ВНИМАНИЕ: Вирус шифровальщик данных на базе RSA-1024 : Windows

Всё же очень похоже, что по какой-то причине вирь не успел зашифровать файлы..

Мы пару раз с таким (подобным) сталкивались ...
расширение файлов не причём было: внутри всё через мясорубку было пропущено :(

Тоже, пару раз видел. Из последнего: были файлы с нормальным именем и расширением, и тут же лежали файлы с нормальным именем и кривым расширением (и внутри файла бардак был). Создалось впечатление, что файлы зашифровал, положил рядом с оригиналом, а вот оригинал не удалил (возможно, не успел удалить). Данные не потеряли. Затронуты были jpg, doc, xls ну может еще что, не помню.

Предварительный отчет - с компа жертвы.
Вчера пришел архив якобы с счетом на оплату, после распаковки, открылся текстовый документ с заголовком PAYCRYPT.
в тот же момент в файлах (фото, документы) появилось доп расширение .PAYCRYPT_gmail_com.
Менеджер сразу сообщил мне, я в экстренном порядке выключил ПК.
загрузился с флешки, проверил зайцевым все диски, он ругался на несколько DLL я их отправил в карантин. (на всякий случай) ибо лежали они в системных папках.
После - с той же загрузочной флешки, я убрал расширение .PAYCRYPT_gmail_com с одного из документов, он преобразовался в обычный документ ворд, с вполне читабельным содержанием.
После, пошел в содержимое присланного архива. там был батник, открыл, посмотрел он в тем папку закинул два файла (1 ексешник, 1 батник) названия могут менятся в зависимости от отправителя и создателя крипта, но все же они прописаны в батнике присланного в письме.
Далее, с рабочего стола удалил появившийся текст документ PAYCRYPT.txt с "Инструкцией", перезагрузил пк, но эта "инструкция" все же появлялась при входе в винду.
Открыл Реестр (regedit) и искал все что имеет PAYCRYPT. нашлось несколько переменных, одна из них вызывала данное окно под видом WinHelp. удалил.
Переименовал еще один файл - убрал доп расширение. Файл оказался вполне читабелен.
Затем думал как можно убрать массово это доп расширение, что бы не мучатся в ручную. На помощь пришел тотал командер.
Начал искать по масте *.PAYCRYPT_gmail_com нашлось уйма файлов на трех разных дисках.
Нажал перенести на панель все файлы появились в отдельном окне, при помощи Ctrl+A все выдели, затем CTRl+M, указал что .PAYCRYPT_gmail_com нужно заменить на пустоту, то есть убрать данное доп расширение.
Все все файлы живы целы и работают. Но небольшое опасение было в содержании самого PAYCRYPT в котором говорится что на следующий день если не в веду "Ключ" то всем файлам *.опа.
На всякий случай я перенес на независимый носитель все документы которые были подвергнуты изменению.
И вот наступил следующий день, включаю ПК, никаких сообщений, все файлы имеют "РОДНОЕ" расширение, и вполне читабельны.
Почему файлы не заразились, или еще не время пока не понятно.
Полный тест поставлю на отдельно собранной машине на выходных, попробую 3 варианта, 1 следовать "инструкции" и все запустить, посмотрев на результат.
Второй - проделаю тоже что и вчера.
Третий - ничего не делать, и в штатном режиме перезапустить пк
Возможно результаты кому то помогут в будущем.

честно говоря, никогда не верил в такие вирусы, в более чем 90% случаях это все фейк.
вирусняки или режут сразу по самое не хочу, или пугают юзеров до дрожи в руках страшной картинкой.

P.S. может просто мне не попадались конечно такие, хотя количество обслуженных машин перевалило за 1к

есть.. шифровали.... отдавали деньги... расшифровали...
есть такие точно...

ну что тут скажешь! я счастливчик ))))

Доброго времени суток. Как и обещал на выходных я провел тесты с этим "вирусом"
Раньше к сожалению не смог опубликовать свои "исследования"
Так уж получилось что опыт я ставил на 2 ПК. - буквально перед выходными собрал себе машинку, не зверь топовый но пока все летает (в тч, самые последние игры)
CPU Intel Core i3-3220 3.3 GHz
Мать ASUS LGA1155 P8Z77-V LX Z77 4xDDR3 2xPCI-Ex16 HDMI/DVI/DSub 8ch 2xSATA3 4xSATA Raid 4xUSB3 ATX
Видеокарта PCI-E MSI GeForce GTX 750 Ti GAMING 2048MB 128bit GDDR5 [N750Ti TF 2GD5/ОС] DVI HDMI DSub
16 ГБ ОЗу

собрал значит, и решил с флешки установить винду, (установка прошла очень быстро) и я решил на нем провести опыт
N1
Чистая W7 х64, закинул на нее около 1 Гб всяких документ файлов (постоянно есть какой то мусор на внешнем HDD, место позволяет)
Распаковал "вирус", через секунд 5 всплыл TXT с информацией о вирусе, о его возможностях и о том как и что оплатить что бы избавиться.
Возьмем вышеописанное за стартовую позицию.
Дальше сценарии теста N1
а) Я поступил, точно так же, как и в первом топике этой темы, я выключил мой новый комп из розетки. Загрузился с Флешки, AVZ убил несколько подозрительных DLL и некий JS (который кстати трактовался как не подозрительный а не опасный, но все равно винду потом сносить), все удалил. Зашел в Реестр почистил все ключи в которых упоминалось название скрипта (обычно это заголовок TXT файла с инструкцией который открывается автоматически при "заражении")
Все удалил, все почистил. Файлы все же успели получить доп расширение
Как массово переименовать (в моем случае избавится от доп расширения)
я уже писал здесь .
Запустил машинку в штатном режиме, все работает стабильно и никаких признаков шифровки файлов я не заметил.

Б) после всплытия окошка о заражении, я просто закрыл окно, и ушел курить, по пути налил кофе, а так же запустил музыку, что бы было не так скучно. Сделав свои дела, я вернулся к "зараженному" обьекту и просмотрел еще пару выпусков о Дураках на Дорогах в ютубчике. затем я все же решил посмотреть на файлы, они как и в пункте a) получили доп расширение, но открывать не стал, в штатном режиме я перезагрузил ОC. После запуска, я попытался открыть файл. и увидел там краказябры, сначала (представим я не знал о "вирусе") я подумал проблемы с кодировкой текста, но смена на какой либо приносила еще более ужасающий вид и без того ужасного текста. Я перезагрузил ПК, опять загрузился с флешки, опять AVZ, опять реестр. Включаю компьютер, открываю файлы венигрет как был так и есть. Полное форатирование переустановка ОС.

в) Меняю SSD на HDD 5400 оборотный. убираю 12 ГБ Озу, оставляя 4 гбайтика. Закидываю на комп документов на 5 гб, фоток/картинок на 10 ГБ. проделываю тоже самое что в пункте Б) В результате эффект тот же.

Г)
Все то же, что и в пункте в), только я вытаскиваю еще видеокарту, и запускаю фильм с высоким расширением (тупит ужасно но что то пытается через CPU прогнать). открываю фотошоп и загоняю туда в 4 окна PSD с векторами по 50-100 мб каждый
Загрузка ЦП не на пике, но вот вот
Опять курить кофе (правда уже без роликов в интернете)
Перезагрузка, AVZ, реестр, убираю доп расширение, и огорчаюсь, файлы опять зашифрованы, - но этот пункт я не с проста начал описывать, так как совершенно случайно ткнул соседний доковский файл, и там был чистый текст без венигрета


Тут я хотел еще один подпункт написать, но увы не стал рисковать отключением ядер на ЦП, комп новый, да и пока не совсем понял как, да и не вникал особо, для этого я собрал комп, который предварительно и собирался сделать жертвой


Тест N2
подопытный CPU Core Duo 2 Гц
Озу 2 Гб 800 MHZ, видео карта интегрирована.
Win7 , HDD 5400 оборотов.

а)
1-2 Гб документов
Заразил, сразу выключил, AVZ и все дела. Файлы чистые.

б)
1-2 Гб документов
Заразил, покурил, чай кофе (10 мин), перезапуск, AVZ и так далее. Файлы не читабельны.

в)
1-2 Гб доков, запуск фильма в высоком качестве, фотошоп с 3 PSD.
Заразил, покурил, чай кофе (10 мин) перезагрузил (без AVZ и других мер), файлы живы.
Тут я решил не спешить, сходил в магазинчик купил пива, рыбки (потратил минут 30), вернулся, перезагрузка, включаю и файлы читабельны. (проверял не все файлы, так 100-150 шт открыл в случайном порядке)
Включил на ТВ киношку, пью курю ем рыбку. (прошёл еще час сорок)
Перезапуск пк, файлы не читабельны.


К сожалению, на это все у меня ушло не так уже и мало времени и день почти закончился.

В результате тестов, я начал предполагать (может и глупо) скорость заражения вируса напрямую зависит от мощности CPU и его загруженности а так же от HDD в тот момент времени, для проверки, я проделал на испытуемом ПК N2 еще один тест
HDD сменил на SSD, ОЗУ по прежнему 2 Гб (больше просто не было таких планок у меня в тот момент времени)
Проц ничем не грузил, работала просто Win
Заразил ПК, появилось окошко, я не стал ничего делать.
не спеша пил себе пиво смакуя с рыбкой, спустя 30 минут, обнаружил что все файлы на ПК были уже не читабельны.


Я уже думал остановится на тестах, примерную причину и от чего все таки зависит заражение я уже как бы начинал понимать, но раздался стук в дверь, это оказался сосед (с пакетом, а в нем пиво)
В общем мы сели начали мусолить эту тему, и оказалось что у него есть где то на полке, хлам в виде AMD Athlon XP 1700+

В общем собрали динозавра.
запустили, заразили, ничего не делали. через уже 40 минут обратили внимание на то что файлы не читабельны.

Форматирование, нагрузка на CPU все возможными способами до 70-85%
Заразили, ничего не делали. файлы пришли в негодность только спустя ЧАС ДВАДЦАТЬ



Теперь я могу смело ответить, почему компьютер на работе, у меня не был заражен.
Дело в том что компьютер на работе, это ноутбук, который имеет Cure Duo 1,8 Гц. В момент заражения (кроме то го что в максимально короткие сроки после того как мне сообщили, были предприняты все возможные попытки избавится от "вируса"), так еще и на момент заражения у пользователя проц был нагружен процентов на 80% (на тот момент я этого не знал), но на этой рабочей неделе, я загрузил все чо обычно у него открыто, это около 40 вкладок в G chrome, открытых вордовких документов около 15-20 всегда, скайпы, и так далее.



И так подведем итог - возможно ошибочный, может кто меня поправит, но все же тест я произвел. и пришел вот к чему:
"Вирус" использует для шифрования, процессор и HDD/SSD.
В идеальной ситуации на моем новом компе при нагрузке на проц 1-2% заражение происходило в течении минут 10.
В тесте с очень нагруженым, и до того не мощным CPU это продлилось ~ОДИН ЧАС ДВАДВАТЬ МИНУТ
Причем: Мощный комп, с нагрузкой на проц в 60% заразился полностью примерно за 15-20 мин
Поэтому, если вы, достаточно быстро (имея мощный комп), и не очень быстро (имея не мощный комп), произведете все необходимые меры, то заражения никакого не произойдет.

Как то так.
PS , никогда не умел четко излагать свою мысль. да и не писатель я, но постарался максимально донести то чем занимался на выходных и что из этого вышло.
Может кому пригодится.

объективности ради, нужно было ещё один пункт добавить. заплатить вымогателю денег и посмотреть, дешифрируются ли обратно файлы :) шутка, если что.

[ Вирус-вымогатель CryptoBot сдаёт своих жертв через Twitter ]
Вирусы-вымогатели, которые шифруют файлы пользователей, требуя денег за расшифровку, терроризируют Интернет уже не первый год. Однако в нынешнем октябре они разбушевались не на шутку – очевидно, совершив новый эволюционный скачок в области автоматизации. В начале месяца массовому заражению криптолокером подверглись сотрудники крупнейшей австралийской вещательной компании ABC, а и также почтовые и другие государственные службы страны. В середине месяца более 100 тыс. американцев были заражены вирусом-шифровальщиком через рекламные баннеры, крутившиеся в роликах на YouTube.

Ну а в последние дни октября случилась активизация опасного шифровальщика в российском сегменте Интернета. Пользователи получают по почте вредоносный файл, который представляет собой обфусцированный JavaScript размером 2.5 кб (MD5 ea834605f6bee2d4680aae0936655a30). При запуске троян загружает из Интернета и запускает дополнительные компоненты


Описание вируса присутствует на [ Virustotal ], там же в комментариях приводится и деобфусцированная версия скрипта. Можно заметить, что файл неоднократно загружался на ресурс 29 и 30 октября 2014 г:


А вот как выглядят имена зараженных файлов, приходящих в почте – в основном они изображают деловые документы, причём якобы проверенные антивирусом (Avast.Scanned.OK)


После того, как пользователь откроет приложенный файл и запустит вредоносный скрипт, его информируют о том, что его документы, фото, базы данных, а также другие важные файлы «были зашифрованы с использованием криптостойкого алгоритма RSA-1024».


Далее пользователю предлагается подробная инструкция по спасению своих цифровых активов, которая сводится к следующему набору действий:

1. Ваши файлы зашифрованы. Отправьте нам письмо с KEY и UNIQUE в течение суток.
2. Нашли KEY.PRIVATE и UNIQUE.KEY на своем ПК, взяли пару зашифрованных файлов — отправили на почту [email]paycrypt@gmail.com[/email]
3. Через некоторое время получаете ответ с гарантиями, инструкцией и стоимостью. Посетите наш Twitter. Посмотрите, что все получают ключи. После оплаты получаете ключ дешифрования, ПО и инструкцию по дешифрованию.

Наиболее интересным в этой инструкции является пункт 3, в котором указан Twitter-аккаунт, публично разглашающий информацию об адресах электронной почты жертв атак. Это не только позволяет продолжать монетизацию (например, с помощью рассылки спама на адреса жертв, часть из которых указывало служебные адреса электронной почты), но может и нанести существенный вред репутации пострадавших.

В частности, некоторые исследователи уже занялись [ анализом списка жертв ] – среди них оказалось много IT-компаний, включая и такие, которые сами занимаются информационной безопасностью.

Как и в большинстве атак по электронной почте, в данном случае использовались версии вредоносного ПО, которое в момент атаки не детектировалось большинством антивирусов. В связи с этим эксперты Positive Technologies советуют не открывать письма с непонятными вложениями — даже от знакомых адресатов. А на инфраструктурном уровне, в дополнение к антивирусным решениям, рекомендуется применять специализированные песочницы для проверки входящей почты, а также ограничить получение почтовых вложений, содержащих исполняемый код, в том числе в архивах.





Мне показалось (сужу по [ Twiitter-у ]) - как-то спад активности оплат пошёл.