Слабое место вирусов шифровальщиков - это каталог C:\Windows
Они его не шифруют, т.к. в этом нет смысла, иначе винда не смогла бы загружаться и невозможно было бы вымогать деньги.
Так что самое важное можно хранить в C:\Windows
Проверено на личном печальном опыте, благо это была виртуалка.
Не могу выложить скрин переписки с другом, поэтому напишу текст
Д. Привет
Я. Привет
Д.Тебя и знакомых поздравительными открытками не радовали ?
Я. Нет, открытки никто не получал.
Д. До бэшек уже вроде руки дотягивали, вэщек хз
Я. Я в этом не шарю. Поэтому не знаю. Но мне ничего не пришло.
Д. Ты же в параллели "в" в школе учился ?
Я. Я и в Г учился 😁
Д.А так по знакомым, сильно "проредели", я про грядки. Точнее про похищение людей НЛО.
кто понял о чем он? К слову, когда это все началось, он улетел в другую страну и удалился из всех соц.сетей. в одной только есть и выходит раз в неделю.
Сегодня с утра написал мне знакомый Андрей (имя изменено) с проблемой такого плана:
- Ситуация: на сервер вирус залетел, всё перекодировал, есть возможность раскодировать?
И, конечно же, себя не заставил ждать сам вымогатель и написал в телеграмм под ником KeySeller и показал скриншоты серверов. Там мы узнали, что он создал пользователя ravenrestore@yandex.com и получил доступ с правами загрузки файлов на сервер. Дальше он запустил троян семейства Ransomware и зашифровал все документы.
Затем вымогатель написал: Pay me 3000$ in bitcoin.
Порядок действий в данной ситуации:
1. Ни при каких обстоятельствах не платить вымогателю. Файлы вы не восстановите, а вот свою платежеспособность докажете. Вам никто ничего не расшифрует и доступ не вернет, а скорей всего попросят еще денег.
2. Постарайтесь быть вежливым и участливым с вымогателем и постарайтесь выяснить у него как можно больше фактов:
- откуда он, в какой стране живет;
- работает ли он в команде;
- как часто они так зарабатывают и сколько сейчас у них в обороте;
- чем он так круто вам зашифровал сервер и файлы (обязательно похвалите его за труд);
- узнайте пользуется ли он платежными сервисами ибо вы далеки от крипты;
- узнайте его почту или его личный сайт, спросите про github и так далее;
- созвонитесь и попробуйте распознать акцент (русский, индус, американец или др.)
Если вы были достаточно общительны (как мы) то вы сможете узнать, что это простой парень с юга США, который только начал свой путь с вирусами, что троян он использовал Trojan.Encoder.33749, который, по его словам, мега крутой. Также, он нам рассказал что ему не 3000 долларов надо, а хватит и 500 долларов для начала. Возможно, это все вранье, но это лучше чем вообще ничего не знать. Так мы проверить сможем его информацию и попробовать стандартные приемы из п.3
Кроме того мы узнали что он сменил некоторые пароли, через которые проник на сервер, но доступ к файлам и дискам у нас остался - значит он не супер-админ все таки доступ получил, а была утечка от одного из пользователей общего софта.
Может быть можно было бы и вообще договориться на бесплатную расшифровку файлов и пригласить его в Россию, но переговоры в процессе.
3. Если вы выполните п.2 то у вас будет достаточно информации для действий и поиска решения. И дальше идем так:
- берем файл, который зашифрован "Документ_xltID=JcrnNn_Mail=Rav.bzvC" и копируем хвост - вставляем в поисковик (любой поисковик, а лучше все попробовать)
Скорей всего поисковик найдет вам сайт по маске [ID=<xxxxxx>-Mail=<email>].<xxxx> - так мы узнали, что за семейство шифраторов использовано.
На этом же сайте нам показаны решения от популярных антивирусных компаний
Название статьи: Шифровальщики-вымогателиThe Digest "Crypto-Ransomware"
DrWeb -> Trojan.Encoder.33774
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win64/Filecoder.DJ
Kaspersky -> Trojan-Ransom.Win32.Blocker.mwat
Kingsoft -> Win32.Troj.Undef.(kcloud)
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Ymacco.AA88
Qihoo-360 -> Win64/Trojan.Generic.HgEASR4A
Rising -> Ransom.Blocker!8.12A (CLOUD)
Symantec -> Trojan.Gen.MBT
TrendMicro -> TROJ_GEN.R002H09D121
4. Переходим на официальные (ОФИЦИАЛЬНЫЕ!) сайты антивирусных компаний и пишем в саппорт о своей проблеме - можно еще и свой файл скинуть. Еще можно прям у них на сайте скачать дешифровщики.
Вот такой путь бесплатного и быстрого способа что-то решить с этой проблемой.
P.S. Проблему не решили, файлы так и зашифрованы. Подняли защищенный сервер с бэкапом и просто решили жить дальше. К сожалению только так. Happy End не получилось.
а мне вчера странное сообщение пришло в ватсапп. сам факт спама не удивил. удивил диалог. хотел угорнуть и сказать что я из Уругвая. но чел быстро слился.
после вопроса про Асада даже не прочитал, а после вопроса "россия победила" сообщение даже не доставлено. ЧВК меня позоже опередило. интересно, можно ли через такие сообщения какой нить вредонос себе занести?
Сегодня утром у Wildberries случился сбой. В компании сообщили, что работают над устранением «технических ошибок».
Однако некоторые анонимные источники сообщают, что всё гораздо хуже — Wildberries мог стать жертвой взлома и атаки вирусом-шифровальщиком хакерской группировки OldGremlin. Именно поэтому администрация не может восстановить полноценную работу сайта вот уже 10 часов.
Ранее в понедельник Wildberries уведомил своих пользователей об ошибках в работе своих сервисов. При этом в сообщении компании подчеркивалось, что трудности носят сугубо технический характер, над их исправлением уже работают.
Клиенты пожаловались, что из личного кабинета пропала информация обо всех покупках, а оформить заказы невозможно. Согласно данным сервиса Downdetector, 49% пользователей зафиксировали проблемы с доступом в приложение, у 40% есть трудности с отслеживанием заказа, у 11% есть сложности с веб-сайтом.
Совсем ебанулись в рабочие машины всякий мусор пихать? Про Петю уже все забыли? Еще и на производственное оборудование... Нет слов, бля...
ВСЁ ЗАБЫЛИ?
Прошу поделиться опытом кто сталкивался с подобной проблемой.Смысл,последний бэкап баз оказался весьма дальним( Да,да да...шутки про тех кто делает и УЖЕ делает бэкап приветствуются.).Ясен пень что оплата вымогателям ни чего не гарантирует.Можно ли как то дешифровать базы услугами сторонних умельцев или это всё развод и без официального ключа дешифровать базы ни как.Всем спасибо за внимание.
