Virus zašifroval soubory a přejmenoval je. Jak dešifrovat soubory šifrované virem

Nedávno došlo k nárůstu aktivity nové generace škodlivých počítačových programů. Vypadaly dost dlouho (před 6 - 8 lety), ale tempo jejich realizace dosáhlo jejich maxima právě teď. Stále častěji vidíte, že virus zašifruje soubory.

Je již známo, že se nejedná jen o primitivní malware, blokování počítače (způsobující vzhled modré obrazovky) a vážné programy zaměřené na poškození, obvykle účetní data. Šifrují všechny dostupné soubory na dosah, včetně 1C účetních dat, docx, xlsx, jpg, doc, xls, pdf, zip.

Zvláštní nebezpečí uvažovaných virů

Spočívá v tom, že je současně použit klíč RSA, který je připojen k počítači konkrétního uživatele, díky čemuž je univerzální dekodérdešifrátor) chybí. Viry aktivované v jednom z počítačů nemusí fungovat v jiném počítači.

Nebezpečí spočívá také v tom, že více než rok na internetu umístěny hotové programy na výrobce (Tvůrce), který umožňuje vytvořit takový virus, dokonce kulhatskeram (jednotlivce, kteří se považují za hackery, ale ne se učit programování).

V současné době se objevily silnější modifikace.

Způsob vkládání dat o škodlivém softwaru

Virus je cíleně odeslán účetnímu oddělení společnosti. Za prvé se shromažďují e-maily personálních oddělení, účetní oddělení z takových databází, jako například hh.ru. Pak posíláme dopisy. Nejčastěji obsahují žádost o přijetí do určité pozice. Na takový dopis připojený soubor s návrhem, ve kterém je skutečný dokument s implantovaným objektem OLE (soubor PDF s virem).

V situacích, kdy účetní okamžitě zahájili tento dokument, po restartování došlo k následujícímu: virus přejmenoval a zašifroval soubory a poté se sám zničil.

Takový dopis je zpravidla řádně napsán a odeslán z neboxovacího pole (jméno odpovídá podpisu). Volné místo je vždy požadováno na základě profilovací činnosti společnosti, takže nedochází k podezření.

Ani licencovaný "Kaspersky" (antivirový program) ani "Virus Total" (služba online pro testování příloh pro viry) nemohou v tomto případě zabezpečit počítač. Některé antivirové programy někdy při skenování naskenují, že Gen: Variant.Zusy.71505 je v příloze.

Jak se vyhnout infekci tímto virem?

Měli byste zkontrolovat každý přijatý soubor. Zvláštní pozornost je věnována vordovským dokumentům, které mají vložený pdf.

Varianty "infikovaných" dopisů

Existuje mnoho z nich. Nejčastější možnosti, jakým jsou šifrovány soubory viru, jsou uvedeny níže. Ve všech případech jsou na e-mail zasílány následující dokumenty:

1. Oznámení o zahájení procesu projednání žaloby podané proti konkrétní společnosti (dopis doporučuje ověřit údaje kliknutím na odkaz).
2. Dopis od Nejvyššího soudu pro rozhodčí řízení pro vybírání dluhu.
3. Zpráva společnosti Sberbank o zvýšení stávajícího dluhu.
4. Oznámení o porušení pravidel provozu.
5. Dopis od agentury pro sběr údajů s uvedením maximálního možného odkladu platby.

Oznámení šifrování souborů

Objeví se po infekci v kořenové složce jednotky C. Někdy se soubory s typem WHAT_DELET.txt, CONTACT.txt umístí do všech adresářů s poškozeným textem. Tam je uživatel informován o šifrování jeho souborů, který se provádí pomocí spolehlivých algoritmů odolných proti kryptoonům. A také jej varovat před neexistencí použití nástrojů třetích stran, protože to může vést k konečnému poškození souborů, což zase povede k nemožnosti jejich následného dekódování.

V upozornění se doporučuje ponechat počítač v nezměněném stavu. Označuje dobu ukládání poskytnutého klíče (obvykle 2 dny). Předepsáno je přesné datum, po kterém bude jakákoli léčba ignorována.

Na závěr je k dispozici e-mail. Uvádí také, že uživatel musí zadat své ID a že některá z následujících akcí může vést k odstranění klíčů, a to:

• urážky;
• žádost o podrobnosti bez další platby;
• hrozby.

Jak mohu dešifrovat soubory šifrované virem?

Tento typ šifrování je velmi silný: soubor je přiřazena k rozšíření jako dokonalý, nochance atd. Crack je prostě nemožné, ale můžete zkusit připojit cryptanalyst a hledat mezery (v některých situacích pomoci Dr. Web) ..

K dispozici je 1 způsob, jak obnovit zašifrované soubory virus, ale není vhodný pro všechny viry, také nutné odstranit původní exe tohoto škodlivého programu, který je dost těžké, aby po realizaci autodestrukci.

Požadavek viru týkající se zavedení zvláštního kódu je malá kontrola, protože soubor již má dekodér v tomto okamžiku (kód nebude vyžadován od zločinců, abych tak řekl). Podstatou této metody je zapisování prázdných příkazů do proniknutého viru (místo porovnání vstupního kódu). Výsledkem je, že samotný škodlivý program spustí dešifrování souborů a tím je zcela obnoví.

V každém viru má své vlastní speciální šifrovací funkce, což je důvod, proč třetí strany spustitelné soubory (soubor ve formátu EXE) nebude dešifrovat, nebo si můžete zkusit zvolit výše uvedené funkce, která vyžaduje, aby všechny akce prováděné na WinAPI.

Virus šifroval soubory: co dělat?

Pro provedení procesu dešifrování budete potřebovat:

1. Zálohování (zálohování dostupné soubory). Na konci dešifrování bude vše samo od sebe.
2. Na počítači (infikován) je nutné spustit tento škodlivý program a počkat na okno s žádostí o zavedení kódu.
3. Poté musíte začít z připojeného archivního souboru Patcher.exe.
4. Dalším krokem je zavést řadu procesu viru, pak je třeba stisknout „ENTER-“.
5. Zobrazí se zpráva "patched", což znamená rušení porovnávacích příkazů.
6. Potom zadejte libovolné znaky do pole pro zadání kódu a poté klikněte na tlačítko "OK".
7. Virus spouští proces dešifrování souborů, na jehož konci se sám likviduje.

Jak se vyhnout ztrátě dat v důsledku daného škodlivého softwaru?

Stojí za to vědět, že v situaci, kdy virus zašifruje soubory, bude nějaký čas trvat, než se proces dešifrování uskuteční. Důležitým bodem ve prospěch je to, že výše zmíněné malware tam je chyba, která umožňuje uložit některé soubory, pokud se rychle odpojit počítač (vytáhnout zástrčku ze zásuvky, vypněte napájení pásu, vyjměte baterii u notebooku), jakmile velké množství předem zadaných souborů rozšíření .

Ještě jednou je třeba zdůraznit, že hlavním úkolem je neustále vytvářet zálohu, nikoliv však na jinou složku, nikoliv na vyměnitelná média vložená do počítače, protože tato modifikace virů dosáhne těchto míst. Je vhodné ukládat zálohy do jiného počítače, na pevný disk, který není trvale připojen k počítači a do oblaku.

Je nutné s podezřením zacházet se všemi dokumenty, které zasílají pošty od neznámých osob (ve formě životopisu, nákladního listu, rozhodnutí Nejvyššího soudu pro rozhodčí řízení nebo daňového úřadu atd.). Nespouštějte je v počítači (pro tento účel můžete vybrat netbook, který neobsahuje důležité údaje).

Škodlivý program * .paycrypt @ gmail.com: jak opravit

V situaci, kdy výše uvedený virus šifruje soubory cbf, doc, jpg atd., Existují pouze tři varianty vývoje události:

1. Nejjednodušší způsob, jak se ho zbavit, je odstranit všechny infikované soubory (to je přijatelné, pokud jsou data zvláště důležitá).
2. Jděte do laboratoře antivirového programu, například Dr. WEB. Posílejte vývojářům několik infikovaných souborů spolu s dešifrovacím klíčem, který je v počítači jako KEY.PRIVATE.
3. Nejdražší způsob. Zahrnuje zaplacení částky požadované hackery za dešifrování infikovaných souborů. Zpravidla se náklady na tuto službu pohybují v rozmezí 200 - 500 USD. To je přijatelné v situaci, kdy virus šifruje soubory velké společnosti, v níž každý den proudí značné množství informací a tento škodlivý program může způsobit obrovské škody během několika sekund. V tomto ohledu je platba nejrychlejší možností obnovy infikovaných souborů.

Někdy je další možnost efektivní. V případě, že virus šifrované soubory (paycrypt @ gmail_com nebo jiný škodlivý software) může pomoci vrácení systému před několika dny.

Program pro dekódování RectorDecryptor

Pokud virus šifruje soubory jpg, doc, cbf a tak dále, může pomoci speciální program. Chcete-li to provést, nejprve musíte jít do spuštění a vypnout vše kromě antiviru. Dále musíte restartovat počítač. Zobrazit všechny soubory, zvýrazněte podezřelé. Pole pod názvem "Příkaz" označuje umístění určitého souboru (pozornost by měla být věnována aplikacím, které nemají podpis: výrobce - žádná data).

Všechny podezřelé soubory musí být smazány, poté bude nutné vyčistit mezipaměti prohlížeče, dočasné složky (pro to je vhodné CCleaner).

Chcete-li spustit dešifrování, musíte stáhnout výše uvedený program. Pak jej spusťte a klikněte na tlačítko "Spustit skenování", které označuje změněné soubory a jejich rozšíření. V moderních verzích programu lze zadat pouze sám infikovaný soubor a klepněte na tlačítko „Open“. Poté budou soubory dešifrovány.

Následně nástroj automaticky zkontroluje všechna data počítače včetně souborů na připojené síťové jednotce a dešifruje je. Tento proces obnovy může trvat několik hodin (v závislosti na množství práce a rychlosti počítače).

V důsledku toho budou všechny poškozené soubory dešifrovány do stejného adresáře, kde byly původně umístěny. Na konci to bude mít pouze odstranit všechny existující soubory s příponou podezřelého, který si můžete dát dolů klíště v dotazu „Odstranit šifrované soubory po úspěšném dekódování“ stisknutím předběžnou tlačítko „Změnit nastavení skenování“. Nicméně je lepší nechat to, protože v případě neúspěšného dešifrování souborů je možné je vymazat a poté je třeba je nejprve obnovit.

Pokud tedy virus šifroval soubory doc, cbf, jpg atd., Nezapomínejte na zaplacení kódu. Možná to nebude nutné.

Nuance odstranění šifrovaných souborů

Pokud se pokusíte odstranit všechny poškozené soubory pomocí standardního vyhledávání a poté odstranit, může počítač přestat reagovat a zpomalit. V tomto ohledu je pro tento postup užitečné použít speciální příkazového řádku. Po spuštění je třeba zadat následující: del «: *. / f / s.

Musíte odstranit takové soubory jako "Read-me.txt", které byste měli zadat ve stejném příkazovém řádku: del ": *. / f / s.

Je tedy třeba poznamenat, že pokud virus přejmenoval a zašifroval soubory, neměl byste okamžitě vynakládat peníze na nákup klíčů od útočníků, nejprve byste se měli pokusit porozumět problému sami. Je lepší investovat do nákupu speciálního programu pro dešifrování poškozených souborů.

Nakonec je třeba připomenout, že v tomto článku byla zvážena otázka, jak dešifrovat soubory šifrované tímto virem.