ТС а на сайте Доктора Вэб нету утилиты для дешыфровки даных файлов. И ещё. А как вообще идентифицыруетса этот вирус.?
LinuxForum.Fans
[Решено] Вирус новый зашифровал данные (разрешение файлов FTCODE)
Автор: Linux777
45 сообщений
14114 просмотров
kisil, и не будет. Там контрольная сумма нужна. Она либо отдельная для каждого файла, либо одна для всего диска.
Это обычный руткит :)
Для начала - данные можно расшифровать, но очень долго, т.к. идёт 128-битное шифрование.
Про этот вирус писали, что вроде бы Dr.Web CureIT справлялся, но точно ничего не могу сказать - контора
их стоит в позе пьяного аиста.
сейчас пробую на винде. скачал этот Dr.Web CureIT но он ничего не делает. просто обычное сканирование, я указал пару файлов, чтобы быстрей шло, а не весь комп, просканил и сказал вирусов не обнаружено))
kisil, и не будет. Там контрольная сумма нужна. Она либо отдельная для каждого файла, либо одна для всего диска.
что значит контрольная сумма, в письме был привиден часть кода RSA (в первом сообщении пример привел типа того 14hhkljhflag1h5).
разрешение появляется на типах файлах xls, doc, jpeg и тд.ТС а на сайте Доктора Вэб нету утилиты для дешыфровки даных файлов. И ещё. А как вообще идентифицыруетса этот вирус.?
насчет нету дешифратора, не знаю. вот это не работает Dr.Web CureIT. пробовал.
Linux777, вам надо на форумы антивирусов писать или в их службы поддержки. Я сейчас пользуюсь MSE, им и отсылаю неизвестный MSE зловред. Обычно им нужно 3-4 дня на анализ и добавление зловреда в вирусные базы.
P.S. Чтобы найти дешифратор, сначала надо определить, что за вирус.
Ага, надо написать. Попробовать.
karl_muenhgausen, достаточно в репку закинуть. Дальше уже вы сами хакнете всё
и вся так, что комп закачается (если не рухнет).
Ну закиньте малварь в репку Дебиана или Центоси малварь - посмотрю как получится! )))
Таки "расширение" наверное?разрешение появляется на типах файлах xls, doc, jpeg и тд.
насчет нету дешифратора, не знаю. вот это не работает Dr.Web CureIT. пробовал.[/quote][quote="kisil⇓"]ТС а на сайте Доктора Вэб нету утилиты для дешыфровки даных файлов. И ещё. А как вообще идентифицыруетса этот вирус.?
[url=ftp://ftp.drweb.com/pub/drweb/tools/]Есть[/url], но не знаю, подойдет ли что-нибудь. Потому и говорил, надо сначала определить, что за вирус.
Зачем вам CureIT? Ведь это может быть неизвестный зловред. Отловите зловреда вручную и отправляйте по антивирусным лабораториям.
ЧТО нашел на сайте Доктера ВЕБ!
Если у Вас зашифрованы файлы,
Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.
Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://vms.drweb.com/sendvirus/ несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
- собрать и выложить в своей теме логи утилит, указанных в Правилах этого раздела форума.
Linux777, вам надо на форумы антивирусов писать или в их службы поддержки. Я сейчас пользуюсь MSE, им и отсылаю неизвестный MSE зловред. Обычно им нужно 3-4 дня на анализ и добавление зловреда в вирусные базы.
так что да, ничего самому строго делать не рекомендуется. а писать в лабораторию касперского или доктору веб.
Linux777, лучше касперскому - быстрее ответ придёт :)
Зато я понял фишку, в письме только часть ключа (публичная) а приватная у того, кто вирус сделал.
http://sysadmins.ru/topic373124.html и принцип работы, как сказали на форуме каспесркого, он генерит рандом из 50 символов, вроде бы получается. но это уже отдельная песня. короче самому никак. И надо писать, все верно)
вот цитата с форума http://forum.kaspersky.com/index.php?showtopic=247777
text
Изучали вирус с участием сильного криптографа. Пароль генерируется рандомом из 50 символов с использованием вспомогательных символов. Подобрать пароль примерно так-же сложно как и расшифровать его. Второй(приватной) части ключа RSA1024 нет.
Учитывая существующие вычислительные мощности затея по расшифровке или подбору априори провальная.
В итоге пришлось заплатить. Выкладывать расшифровщик смысла нет, так-как при запуске с неправильным паролем(пароль для нашего ПК) файлы испортятся и их наврятли можно будет восстановить.
Linux777, лучше касперскому - быстрее ответ придёт ab
вот тут забавно - коммент убунту пох)) http://24warez.ru/main/article/computer/1157440032-chto-to-novenkoe-ftcode.html
так что да видать не катит в линуксе вирус.
ну, вообщем ладно, понятно, что надо делать в этом случае. Вывод ясен, тема раскрыта :)
Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web несколько зашифрованных файлов и, если есть, их не зашифрованные копии
*ROFL* *WALL* *YAHOO*
Интересно, какова вероятность такого?
bj bu bp
Интересно, какова вероятность такого?
ну, не знаю. Врядли юзерзвери делают бекапы своих файлов?? а вообще надо быть умным и не открывать вложения фиг знает от кого *WALL*
Там шифрование простое:
text
dd if=/dev/random of=/dev/sda bs=512[quote="karl_muenhgausen⇓"]bj bu bp
Интересно, какова вероятность такого?
ну, не знаю. Врядли юзерзвери делают бекапы своих файлов?? а вообще надо быть умным и не открывать вложения фиг знает от кого *WALL*[/quote]
Очень редко бэкапят и то, если в бизнесе по башке получили. Потому и использую в качестве офисной системы Линукс, чтобы не заморачиваться такими проблемами. Даже флэшки с рабочими файлами с чужой Винды сначала открываю в Линуксе, потом переношу в Винду. бо в сетях структур правительства Москвы авторан пасётся как бык на тучном пастбище. Виндой в интернет ни ногой, только официальные обновления.
На работе к одной из сотрудниц по e-mail пришло письмо от неизвестного адресата с поздравлениями и с вложенным архивом в письме....
ситуация знакомая. Аналогичная беда случилась года полтора назад с одной из сотрудниц окормляемой мною фирмы. Она получила письмо от якобы Сбербанка про кредит со вложенным ексельным файлом. Беда в том, что она как раз в это время кредит оформляла. И именно в Сбере. Ну и привычка виндовая работать (дома) с полномочиями админа. В результате гадость записала мерзость в планировщик заданий, чтобы запустить атакующий модуль при следующем логине юзера. Ну и через несколько часов были порушены все файлы данных (jpg, doc, pdf и так далее) до которых возможно было дотянуться. После чего мерзость самоликвидировалась. С обещанием восстановить, если денежку переведут.
Естественно было порушено так, что восстановить (расшифровав) было невозможно принципиально. Во всех порушенных файлах было затерто кодом FF первые 32 байта.
Словом, пришлось повозиться, чтобы хоть что-то поднять. Хорошо, что в основном там были побиты jpg. Так что потеряны оказались только данные EXIF.
Мерзкая ситуация. На расшифровку не надейся. Никто не станет твои файлы шифровать обратимо. Нет такой цели.
[quote="Wolfenberg⇓"]Linux777, не прокатит.
ну, я правильно понял, по твоему опыту, можно точно утверждать, что если я принудительно через почту открою в линуксе, убунте или другом дистрибутиве, ничего не будет. Т,е. не прокатит? спасибо, попробую. Как говориться. Предупреден, значит вооружен)[/quote]
Смотря что и чем открываешь. Если открываешь приаттаченнный DOC или XLS не средствами линуксовыми (тем же LibreOffice), а микрософтовским поделием (aka M$ Office), которое запускается в wine, то вирий злобный порушит то, что видит через этот wine. Поэтому не следует давать wine смотреть на корень и вообще, куда не надо ему смотреть для решения той или иной задачи. А вот прогуляться и погадить по документам, которые wine любезно офису подставит - пуркуа? Ну, в реестре тоже что либо останется.
Так что Linux не панацея, риски поражения есть. но вылечить систему от такой заразы тоже просто - грохнуть пораженный ~/.wine и развернуть его по новой (накатить из ранее сохраненного образа) дело недолгое.
Естественно было порушено так, что восстановить (расшифровав) было невозможно принципиально. Во всех порушенных файлав было затерто кодом FF первые 32 байта.
то есть нереально восстановить, даже если денежку перевести, как ты уже сказал ?
С обещанием восстановить, если денежку переведут.
вообщем, итого всего этого, что удалось спасти?
Мерзкая ситуация. На расшифровку не надейся. Никто не станет твои файлы шифровать обратимо. Нет такой цели.
а вот за это спасибо, если нет шансов их шифровать, тогда цель просто заработать на доверчивости граждан, и никто не будет их расшифровывать (ну я имею тот, кто прислал письмо такое, т.е. автор письма просто денег срубит, и не будет ничего делать)
Смотря что и чем открываешь.
ну, раз это архив, то zip открыть, там же архив был, или он сам распоковался, только я не видел что был в архиве, ну даже если какой-нибудь софт от Гейтса Билла, в LibreOffice открыть и почитать ничего не будет? как считаешь? ПРосто я формата не знаю, что было в том архиве..
скорей всего там были бинарник (экзешник, который себя сам прописал), ну также как это делается вручную при установке софта на винде. Я думаю так, а потом убил себя. такое тоже коллега пострадавшая сказала.
то вирий злобный порушит то, что видит через этот wine. Поэтому не следует давать wine смотреть на корень
ну, Значит да, через вайн порушит, через либру нет)
Так что Linux не панацея, риски поражения есть. но вылечить систему от такой заразы тоже просто - грохнуть пораженный ~/.wine и развернуть его по новой (накатить из ранее сохраненного образа) дело недолгое.
точняк)
[quote=Linux777]Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web несколько зашифрованных файлов и, если есть, их не зашифрованные копии
*ROFL* *WALL* *YAHOO*
Интересно, какова вероятность такого?[/quote]
Если это происходит в офисе, то не зашифрованная копия может быть у коллег или на samba-шаре.
Войдите или зарегистрируйтесь, чтобы ответить.
