138 ответов в теме

[Mistral]

У жены на работе подцепили вирус шифровальщик. Для интереса взял домой посмотреть на этого зверя. Обычный zip архив, а внутри файл с расширением ".pdf.js". Распаковал его, дал понюхать касперу, тот определил его как Trojan-Dropper.JS.Scatter.m. Если нужен кому для опытов могу скинуть, zip еще остался.

Но интересен вопрос, реально ли расшифровать то, что он поломал у них там на работе?

Обновление.

На зараженном компе было обнаружено тело вируса в файле VAULT.hta. Eset определял его как Win32/Filecoder.FH. Самое странное, что заражение произошло при работающем ESET Smart Security 4 обновляющимся ежедневно.

Вступил в переписку с техподдержкой ESET, отправлял им разные файлы по требованию. Они прислали прогу, запустил и все расшифровалось!!! Посмотрел что интересного в логах пишет их прога. Создалось впечатление, что ключ для расшифрования находился прям в системе в каталоге ProgramData\Microsoft\Crypto\RSA\MachineKeys и прога его использовала.

Изменено: Mistral, 9.12.2015 - 19:43

[VZH]

Хорошо, что всё хорошо закончилось!

 

Жаль только, что ESET Smart Security 4 это пропустил.

[matrix]

Есть клиент, который поймал шифратор, все файлы с расширением breaking_bad.
Если есть желающие помочь не безвозмездно ессно, пишите в личку, дам контакты.

[Mistral]

Пишите в поддержку антивируса, если есть лицензия. А если нет, то можно купить лицензию и потом обратиться к ним.

[grem]

breaking_bad активизировался, уже два клиента ловили

 

 

 

Пишите в поддержку антивируса, если есть лицензия. А если нет, то можно купить лицензию и потом обратиться к ним.

а толку?

Изменено: grem, 27.01.2016 - 09:41

[Mistral]

а толку?

Велика вероятность, что они уже умеют расшифровывать.

[Dimitry]

Велика вероятность, что они уже умеют расшифровывать.

 

 

процентов 5%...

[matrix]

На форуме нода кто-то отписывался об успешном дешифровании. На Каспере только обращения...

SGray поедет смотреть подробно

Мошенники запросили 14 тыс. за дешифратор.

[Михаил_rnd]

На форуме нода кто-то отписывался об успешном дешифровании. На Каспере только обращения...

SGray поедет смотреть подробно

Мошенники запросили 14 тыс. за дешифратор.

неплохо....  если бы просили до 2тыс народ соглашался бы чаще, но видимо они берут суммами 

Как поймали вирус ? письмо открыли? 

Изменено: Михаил_rnd, 27.01.2016 - 13:12

[matrix]

Поначалу не признавались, потом сказали, что в письме.

[grem]

breaking bad письмами распространяется. и в автозагрузку прописывается, зараза

[Михаил_rnd]

Поначалу не признавались, потом сказали, что в письме.

открывают все подряд письма ?

мне кстати, стали приходить странные письма, почта у меня на рамблере есть еще на жмаиле, адрес до собаки тот же в 2х почтах, так вот на рамблер приходят  письма с моего, жмаила но с странным вложением. естественно вложение не открываю. видимо присылают с подменой адреса отправителя. на что рассчитывают хз. 

[SGray]

 

SGray поедет смотреть подробно

приехал, посмотрел, огорчился - бэкапов нет.

 

естественно, гадость прилетела с письмом. антивирь стоял древний - аваст, ещё и с закончившейся регистрацией, причём обидно, что выловленное тело вируса определялось авастом на virustotal, т.е. был бы свежий (даже) аваст - может быть, пронесло бы...

а так, все пошифровалось, включая базы...

всех зловредов выкосил с обоих компов (хорошо, что пока по сети инфа не шифруется), от рекламы почистил, поставил 360 total security.

ща оформлю заявку в кабинете касперского и буду ждать с моря погоды, т.к. у http://virusinfo.info/ самый распространённый ответ:

 

 

С расшифровкой не поможем

[truzens]

У меня тоже ловили breaking bad. Было вложение в письме с расширением scr. Но сотрудника это не остановило.

п.с. У меня есть бекапы.

[Mistral]

был бы свежий (даже) аваст - может быть, пронесло бы...

В моем случае, с тем компом с которым помогал фирме обновленный эсет не помог.

[truzens]

В моем случае, с тем компом с которым помогал фирме обновленный эсет не помог.

Утилита каспера ничего не нашла на зараженном компе http://support.kaspe....ru/8527#block0 хотя может после шифрования сам вирус удаляется.

вирус=шифровальщик

[vlad-ghost]

ежедневные бэкапы реально рулят, притом cobian мне очень понравился 

[SGray]

 

В моем случае, с тем компом с которым помогал фирме обновленный эсет не помог.

от шифрователей хорошо защищает KIS.

 

Утилита каспера ничего не нашла на зараженном компе

это неудивительно - большинство шифрователей удаляют своё тело после работы, пытаясь затруднить анализ.

 

 

ежедневные бэкапы реально рулят, притом cobian мне очень понравился

я пользую примитивный psbackup - функции те же самые. вопрос в том, что будет, когда шифрователи доберутся до архивов?

[ssskkk]

от шифрователей хорошо защищает KIS.

это неудивительно - большинство шифрователей удаляют своё тело после работы, пытаясь затруднить анализ.

 

я пользую примитивный psbackup - функции те же самые. вопрос в том, что будет, когда шифрователи доберутся до архивов?

 

с чего бы им туда добираться то? создаешь отдельную учетку и под ней запускаешь кобиана(ну или свою байду), а на папку с архивом даешь права тока для себя и этой учетке

Изменено: ssskkk, 27.01.2016 - 23:16

[Mistral]

В кашперовском видел есть группировка ресурсов по типам. По умолчанию там только системные и пользовательские. Можно самому добавлять в эти группы что хочешь. И разделение программ на не доверенные, мало доверенные и т.д. но в настройках по умолчанию все программы которые он не знает он относит к мало доверенным, а для этой группы разрешены и запись и удаление ресурсов, н с занесением в лог. Вобщем из коробки не рабочий инструмент, но возможности настройки есть.

[SGray]

 

создаешь отдельную учетку и под ней запускаешь кобиана(ну или свою байду), а на папку с архивом даешь права тока для себя и этой учетке

надо будет попробовать...

[SooL]

Велика вероятность, что они уже умеют расшифровывать.

Веб помог одному знакомому в расшифровке. Реально прислали утилиту и расшифровали файлы. Подробностей общения с техподдержкой не знаю, но факт - всё восстановилось.

[Raptor]

Веб помог одному знакомому в расшифровке. Реально прислали утилиту и расшифровали файлы. Подробностей общения с техподдержкой не знаю, но факт - всё восстановилось.

Ключевое слово - одному. Если оно в смысле числительного, то охотно верю.

[grem]

с чего бы им туда добираться то? создаешь отдельную учетку и под ней запускаешь кобиана(ну или свою байду), а на папку с архивом даешь права тока для себя и этой учетке

Уже где-то тут писал. Можно паковать бэкапы в архивы со своим расширением. Что-то типа *.zxc

[matrix]

Уже где-то тут писал. Можно паковать бэкапы в архивы со своим расширением. Что-то типа *.zxc

или .breaking_bad