Внимание вирус

[Plasticcardman]

Коллеги, форумчане. Нужна помощь. Это же и предупреждение.

Пришло письмо от контрагента о грядущей у него налоговой проверке. Контрагент мне знаком, подозрения не вызывает. Текст письма


"C 24 июля в нашей компании будет проходить налог.проверка.
Копии отдельных док-в, которые относятся нашему сотрудничеству, были утеряны.
По возм., проверьте их наличие док-в по списку -- в приложении"

На беглый взгляд все понятно и ни каких подозрений. Открываю архив, антивирус успел ругнуться и кого-то заблокировать. В архиве файл типа текстового. Ну я продолжил работать, файл этот не открывал. Через минут 15 сам по себе открывается тхт файл с инструкциями:


Здравствуйте. Ваши файлы были ЗАБЛОКИРОВАНЫ при помощи алгоритма RSA-1024

1. Это инструкция, которая поможет понять и решить Вашу проблему

2. Для решения данной проблемы нужно объединить наши общие ресурсы:

Наши ресурсы:
- Только мы можем разблокировать файлы
- У нас есть гарантии того, что после оплаты будет передан Ваш уникальный ключ для разблокировки
- Мы можем минимизировать Ваши риски как до оплаты, так и после
- Мы можем предоставить те консультации, которые минимизируют подобные случаи в будущем

Ваши ресурсы:
- электронная валюта
- e-mail

3. У Вас есть два варианта:
а) Форматировать диски и вернуть 0% файлов - неразумно
б) Скоммуницировать с нами, договориться за разблокировку и вернуть все файлы обратно - вполне правильно
в) Почта paycrypt@gmail.com


Для системных администраторов:

1. Одной из гарантий того, что файлы могут быть дешифрованы, есть наличие дешифратора у Вас.
Поищите на компьютере архив DECODE.zip. Внутри дешифратор с открытым исходным кодом. Попробуйте запустите его.
Вам напишет, что ключ не найден. Вот он Вам и нужен - Приватный ключ (длина 1024 бита).

2. Ваш случай - ассиметричное шифрование RSA-1024, используется в военной сфере. Подобрать/взломать его невозможно.
При шифровании, в разные места компьютера был скопирован специальный ID-файл 'KEY.PRIVATE'. Не потеряйте его!
Для каждого компьютера ID-файл создается новый. Он уникальный и в нём содержится код на дешифровку. Он Вам и нужен.
"Временно заблокированы" означает, что файлы побайтово модифицированы публичным 1024 битным RSA ключем.

3. Итак, наши с Вами следующие действия:

3.1. С нами связь держать можно только по электронной почте paycrypt@gmail.com
3.2. В начале Вам необходимо получить гаранти того, что мы можем расшифровать файлы
3.2. Контактируете с нами. Структура Вашего e-mail письма:
- вложение Вашего ID-файла 'KEY.PRIVATE' (!!) - поищите его на компьютере, без него восстановление невозможно
- 1-2 зашифрованных файла для проверки возможности расшифровки
- приблизительное колл-во зашифрованных файлов / компьютеров
3.3. В течение 1-го часа Вы получите гарантию и стоимость на Ваш ключ
3.4. Далее производится оплата, минимальная стоимость от 150 евро.
3.5. Мы отправляем Вам ключ, Вы его кладете в одну папку с дешифратором (DECODE.exe)
3.6. При запуске дешифратора производится скрытая дешифровка данных. Процесс запускать более 1-го раза не стоит.
3.7. Процесс дешифрования может занимать до 12-ти часов в скрытом режиме. По окончании процесса компьютер перезагрузится.

Советы:

1) После приобретения ключа, сделайте копию всех важных зашифрованных файлов на внешние носители.
2) В процессе дешифрования желательно не трогать компьютер, (!) ДВА раза запускать с ключем дешифратор не нужно.
3) Если думаете, что вместо дешифратора Вы получите очередной вирус, тогда поставьте вирт.систему и там проведите дешифровку.
4) Если какие-то файлы не будут окончательно расшифрованы, мы дорасшифруем вручную (в архиве по почте)
5) Мы также, осознаем то, что Ваши файлы могут быть очень ценны для Вас, поэтому мы понимаем важность их восстановления.
6) В особых случаях, мы пойдем с Вами на компромисс.
7) Как защититься от этого: еженедельное резервное копирование. Не открывайте подозрительные файлы. Используйте Unix системы.
BLOCK DATE: 15.07.2014 / 09:46

Я ать в папки, а там пиз*ец полный. Все файлы с расширением paycrypt@gmail.com

Курю интернет в поисках лечения. Если кто сталкивался, помогите.
А так имейте в виду, что письмо от вашего контрагента (в том числе и меня полагаю) с темой налоговой проверки или просьбы внести изменения в реквизиты может быть заражено этим говном.

[voron_76]

Сообщение от White Wolf

Разница есть.

Разницы нет. В одном случае успешнее будет один антивирь, в другом - другой.

[Andruss]

White Wolf, не на каждый. Первый день после установки - да. Потом реже)))

[White Wolf]

Сообщение от voron_76

Andruss, White Wolf, Pitlord, во всех антивирях есть дыры. И если кто-то хочет сделать по-настоящему успешную заразу, он тестирует её на всех популярных софтинах и ищет пути их обхода. И, как правило, находит. Так что любой антивирус - не панацея, скорее, наоборот: пользователь считает, что ему ничего не грозит, и начинает делать глупости.
Несколько лет назад на одном форуме была подобная атака: прошла массовая рассылка с архивом, в котором был троян, ворующий деньги с кошелька Вебмани. Прилетело крепко всем независимо от установленного антивируса. На момент атаки Вирустотал не детектировал эту заразу ни одним из 40 антивирусов.

Есть свята троица. Антивирус+Фаервол+Адекватный юзер(Смотри, читай, не понял ещё раз прочитай, не надо нажми х, не помогшло? выдерни вилку из розетки)

PS Мне про дыры не надо рассказывать.

[Pitlord]

Сообщение от Andruss

При попытке запустить какое-то приложение он интересовался, а, действительно ли я хочу его запустить?

это не для ламеров. Ну спросил бы он, запускать архив exe или нет, думаете, Plasticcardman, выбрал бы "не запускать readme.exe"? Тем более, пришло от "проверенного человека".

[Pitlord]

Сообщение от voron_76

он тестирует её на всех популярных софтинах и ищет пути их обхода.

так этой хрене уже 2 года минимум.

[White Wolf]

Сообщение от voron_76

Разницы нет. В одном случае успешнее будет один антивирь, в другом - другой.

Тут согласен. Но разница есть. Одни только называются. Другие вроде нормально, но их нужно заставить, по умолчанию после установки там всё отключено. Третьи находят всё что угодно, только не там где это на самом деле есть.

[Andruss]

Pitlord, там при запуске архиватора запускается какой-нить ексешник и как раз его можно пофиксить

[White Wolf]

Сообщение от Pitlord

это не для ламеров. Ну спросил бы он, запускать архив exe или нет, думаете, Plasticcardman, выбрал бы "не запускать readme.exe"? Тем более, пришло от "проверенного человека".

ЗЫ ну вообще, как бы не проходят в нормальных условиях екзешники, комы и баты. Судя по всему человек даже не пользуется почтовиком, тот же БАТ например. А лезет каждый раз на сервер почты.

[Pitlord]

да я б тоже зип распаковал, если бы от знакомого пришло, но только не двойным кликом, может. И тут вся надежда уже на антивирь. Вот и плати потом за программы.

[White Wolf]

Сообщение от Andruss

White Wolf, не на каждый. Первый день после установки - да. Потом реже)))

Реже по мере обучения. Если сам по себе, наф в топку этого пожирателя ресурсов.

PS Примерно пару недель сидишь дерганный и психованный, работать почти невожно. После месяца уже не особо отвлекает или просто привыкаешь.

[White Wolf]

Сообщение от Pitlord

а что за авира ещё какая-то? Тоже типа аваста? Чем вам не нравится касперский, например, или нод? Проверенные антивирусники, нет, нужны эксперименты.

Это Авст ещё какой то. Авира это прога от немцев, очень даже неплохая. Единственно что они хреново сделали это когда срезали все старые базы в бесплатной версии 9. С тех пор только про версию юзаю. Против Каспера ничего не имею против, НОД версия от версии непредсказуемо(то пустышка, то ловит нормально. По этому перешёл в итоге на авиру).

100% антивируса нет и не будет ибо сначала вирус, потом антивирус. Нужно выбирать золотую середину по тестам, иногда на собственной шкуре.

[voron_76]

Ребят, вы бы хоть посмотрели файл прежде чем говорить про "двойные клики". В архиве - *.js. никаких "readme.exe" там нет.

[октябрята с струйником]

Это на самом деле так, что вложение было с расширением zip ?

[Pitlord]

ну надо было тогда скрипт этот запустить, чтобы сработало? А может просто не отображается расширение файлов? он и кликнул, думая, что это текстовый файл

[voron_76]

Сообщение от Pitlord

так этой хрене уже 2 года минимум.

Какой хрене? Классу троянов, которые шифруют файлы RSA? Возможно. Вот этой конкретной, которая пришла ТС? Не факт. Принцип работы одинаковый, реализация может быть совершенно другой.

[voron_76]

Сообщение от Pitlord

ну надо было тогда скрипт этот запустить, чтобы сработало?

Не факт. Браузер мог запустить и автоматом.

[Nikit0s]

Бэкап и еще раз бэкап, причем желательно в облаках.
По-другому наверное никак не защититься "от всего"
Советую тем у кого объемы небольшие -- присмотреться к Amazon Glacier.
http://ru.wikipedia.org/wiki/Amazon_Glacier
100-120 долларов за терабайт хранения в ГОД.
При цене настоящего надежного серверного винта на 4 ТБ около 300 долларов -- вполне адекватная цена за хранение, как мне кажется.

Частота закачек архивов в их облако -- я так понял что любая и бесплатно.
А вот за выгрузку (буде таки понадобится восстановиться из бэкапа) -- денег возьмут прилично, похоже
Глобально еще сам не тестировал этот сервис, но по мелочи вроде работает вполне нормально.
Удобно что у них есть прога для работы на накопителях Synology, то есть при желании можно автоматизировать резервирование всех данных самим накопителем, без участия человека.

[White Wolf]

Сообщение от Nikit0s

Бэкап и еще раз бэкап, причем желательно в облаках.
По-другому наверное никак не защититься "от всего"
Советую тем у кого объемы небольшие -- присмотреться к Amazon Glacier.
http://ru.wikipedia.org/wiki/Amazon_Glacier
100-120 долларов за терабайт хранения в ГОД.
При цене настоящего надежного серверного винта на 4 ТБ около 300 долларов -- вполне адекватная цена за хранение, как мне кажется.

Частота закачек архивов в их облако -- я так понял что любая и бесплатно.
А вот за выгрузку (буде таки понадобится восстановиться из бэкапа) -- денег возьмут прилично, похоже
Глобально еще сам не тестировал этот сервис, но по мелочи вроде работает вполне нормально.
Удобно что у них есть прога для работы на накопителях Synology, то есть при желании можно автоматизировать резервирование всех данных самим накопителем, без участия человека.

Бэкап да, но уж явно не такой. И не для решения побных задач.

[voron_76]

Сообщение от Nikit0s

Удобно что у них есть прога для работы на накопителях Synology, то есть при желании можно автоматизировать резервирование всех данных самим накопителем, без участия человека.

И в один прекрасный день обнаружить, что очередная версия шифровальщика, проявляющаяся не через 15 минут, а через 15 часов, сделала своё подлое дело аккурат перед бэкапом. И теперь в облаке - только зашифрованные файлы.

[Andruss]

Nikit0s, существует много разных способов сходить с ума