Если система заражена вредоносной программой семейств Trojan-Ransom.Win32.Rannoh, Trojan-Ransom.Win32.AutoIt, Trojan-Ransom.Win32.Fury, Trojan-Ransom.Win32.Crybola, Trojan-Ransom.Win32.Cryakl или Trojan-Ransom.Win32.CryptXXX, все файлы на компьютере будут зашифрованы следующим образом:

• При заражении Trojan-Ransom.Win32.Rannoh имена и расширения изменятся по шаблону locked-<оригинальное_имя>.<4 произвольных буквы>.
• При заражении Trojan-Ransom.Win32.Cryakl в конец содержимого файлов добавляется метка {CRYPTENDBLACKDC}.
• При заражении Trojan-Ransom.Win32.AutoIt расширение изменяется по шаблону <оригинальное_имя>@<почтовый_домен>_.<набор_символов>.
  Например, [email protected]_.RZWDTDIC.
• При заражении Trojan-Ransom.Win32.CryptXXX расширение изменяется по шаблонам <оригинальное_имя>.crypt, <оригинальное_имя>.crypz и <оригинальное_имя>.cryp1.

Утилита RannohDecryptor предназначена для расшифровки файлов после заражения Trojan-Ransom.Win32.Polyglot, Trojan-Ransom.Win32.Rannoh, Trojan-Ransom.Win32.AutoIt, Trojan-Ransom.Win32.Fury, Trojan-Ransom.Win32.Crybola, Trojan-Ransom.Win32.Cryakl или Trojan-Ransom.Win32.CryptXXX версии 1, 2 и 3.

Как вылечить систему

Чтобы вылечить зараженную систему:

1. Скачайте файл RannohDecryptor.zip .
2. Запустите файл RannohDecryptor.exe на зараженной машине.
3. В главном окне нажмите Начать проверку .

1. Укажите путь к зашифрованному и незашифрованному файлу.
   Если файл зашифрован Trojan-Ransom.Win32.CryptXXX, укажите файлы самого большого размера. Расшифровка будет доступна только для файлов равного или меньшего размера.
2. Дождитесь окончания поиска и расшифровки зашифрованных файлов.
3. Перезагрузите компьютер, если требуется.
4. после locked-<оригинальное_имя>.<4 произвольных буквы>Для удаления копии зашифрованных файлов вида успешной расшифровки выберите .

Если файл был зашифрован Trojan-Ransom.Win32.Cryakl, утилита сохранит файл на старом месте с расширением.decryptedKLR.оригинальное_расширение. Если вы выбрали Удалять зашифрованные файлы после успешной расшифровки , трасшифрованный файл будет сохранен утилитой с оригинальным именем.

1. По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена ОС).

   Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt

   Например, C:\RannohDecryptor.1.1.0.0_02.05.2012_15.31.43_log.txt

В системе, зараженной Trojan-Ransom.Win32.CryptXXX, утилита сканирует ограниченное количество форматов файлов. При выборе пользователем файла, пострадавшего от CryptXXX v2, восстановление ключа может занять продолжительное время. В этом случае утилита показывает предупреждение.

"Доктор Веб" выпустил бесплатную утилиту дешифровки от новой версии троянца-вымогателя Trojan.Encoder.19

Компания «Доктор Веб» сообщает о появлении нового троянца, который шифрует пользовательские файлы. В классификации компании «Доктор Веб» троянская программа получила название Trojan.Encoder.19. Инфицировав систему, троянец оставляет текстовый файл crypted.txt с требованием заплатить 10$ за программу расшифровщик.

Как использовать утилиту
Запустите расшифровку файлов на всем диске C:. Для этого запустите программу, со следующими параметрами командной строки:

Файлы на диск С: будут расшифрованы. По окончании работы утилиты рядом с шифрованными файлами.crypt должны появиться расшифрованные файлы без окончания.crypt. Шифрованные файлы удалять не надо, т.к. не исключена возможность некорректной расшифровки.

Если Вам не удалось расшифровать некоторые файлы, просим присылать на адрес [email protected] файл crypted.txt из корня диска C: и несколько образцов зашифрованных файлов.

(Информация со страницы производителя)

Эта программа была предложена: Wiper_off

Данное описание, скорее всего, было написано пользователем и потому может отличаться от мнения редакции loadion.com. Пожалуйста, имейте в виду, что эта площадка может использоваться только в легальных целях и мы дистанцируемся от любого неправомерного использования.

Всем привет! Сегодня хочу осветить одну проблему, связанную с вредоносной программой, шифрующей файлы на компьютере. Есть такая проблема, после которой появляются запросы типа «Помогите! Вирус зашифровал файлы», этим же вопросом достают многих компьютерных мастеров, которые иногда даже берутся помочь, но в итоге пользуются тем, что описано ниже. А что дествительно делать, если вирус зашифровал файлы на компьютере?! Прочитать статью до конца, внять написанному, успокоиться и начать действовать. Поехали!

Шифровальщики — это разновидности семейства trojan encoder (так их классифицирует например dr. web). Сама программа шифровальщик часто ловится через некоторое время антивирусом, если он ее пропустил. Но вот последствия от ее работы удручающие. Что делать, если вы стали жертвой подобного рода гадости? Давайте разбираться. Для начала необходимо примерно знать как устроен враг, чтобы перестать грузить глупыми вопросами всех и вся в надежде что сейчас появиться шаман с бубном и решит мигом вашу проблему. Итак, вирус использует асимметричные ключи, насколько мне известно, иначе не было бы с ним столько проблем. Такая система использует два ключа, один из которых шифрует, другой расшифровывает. Причем первый вычисляется из второго (но не наоборот). Давайте попробуем это представить наглядно и что называется на пальцах. Рассмотрим пару рисунков, которые наглядно демонстрируют процесс шифрования и расшифровки.

Не будем вдаваться в подробности о том, как формируется открытый ключ. Эти две картинки демонстрируют наглядно процесс шифрования, а затем дешифровки, это как закрыть дверь, а потом ее открыть. В чем же реально проблема с вирусом-шифровальщиком? Проблема в том, что у вас вообще нет никакого ключа. Ключи у злоумышленника. А алгоритмы шифрования, использующие эту технологию сделаны весьма хитро. Вы можете каким-то образом получить открытый ключ, изучая файл, но это не имеет смысла, потому что вам нужен секретный ключ. А вот с ним загвоздка. Даже узнав ключ открытый, секретный получить практически невозможно. Понятно, что в фильмах и книгах, а также рассказах друзей и знакомых, есть какие-то супер-пупер хакеры, которые взмахом мизинца над клавиатурой расшифруют все, взломают все в лоб, а в реальном мире все совсем не так просто. Скажу что в лоб эту задачу не решить и точка.

А теперь о том, что делать, если вы подцепили сию гадость. Вариантов у вас не много. Самый банальный связаться с автором по электронной почте, которую он любезно вам предоставит на новых обоях для рабочего стола, а также впишет в имя каждого испорченного файла. Будьте осторожны, иначе не получите ни файлов ни денег. Вариант второй — антивирусные компании, в частности доктор Веб. Обращаетесь в тех поддержку по адресу https://support.drweb.ru/new/free_unlocker/for_decode/?lng=ru . Проходите по пунктам, которые требуются и воаля. Правда есть одно Но! Вы обязательно должны использовать лицензионный антивирус от доктор Веб, если у вас его нет, нужно будет приобрести лицензию. В случае успеха, ваш запрос уйдет в службу технической поддержки компании, а дальше ожидайте ответа. Прошу обратить особое внимание, что этот способ не дает 100% гарантии полной расшифровки всех файлов, это связано с тем, что не все ключи и алгоритмы есть у них в наличии. Расшифровкой занимаются и другие антивирусные компании, на подобных условиях. Третий вариант — обратиться в правоохранительные органы. Между прочим, если будете создавать запрос в компанию доктор Веб, даже они вам об этом скажут. Вариант третий может быть затяжным и безуспешным (впрочем как и первые два), но в случае успеха, злоумышленника накажут и он будет меньше вредить людям, а ключ передадут антивирусным компаниям. Есть еще и четвертый вариант — безуспешно пытаться найти чудо мастера, который каким-то сверхсекретным образом расшифрует. Вперед ребята! Но задумайтесь! Уж если антивирусные компании не дают 100% гарантии и рекомендуют обратиться в полицию, то что еще искать? Не тратьте свое время и деньги, будьте реалистами.

Резюмирую. К сожалению множество людей обижаются на мастеров, которые отправляют их в милицию или в антивирусную компанию, умоляя им помочь, но дорогие наши пользователи, поймите, мастера не всесильны, а здесь нужны отменные знания в криптографии, да и они вряд ли помогут. Поэтому пользуйтесь тремя вышеуказанными способами, но с первым аккуратнее (крайний случай), лучше уж обращайтесь в органы, а параллельно попытайтесь спасти хоть что-то с помощью специалистов из антивирусной компании.
Да, кстати, обращение в полицию поможет другим пострадавшим и если каждый будет стараться так поступать, заразы подобной станет в разы меньше, поэтому думайте не только о себе но и других людях. И еще будьте готовы к тому что возможно кроме автора вируса больше никто не решит вашу проблему! Поэтому сделайте для себя важный вывод и раните ценные файлы в нескольких экземплярах на разных устройствах или пользуйтесь облачными сервисами.

Специалисты антивирусной компании «Доктор Веб» разработали методику расшифровки файлов, ставших недоступными в результате действия опасного троянца-энкодера Trojan.Encoder.2843 , известного пользователям под именем «Vault».

Данная версия шифровальщика, получившая по классификации Dr.Web наименование Trojan.Encoder.2843 , активно распространяется злоумышленниками при помощи массовых почтовых рассылок. В качестве вложения в письма используется небольшой файл, содержащий сценарий на языке JavaScript. Этот файл извлекает из себя приложение, которое и выполняет остальные действия, необходимые для обеспечения работы энкодера. Данная версия троянца-шифровальщика распространяется со 2 ноября 2015 года.

Принцип работы этой вредоносной программы также весьма любопытен. В системный реестр Windows записывается зашифрованная динамическая библиотека (.DLL), а в запущенный процесс explorer.exe троянец встраивает небольшой код, который считывает файл из реестра в память, расшифровывает и передает на него управление.

Список шифруемых файлов Trojan.Encoder.2843 также хранит в системном реестре и для каждого из них использует уникальный ключ, состоящий из заглавных латинских букв. Шифрование файлов осуществляется с использованием алгоритмов Blowfish-ECB, сессионный ключ шифруется с использованием RSA при помощи интерфейса CryptoAPI. Каждому зашифрованному файлу присваивается расширение.vault.

Специалисты компании «Доктор Веб» разработали специальную методику, во многих случаях позволяющую расшифровывать поврежденные этим троянцем файлы. Если вы стали жертвой вредоносной программы Trojan.Encoder.2843 , воспользуйтесь следующими рекомендациями:

• обратитесь с соответствующим заявлением в полицию;
• ни в коем случае не пытайтесь переустановить операционную систему, «оптимизировать» или «очистить» ее с использованием каких-либо утилит;
• не удаляйте никакие файлы на вашем компьютере;
• не пытайтесь восстановить зашифрованные файлы самостоятельно;
• обратитесь в службу технической поддержки компании «Доктор Веб» (эта услуга бесплатна для пользователей коммерческих лицензий Dr.Web);
• к тикету приложите любой зашифрованный троянцем файл;
• дождитесь ответа специалиста службы технической поддержки; в связи с большим количеством запросов это может занять некоторое время.

Напоминаем, что услуги по расшифровке файлов оказываются только обладателям коммерческих лицензий на антивирусные продукты Dr.Web. Компания «Доктор Веб» не дает полной гарантии расшифровки всех поврежденных в результате действия энкодера файлов, однако наши специалисты приложат все усилия, чтобы спасти зашифрованную информацию.

На основании предварительного анализа вредоносной программы компания "Доктор Веб" представляет рекомендации, как избежать заражения, рассказывает, что делать, если заражение уже произошло, и раскрывает технические подробности атаки.

Наделавший много шума червь-шифровальщик Trojan.Encoder.12544 представляет серьезную опасность для персональных компьютеров, работающих под управлением Microsoft Windows. Различные источники называют его модификацией троянца, известного под именем Petya (Trojan.Ransom.369), но Trojan.Encoder.12544 имеет с ним лишь некоторое сходство. Эта вредоносная программа проникла в информационные системы целого ряда госструктур, банков и коммерческих организаций, а также заразила ПК пользователей в нескольких странах.

На текущий момент известно, что троянец заражает компьютеры при помощи того же набора уязвимостей, которые ранее использовались злоумышленниками для внедрения на компьютеры жертв троянца WannaCry. Массовое распространение Trojan.Encoder.12544 началось в первой половине дня 27.06.2017. При запуске на атакуемом компьютере троянец несколькими способами ищет доступные в локальной сети ПК, после чего по списку полученных IP-адресов начинает сканировать порты 445 и 139. Обнаружив в сети машины, на которых открыты эти порты, Trojan.Encoder.12544 пытается инфицировать их с использованием широко известной уязвимости в протоколе SMB (MS17-10).

В своем теле троянец содержит 4 сжатых ресурса, 2 из которых являются 32- и 64-разрядной версиями утилиты Mimikatz, предназначенной для перехвата паролей открытых сессий в Windows. В зависимости от разрядности ОС он распаковывает соответствующую версию утилиты, сохраняет ее во временную папку, после чего запускает. При помощи утилиты Mimikatz, а также двумя другими способами Trojan.Encoder.12544 получает список локальных и доменных пользователей, авторизованных на зараженном компьютере. Затем он ищет доступные на запись сетевые папки, пытается открыть их с использованием полученных учетных данных и сохранить там свою копию. Чтобы инфицировать компьютеры, к которым ему удалось получить доступ, Trojan.Encoder.12544 использует утилиту для управления удаленным компьютером PsExec (она также хранится в ресурсах троянца) или стандартную консольную утилиту для вызова объектов Wmic.exe.

Контроль своего повторного запуска энкодер осуществляет с помощью файла, сохраняемого им в папке C:\Windows\. Этот файл имеет имя, соответствующее имени троянца без расширения. Поскольку распространяемый злоумышленниками в настоящий момент образец червя имеет имя perfc.dat, то файл, предотвращающий его повторный запуск, будет иметь имя C:\Windows\perfc. Однако стоит злоумышленникам изменить исходное имя троянца, и создание в папке C:\Windows\ файла с именем perfc без расширения (как советуют некоторые антивирусные компании), уже не спасет компьютер от заражения. Кроме того, троянец осуществляет проверку наличия файла, только если у него достаточно для этого привилегий в операционной системе.

После старта троянец настраивает для себя привилегии, загружает собственную копию в память и передает ей управление. Затем энкодер перезаписывает собственный файл на диске мусорными данными и удаляет его. В первую очередь Trojan.Encoder.12544 портит VBR (Volume Boot Record, загрузочная запись раздела) диска C:, первый сектор диска заполняется мусорными данными. Затем шифровальщик копирует оригинальную загрузочную запись Windows в другой участок диска, предварительно зашифровав ее с использованием алгоритма XOR, а вместо нее записывает свою. Далее он создает задание на перезагрузку компьютера, и начинает шифровать все обнаруженные на локальных физических дисках файлы с расширениями.3ds, .7z, .accdb, .ai, .asp, .aspx, .avhd, .back, .bak, .c, .cfg, .conf, .cpp, .cs, .ctl, .dbf, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .kdbx, .mail, .mdb, .msg, .nrg, .ora, .ost, .ova, .ovf, .pdf, .php, .pmf, .ppt, .pptx, .pst, .pvi, .py, .pyc, .rar, .rtf, .sln, .sql, .tar, .vbox, .vbs, .vcb, .vdi, .vfd, .vmc, .vmdk, .vmsd, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xvd, .zip.

Троянец шифрует файлы только на фиксированных дисках компьютера, данные на каждом диске шифруются в отдельном потоке. Шифрование осуществляется с использованием алгоритмов AES-128-CBC, для каждого диска создается собственный ключ (это - отличительная особенность троянца, не отмеченная другими исследователями). Этот ключ шифруется с использованием алгоритма RSA-2048 (другие исследователи сообщали, что используется 800-битный ключ) и сохраняется в корневую папку зашифрованного диска в файл с именем README.TXT. Зашифрованные файлы не получают дополнительного расширения.

После выполнения созданного ранее задания компьютер перезагружается, и управление передается троянской загрузочной записи. Она демонстрирует на экране зараженного компьютера текст, напоминающий сообщение стандартной утилиты для проверки дисков CHDISK.

В это время Trojan.Encoder.12544 шифрует MFT (Master File Table). Завершив шифрование, Trojan.Encoder.12544 демонстрирует на экране требование злоумышленников об уплате выкупа.

Если в момент запуска на экране появилось сообщение о запуске утилиты CHDISK, незамедлительно выключите питание ПК. Загрузочная запись в этом случае будет повреждена, но ее можно исправить при помощи утилиты восстановления Windows или Консоли восстановления, загрузившись с дистрибутивного диска. Восстановление загрузочной записи обычно возможно в ОС Windows версии 7 и более поздних, если на диске имеется используемый системой скрытый раздел с резервной копией критичных для работы Windows данных. В Windows XP такой способ восстановления загрузки не сработает. Также для этого можно использовать Dr.Web LiveDisk - создайте загрузочный диск или флешку, выполните загрузку с этого съемного устройства, запустите сканер Dr.Web, выполните проверку пострадавшего диска, выберите функцию «Обезвредить» для найденных угроз.

По сообщениям из различных источников единственный используемый распространителями Trojan.Encoder.12544 ящик электронной почты в настоящее время заблокирован, поэтому они в принципе не могут связаться со своими жертвами (чтобы, например, предложить расшифровку файлов).

С целью профилактики заражения троянцем Trojan.Encoder.12544 компания «Доктор Веб» рекомендует своевременно создавать резервные копии всех критичных данных на независимых носителях, а также использовать функцию «Защита от потери данных» Dr.Web Security Space. Кроме того, необходимо устанавливать все обновления безопасности операционной системы. Специалисты компании «Доктор Веб» продолжают исследование шифровальщика Trojan.Encoder.12544.

Похожие статьи