могут себе позволить держать специалиста по информбезопасности. Да и мало таких специалистов. На всех все равно не хватит.
Обратите внимание, что у Дубликатора основные потери (самое ценное) - это cdr'ки. То есть он специалист в совсем другой области. Думаю, что таких специалистов еще меньше, чем безопасников. Опыт вообще нарабатыватся годами.

[Marksman]

Еще. Сергей Евгеньевич, забудьте свою молодость, когда вирусы писали школьники для развлечения и самоутверждения. Когда шифрование делалось XOR'ом, а про PGP, еще никто не слышал.
Сейчас все иначе. Это ДЕНЬГИ! Большие ДЕНЬГИ.
Следовательно, для таких работ нанимают очень хороших специалистов и хорошо им платят. Идея с шифрованием весьма плодотворна, ибо есть алгоритмы, которые принципиально нельзя расшифровать иначе, чем перебором. И когда комбинаций для перебора порядка 2⁴⁰⁰, то это равносильно понятию "никогда".

[Дубликатор]

В общем то ты то сам мог о себе позаботиться, если спецом себя считаешь. Или жалко 1000 руб на переносной винт гигов так на 300, для периодического слива того. что ты считаешь важным для СВОЕЙ работы?

Сергей Евгеньевич, а тут как рассуждать. Ежели подойти чуток с другой стороны:
1. Ну с какого переляку я должен столь нелюбимому тобой ДЯДЕ закупать оборудование и обеспечивать то, что в мои должностные обязанности не входит? В офисе должно быть чисто - так мне что, ведро и тряпку в руки и вперед? Это его (дядин) бизнес и его файлы.
2. Так, ежели по шкурному совсем подойти. Я ж эти файлы уже отработал, деньги за них получил, да? Да.. Таперича, ежели вдруг понадобится, я их еще раз (два, три... ) с удовольствием отработаю, не за бесплатно же? Я честно предлагал решения с внешним ЖДД хотя бы.. Несколько раз предлагал. Не прошло.
Лично для меня неприятность другая. Я на грани перемены работы (вернее, мой уход - дело уже на 100% решенное, вопрос о днях/часах). Эта перемена никак не связана с этим вирусом  Но впечатление о сделанной перед уходом гадости у кого-то может возникнуть. А не хотелось бы..

А о себе то я забочусь. Скажем, журналы, которые я верстаю дома, верстаются уже "в облаке "яндекс"-диска. С ежедневным копированием на внешний. Потом, после сдачи - на 2 внешника и еще в одно "облако". Но тут как бы условия другие. Я работаю дома. Обеспечение технической стороны дела лежит на мне. Соответственно, если шкурно, то макет, сделанный 5 лет назад, я еще раз переделывать не хочу. Не заплатят  И поставлю я его в следующий номер за две минуты.

Теперь вопрос, названия файлов поменялись?

Ответ #302 : слабочитабелен?

Ибо сдается мне, что нет тут никакого крутого шифрования.

Сергей Евгеньевич, ну раз ты баловался, могу файлик прислать зашифрованный. Посмотришь, насколько изменился с 1994 года твой алгоритм баловства. Расшифруешь заодно - ты ж легко, насколь я с твоих же слов понял.. Или "прогнать" слегка изволили?

[Сергей Евгеньевич]

Сергей Евгеньевич, не надо ерничать. Не очень большие конторы редко могут себе позволить держать специалиста по информбезопасности

господи, ну какой спец!?  Это все равно, что вместо домашней аптечки каждому врача приставить. Или вместо того. чтобы у детей списки отобрать пожарника дома держать.
Ты вообще понял, о чем я сказал? ЭЛЕМЕНТАРНЫЕ  правила безопасности!
Добавлено: 10 Октября 2013, 07:26:33

Сергей Евгеньевич, ну раз ты баловался, могу файлик прислать зашифрованный

А пришли. Лучше всего тхт-ник. Побалуюсь))))

[Дубликатор]

А пришли. Лучше всего тхт-ник. Побалуюсь))))

http://www.fayloobmennik.net/3255742 Пароль на архив 12345
Пардон, корел. Это файл, к которому у меня сохранился живой двойник. ТХТ нету, мелочь не держим