TR/Crypt.XPACK.Gen3 - гадост и зараза

[Wizi]

Това е ransom вирусче влезнало в компютър, видяло кои файлове се използват най-често и ги е криптирало супер успешно като и ги е преименувал:

 

 

Искат 3 биткойна да ги отключат обратно, но четох и за случаи където искали и доста повече явно преценили поради по-чувствителната информация, която успели да криптират.

 

 

Някакви идеи дали това може да се декриптира успешно или по-скоро не? Важно уточнение е, че машината е стара и търкаля Windows XP, което ни лишава от възможността да търсим shadow копия на файловете

 

Вирусът е премахнат успешно, това поне беше лесно. Останаха файловте

 

И също така да попитам по-разбиращите: това благодарение на NTFS файловата система ли е станало възможно? Дали примерно ако бяха качени на облак (dropbox, owncloud, onedrive, etc.) това би спестило нервите? Там ако не друго държи по няколко версии на файловете, които се променят и може би щяха да са лесни за възстановяване, но се питам генерално дали файловата система е позволила или чисто и просто самият вирус си е свършил работата, без значение от всичко останало.

[zlobil]

няма да може да се въстанови без да платите, четох за доста такива случаи напоследък....

[sky]

XP има за връщане назад. Виж дали е било включено да прави бекъпи и само това може да ти помогне.

[martinich]

Mда и ние в офиса изгоряхме с такава гадост. Загубихме файловете.

[zlobil]

Съмнява ме да може да ти зарази и cloud backup-а.

 

 

пс : тва е най-добре монетизираният вирус, много добре е измислен продавах наскоро на приятел биткойни че и те го бяха закъсали, на тях обаче им искаха повече, сигурно щото им беше налазил цялата мрежа  

Редактирано 30 Октомври 2015 от zlobil

[nytro]

Ще ти зарази каквото имаш по локални и мапнати дискове и е с определени разширения . Дали ще е в облак или в пясъчна дюна, все тая.

[grizzly]

Интересно е как е влязъл вируса. Един приятел каза че три пъти плащат биткойни поради зараза в техния офис.

[Wizi]

Ще ти зарази каквото имаш по локални и мапнати дискове и е с определени разширения . Дали ще е в облак или в пясъчна дюна, все тая.

 

 

Ако не друго на Облака почти сигурно ще ти пази повече от едно копие на файловете, което ще ти разреши проблема генерално.

 

Твърде малко хора си дават сметка колко мизерно е да ползваш Windows единствено през администраторски акаунт

[TiL]

Тука от една държавна служба ме търсиха по този повод. Как ли не пробвах да чупя криптацията... не стана. На самата машина имаше файлове в които имаше информация за плащане. Та въпросната гадина беше свалена през браузъра, най-вероятночрез изкачащ прозорец и автоматично сваляне. Единствения сигурен носител е този който не позволява промяна на файловете. Та файловете ги прежали, защото срещнах инфо, че има случаи в които е платено, но информацията не е декриптирана.

[grizzly]

Пази Боже май ще се окаже защитата. Или Sandbox?

[TiL]

Периодично си бичиш важната информация на двд дискове и на гадината и оставяш само мп3-ките които между другото не ще да ги криптира. Не знам дали вече някои антивирусни не са му намерили цаката. Имаше фиксове за някои вируси с които успешно се декриптираше информацията. Та най-важно е да внимаваш какво правиш, че нито ограничени акаунти ще ти помогнат, нито па "защитени" контейнери.

[grizzly]

Бахти злото ще дойде това. Сериозно се притесних като знам нивото на сигурност на колегите. Дори и моето.

Благодаря за споделената информация.

[TiL]

Хубавото е че не се разпространява по локалната мрежа, поне тези за които ми е известно.

[zlobil]

На тоя приятел на който продавах биткойни им беше налазил цялата мрежа....та явно не е само локално.

Наскоро четох че е генерирал над 300млн $$ откакто е в действие.

[Brazer]

В офиса го ядохме същия.Добре,че беше върху машина с win 7 , та спасих информацията. Последва формат и преинсталация.

Искаха 4 биткойна "откуп"...

[PESHO OT MARS]

Знам за достатъчно случаи в които плащането не е довело до декриптиране. Стария офис го бяхме гризнали дръвцето а тамън от 2 месеца бяхме минали от хартия на файлове за разни протоколи за извършени дейности. Та възстановиха всичко от хартията и забравихме да се кълнем в дисковете и т.н. 

[ivan_stz]

Здравейте, 

въпросната "гадина" е много "весела"  за този който зарази. Може да прозвучи като реклама, но на Eset май го хващала антивирусната ( в настройките на нея в секцията HIPS има допълнителна отметка "Enable Exploit Blocker". 

В интерес на истината не съм го виждал на машина с Eset (виждал съм с  MSSE, Avast и AVG). Относно информация има частичен успех с възстановяване на файлове от повреден дял. Стартира се през Hiren примерно Mini WIndows XP ili 7, после на от менюто Rocovery -> Data Recovery Wizard или  MiniTool Power Data Recovery. Успява да "извадят" успешно снимки и частично документи от всякакъв характер и повечето се отварят успешно.

Относно плащането.... според мен освен да се разделите с доволна сума пари няма да се постигнат очакваните резултати. Знам за няколко случая с платено и насреща.... Чаша студена вода.

Редактирано 8 Ноември 2015 от ivan_stz

[Brazer]

Е, аз знам как мой познат преди може би 4 години отиде от София до Калафат , да плати "откупа" във формата на ваучер.Същите тези числа се вписваха като ключ в криптовируса и информацията се спаси.

Редактирано 8 Ноември 2015 от Brazer

[Smokie]

Нямат интерес схемата с откупа да не работи. Ако сваленото файлче не декриптира всичко се копира в директорията, където все още има криптирани файлове и се стартира от там.

От цялата работа най-трудно е да се купят бит койни.

[zlobil]

Общо взето е елементарно.

Да не се налага но - rgcoins.com

оффтопик : нема ли някой да го пусне в НАП/КАТ

Редактирано 8 Ноември 2015 от zlobil

[netizen]

Тоя вирус май направи година от как го има. Много хора изпищяха. Много платиха и нищо не се отключи. Доста нас-ове се продадоха покрай вируса. Криптира шернати устройства успешно.

Sent from my iPhone using Tapatalk

[Wizi]

Значи облачна платформа, която винаги пази и някоя друга версия на файловете остава от малкото смислени алтернативи на спасение или греша?

[zlobil]

според мен е невъзможно да налази облака.

[Wizi]

Облакът просто ще копира новите преименувани и криптирани файлове, но всеки облак (до колкото поне аз знам) пази по няколко версии назад на файловете и така лесно ще можеш да си възстановиш изгубеното. Сега специално проверих моя безплатен ownCloud какво пази назад във времето и това е пре-пре-достатъчно, та какво остава за всички останали платени услуги.

[Smokie]

Инкрементални бекъпи също вършат работа, а не заемат много място.

Свободни решения бол...