1 Тема от DnsIs (изменено: DnsIs, 2015-07-13 13:22:10)

  • DnsIs
  • Участник
  • Неактивен

Тема: Зашифровал вирус файлы. Кто-нибудь может помочь?

Доброго дня всем.

Одна дама на работе запустила вирус.
Многие файлы зашифровались и получили расширение "sos1506@163.com_pOOCh5"
В папках образовались файлы "КАК_РАСШИФРОВАТЬ_ФАЙЛЫ"

В архиве:
тело вируса - 51469586.txt (изменено расширение в txt)
один из зашифрованных файлов - "Гель охлождающий с ментолом..docx.sos1506@163.com_pOOCh5"
Требование - КАК_РАСШИФРОВАТЬ_ФАЙЛЫ

http://rghost.ru/7XXs4H4lf
Пароль на архив virus

Может есть тут спецы по дизассемблированию?
Если есть у кого-нибудь аккаунт на Касперскоом или ДрВебе. Может составите запрос на расшифровку?

Спасибо.

Нас невозможно сбить с пути, нам пофигу куда идти.

2 Ответ от ypppu

  • ypppu
  • Разработчик
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

Пишут, что на сайте Касперского можно скачать несколько разновидностей программы-дешифратора. Думаю, шансов мало.

Правила  Поиск  Русский язык  Слова-паразиты
AHK: [ENG] [RUS]

3 Ответ от DnsIs

  • DnsIs
  • Участник
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

Пробовал, ничего не помогает. В virtualbox-е установил windows, вирь не отрабатывает. Создает в рядом с собой файл encfiles.txt в котором просто перечисление каких то файлов. Ээээх.

Нас невозможно сбить с пути, нам пофигу куда идти.

4 Ответ от ypppu (изменено: ypppu, 2015-07-13 19:17:31)

  • ypppu
  • Разработчик
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

DnsIs пишет:

Одна дама на работе запустила вирус.

"Как же вы допустили?!"
Много ли файлов важных пострадало?
А как же политики ограничения запуска приложений?

Добавлено: Напрягает то, что на сайтах антивирусов предлагают помощь в расшифровке.

Правила  Поиск  Русский язык  Слова-паразиты
AHK: [ENG] [RUS]

5 Ответ от ypppu

  • ypppu
  • Разработчик
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

Ещё такая мысль... Связаться со злоумышленниками и убедиться в том, что дешифратор существует и работает. Затем обратиться в Киви и в милицию, рассказать о вредоносном ПО. Возможно, у них есть механизм, позволяющий отправить вымогателям деньги, а после получения дешифратора заморозить их. Или задержать человека при обналичивании.

Правила  Поиск  Русский язык  Слова-паразиты
AHK: [ENG] [RUS]

6 Ответ от DnsIs

  • DnsIs
  • Участник
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

Дама работает не в нашей организации, а в соседней. ей просто было больше не к кому обратиться.
Дешифратор действительно существует. Я отправлял злоумышленникам файл, они вернули оригинал.
Думаю, что сделка состоится. И по мне, так сумма в 5000 не такая уж и большая для восстановления очень важных файлов. Хотя конечно - зло разбирает и очень обидно, от того, что людей разводят как только могут.
А оплату они хотят не простым переводом денег. Они просят выпустить ваучер (или как он у низ там называется) до востребования. И этот механизм может и не отслеживаться, хотя... В общем не знаю. Пойду напишу в службу поддержки qiwi.

Спасибо всем.

Нас невозможно сбить с пути, нам пофигу куда идти.

7 Ответ от Xameleon

  • Xameleon
  • Разработчик
  • Неактивен

Re: Зашифровал вирус файлы. Кто-нибудь может помочь?

http://support.kaspersky.ru/viruses/dis … 556#block1

А это уже тоже пробовали ? Там просят взять файл зашифрованного пароля из %APPDATA%
(видел, что тема дешифрации уже обсуждалась, но не знаю - пробовали ли вы дешифрацию с этим файлом)

ВАЖНО: Trojan-Ransom.Win32.Rakhni создает файл exit.hhr.oshit, в котором в зашифрованном виде содержится пароль от файлов пользователя. Если на зараженном компьютере сохранился этот файл, то расшифровка файлов при помощи утилиты RakhniDecryptor будет значительно быстрее. Если же файл exit.hhr.oshit был удален, то его возможно восстановить при помощи программ восстановления удаленных файлов, затем поместить его в %APPDATA% и заново запустить проверку утилитой. Файл exit.hhr.oshit можно найти по следующему пути:

Windows XP: C:\Documents and Settings\<имя_пользователя>\Application Data
Windows 7/8: C:\Users\<имя_пользователя>\AppData\Roaming

Передумал переделывать мир. Пашет и так, ну и ладно. Сделаю лучше свой !