Внимание вирус

[Plasticcardman]

Коллеги, форумчане. Нужна помощь. Это же и предупреждение.

Пришло письмо от контрагента о грядущей у него налоговой проверке. Контрагент мне знаком, подозрения не вызывает. Текст письма


"C 24 июля в нашей компании будет проходить налог.проверка.
Копии отдельных док-в, которые относятся нашему сотрудничеству, были утеряны.
По возм., проверьте их наличие док-в по списку -- в приложении"

На беглый взгляд все понятно и ни каких подозрений. Открываю архив, антивирус успел ругнуться и кого-то заблокировать. В архиве файл типа текстового. Ну я продолжил работать, файл этот не открывал. Через минут 15 сам по себе открывается тхт файл с инструкциями:


Здравствуйте. Ваши файлы были ЗАБЛОКИРОВАНЫ при помощи алгоритма RSA-1024

1. Это инструкция, которая поможет понять и решить Вашу проблему

2. Для решения данной проблемы нужно объединить наши общие ресурсы:

Наши ресурсы:
- Только мы можем разблокировать файлы
- У нас есть гарантии того, что после оплаты будет передан Ваш уникальный ключ для разблокировки
- Мы можем минимизировать Ваши риски как до оплаты, так и после
- Мы можем предоставить те консультации, которые минимизируют подобные случаи в будущем

Ваши ресурсы:
- электронная валюта
- e-mail

3. У Вас есть два варианта:
а) Форматировать диски и вернуть 0% файлов - неразумно
б) Скоммуницировать с нами, договориться за разблокировку и вернуть все файлы обратно - вполне правильно
в) Почта paycrypt@gmail.com


Для системных администраторов:

1. Одной из гарантий того, что файлы могут быть дешифрованы, есть наличие дешифратора у Вас.
Поищите на компьютере архив DECODE.zip. Внутри дешифратор с открытым исходным кодом. Попробуйте запустите его.
Вам напишет, что ключ не найден. Вот он Вам и нужен - Приватный ключ (длина 1024 бита).

2. Ваш случай - ассиметричное шифрование RSA-1024, используется в военной сфере. Подобрать/взломать его невозможно.
При шифровании, в разные места компьютера был скопирован специальный ID-файл 'KEY.PRIVATE'. Не потеряйте его!
Для каждого компьютера ID-файл создается новый. Он уникальный и в нём содержится код на дешифровку. Он Вам и нужен.
"Временно заблокированы" означает, что файлы побайтово модифицированы публичным 1024 битным RSA ключем.

3. Итак, наши с Вами следующие действия:

3.1. С нами связь держать можно только по электронной почте paycrypt@gmail.com
3.2. В начале Вам необходимо получить гаранти того, что мы можем расшифровать файлы
3.2. Контактируете с нами. Структура Вашего e-mail письма:
- вложение Вашего ID-файла 'KEY.PRIVATE' (!!) - поищите его на компьютере, без него восстановление невозможно
- 1-2 зашифрованных файла для проверки возможности расшифровки
- приблизительное колл-во зашифрованных файлов / компьютеров
3.3. В течение 1-го часа Вы получите гарантию и стоимость на Ваш ключ
3.4. Далее производится оплата, минимальная стоимость от 150 евро.
3.5. Мы отправляем Вам ключ, Вы его кладете в одну папку с дешифратором (DECODE.exe)
3.6. При запуске дешифратора производится скрытая дешифровка данных. Процесс запускать более 1-го раза не стоит.
3.7. Процесс дешифрования может занимать до 12-ти часов в скрытом режиме. По окончании процесса компьютер перезагрузится.

Советы:

1) После приобретения ключа, сделайте копию всех важных зашифрованных файлов на внешние носители.
2) В процессе дешифрования желательно не трогать компьютер, (!) ДВА раза запускать с ключем дешифратор не нужно.
3) Если думаете, что вместо дешифратора Вы получите очередной вирус, тогда поставьте вирт.систему и там проведите дешифровку.
4) Если какие-то файлы не будут окончательно расшифрованы, мы дорасшифруем вручную (в архиве по почте)
5) Мы также, осознаем то, что Ваши файлы могут быть очень ценны для Вас, поэтому мы понимаем важность их восстановления.
6) В особых случаях, мы пойдем с Вами на компромисс.
7) Как защититься от этого: еженедельное резервное копирование. Не открывайте подозрительные файлы. Используйте Unix системы.
BLOCK DATE: 15.07.2014 / 09:46

Я ать в папки, а там пиз*ец полный. Все файлы с расширением paycrypt@gmail.com

Курю интернет в поисках лечения. Если кто сталкивался, помогите.
А так имейте в виду, что письмо от вашего контрагента (в том числе и меня полагаю) с темой налоговой проверки или просьбы внести изменения в реквизиты может быть заражено этим говном.

[Chernov]

а???ть...

[Plasticcardman]

Сообщение от Chernov

а???ть...

Да ????ец! Чем больше двигаюсь по компу -файлы, папки, тем больше их заражается.

[MaxMaster]

Plasticcardman, спасибо за предупреждение.
Ну и удачи в лечении.
Помню поймал вирус пенетратор - это был полный здец.

[Chernov]

MaxMaster, да да да, я тогда много чего потерял...

[bubapb]

Plasticcardman выкл комп, и в сейф моде, а лучше в ливцд грузись, смотри что можно стянуть с винта, а уже потом разбиратся что про...л.

http://forum.kaspersky.com/index.php?showtopic=296933

эта пакость грызет PDF, Word, JPEG

[7th.Guest]

уже пол страны под эту канитель влетела. знакомые в башкирии отстегнули 70 тр
в нефтеюганске 150 тр. когда их по убивают уже всех наконец

[bubapb]

http://forum.kaspersky.com/lofiversi...p/t298092.html

[Pitlord]

а какой архив был, самораспаковывающийся?

[Калибр]

Я отправлял файл в лабороторию dr.web через несколько дней программку скинули. дешифратор.

[Plasticcardman]

Сообщение от bubapb

http://forum.kaspersky.com/lofiversi...p/t298092.html

Пугает, что на всех форумах ответ один "Без шансов".

[Пухман]

вот по этому я письма смотрю только в броузере... и не закачиваю ... нахмне не надо такое счастье.. по сути - делайте формат диска и после него восстанавливайте инфу програмными методами - не так сложно но муторно и время надо много...

пысы: у меня одного сложилось впеччатление развода? это как - шифрует быстро а дешифрует до 12 часов??? чейта тут не то...

[Plasticcardman]

Мне объявили цену 490эвро. Бля.

[voron_76]

Сообщение от Пухман

вот по этому я письма смотрю только в броузере... и не закачиваю ... нахмне не надо такое счастье.. по сути - делайте формат диска и после него восстанавливайте инфу програмными методами - не так сложно но муторно и время надо много...

Что там восстанавливать-то? Зашифрованные файлы? Так они на месте.

[voron_76]

Plasticcardman, НЕМЕДЛЕННО выключайте компьютер и даже не думайте включать. Ни в сейф-моде, никак. И не пытайтесь ничего сделать сами. С другого компа смотрите на сайтах/форумах антивирусных контор, связывайтесь с ними - к старым версиям дешифраторы были, возможно, и к этой есть.
Но в первую очередь - никаких манипуляций с заражённым компом.

P.S. Если можно, скиньте архив на мыло - поковыряюсь.

[Пухман]

я не помню как прога называется, но восстанавливает на ур-не разделов ХДД. можно восстановить до заражения. я так мамке утер дисер докторский... неделю сидел думал как восстановить - откапал прогу - восстановил свои первые файлы даже... главное лоуформат не делать - тогда сложнее, но тоже можно... я ж говорю - геморно, но можно)

[Пухман]

могу дома глянуть - лежит вроде на винте

[voron_76]

Сообщение от Пухман

я не помню как прога называется, но восстанавливает на ур-не разделов ХДД. можно восстановить до заражения. я так мамке утер дисер докторский... неделю сидел думал как восстановить - откапал прогу - восстановил свои первые файлы даже... главное лоуформат не делать - тогда сложнее, но тоже можно... я ж говорю - геморно, но можно)

Смотря как пишутся зашифрованные файлы. Если поверх рабочих (в те же сектора) - хрен там что восстановишь.

[Пухман]

я ж говорю - восстановил даже первые разделы на винте(2000х годов)

[voron_76]

http://forum.drweb.com/index.php?showtopic=313687 - здесь описание подобной проблемы и лечащая утилита. Не факт, что подойдёт к этой версии, но вдруг.