Перейти к содержанию

Recommended Posts

Umnik

Источник

Сегодня мы получили настораживающее известие: появилась новая версия троянца Gpcode, шифрующего файлы. В тот же момент мы начали искать файлы в Сети, расспрашивая пострадавших пользователей. Мы получили текстовое описание троянца, но образца не нашли так как троянец повидимому само-удалялся после запуска.Однако это нас не остановило и мы продолжили поиски в Сети. Нам повезло и мы нашли экземпляр вредоносной программы по имеющимся у нас признакам. Она распространялась через один из ботнетов.

В текстовом файле crypted.txt, оставленном троянцем после атаки, автор требует 10$ за расшифровку файла, а также указывает контактные координаты: email, icq, URL. По адресу указанному в файле crypted.txt находится веб-страница, на которой на русском языке написано следующее:

“Добрый день.

Для вас 3 новости, не очень хорошая и две очень хороших и Начнем мы с неочень хорошей.

Неочень хорошая новость заключается в том, что все ваши файлы зашифрованы современным алгоритмом AES-256.

В программе использован метод Открытых-закрытых ключей.

Используется 99999 клюей для шифрования, на каждой зараженной машине используется один ключ, повторов нет.

Перебор ключей к алгоритму AES-256 невозможен в ближайщие 1000 лет

Надежды на Антивирусные компании - Нет.

Алгоритм AES-256 используют американские спец службы для шифрования своих документов.И вот первая Хорошая новость:

Файлы можно дешифровать.

Вторая очень хорошая новость:

Для дешифрации необходимо заплатить всего-то - 10 долларов.”

После атаки троянец изменяет фон рабочего стола на следующий:

207758729.jpg

Мы настоятельно рекомендуем всем жертвам данной вредоносной программы не поддаваться на предложение автора купить ключ. Мы также хотим подчеркнуть что вся информация, в частности алгоритм шифрования, число уникальный ключей, а также длина ключа, указанные в текстовом файле на данном этапе не потверждена.

Пока мы не проанализировали алгоритм шифрования троянской программы, вы можете попробовать воспользоваться методом восстановления файлов описанном нами в борьбе Gpcode.ak. Уже есть подтверждения частичного восстановления файлов пострадавшими пользователями.

Наш адрес [email protected], созданный в борьбе с предыдущей версией этой вредоносной программы, по-прежнему работает. Если вы или ваши знакомые стали жертвой данного троянца, напишите нам на этот адрес и мы предоставим вам информацию о том, что можно предпринять для возврата зашифрованных данных.

У меня только вопрос. Автора действительно ищут или как?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ANDYBOND

Скорее всего "или как".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Если автора все-таки найдут, это совсем не гарантирует, что не найдется продолжателей его дела.

Как говорили в старой рекламе, 10 баксов-то не лишние.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ANDYBOND
Если автора все-таки найдут, это совсем не гарантирует, что не найдется продолжателей его дела.

Как говорили в старой рекламе, 10 баксов-то не лишние.

Возможно, но всё же желательно его найти.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

а самого Gpcode.ak нету в заначке у кого-нибудь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_Goodwin
а самого Gpcode.ak нету в заначке у кого-нибудь?

Стучись в личку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Если автора все-таки найдут, это совсем не гарантирует, что не найдется продолжателей его дела.

Как говорили в старой рекламе, 10 баксов-то не лишние.

В титульном сообщении не приведена полная версия сообщения, отображаемого троянчегом. Полная версия доступна по адресу hxxp://decryptor.freevar.com/ (вредоносов на самой странице вроде бы нет). В частности, там есть такой абзац:

[skip]

Программа продается.

Цена 1999 дол. При наличии хорошего ботнета - Окупаемость - 3 дня.

Имеется коллекция из более чем 100 000 расширений файлов на выбор, сортирована по типам.

Расширения текстовых документов, музыкальных, архивынх, графические, бинарные и тд.

Можно настроить программу под ваши нужны.

Если вайлы на вашем компьютере зашифрованы и вы приобрели у нас программу, то дешифратор для ваших файлов вы получаете бесплатно.

Работаю по принципу- утром деньги, вечером программа. Иное не обсуждается.

Программа не расчитана на массового пользователя.

Колличество ограничено.

Имеем право отказать в продаже каждому, без объяснения причин.

[skip]

Так что, боюсь, аффтара придется искать оччень долго. Хотя бы потому, что последователи не преминут появиться...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

http://info.drweb.com/show/3493/?lng=ru

Trojan.Encoder.19=вчерашний GPcode?

И если да - то расшифровщик от Др.Веб действительно работает, или это снова война на фронте пиара?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Говорят - таки да, работает.

Молодцы!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя для пиара своих возможностей по дешифровке файлов данных. Однако ясно было, что в подобной гонке победа не будет за антивирусными компаниями - рано или поздно, должен был появиться достаточно длинный ключ, «взлом» которого в разумные сроки не будет возможным.
:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Ego Dekker
      Для активации программы щёлкните правой кнопкой мыши на значок в области уведомлений и выберите в меню пункт «Активируйте программу». Активацию антивируса также можно выполнить, последовательно щёлкнув в главном меню элементы «Справка и поддержка» → «Активация продукта/изменение лицензии» или «Домашняя страница» → «Активировать продукт». Для активации пробной версии нужно выбрать вариант «Лицензия на бесплатную пробную версию», заполнить поля, затем нажать «Активировать». Зарегистрированным пользователям нужно ввести лицензионный ключ, полученный после активации лицензии. При наличии имени пользователя и пароля для домашнего антивируса ESET их можно преобразовать в лицензионный ключ для версии 12.
       
              ESET NOD32 Antivirus 12.0.27 (Windows Vista/7/8/8.1/10, 32-разрядная)
              ESET NOD32 Antivirus 12.0.27 (Windows Vista/7/8/8.1/10, 64-разрядная)
              ESET Internet Security 12.0.27 (Windows Vista/7/8/8.1/10, 32-разрядная)
              ESET Internet Security 12.0.27 (Windows Vista/7/8/8.1/10, 64-разрядная)
              ESET Smart Security Premium 12.0.27 (Windows Vista/7/8/8.1/10, 32-разрядная)
              ESET Smart Security Premium 12.0.27 (Windows Vista/7/8/8.1/10, 64-разрядная)
                                                                   ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 12
              Руководство пользователя ESET Internet Security 12
              Руководство пользователя ESET Smart Security Premium 12 Полезные ссылки:
      Технологии ESET
      Онлайн-справка по продукции ESET
      Удаление антивирусов других компаний
      Стать пользователем антивируса ESET
      Форум российского представительства ESET
      Описание обновлений антивирусных баз
      Утилиты для удаления вредоносных программ
      ESET Online Scanner
      ESET SysRescue Live (диск аварийного восстановления)
      Как удалить антивирус 12-й версии полностью (пользователям Windows)?
      Прислать образец вируса или сообщить о ложном срабатывании*.
      * Чтобы антивирус смог вылечить заражённый файл, нужно отправить такой файл в архиве с паролем «infected» на адрес [email protected] с темой «[virus_name] — cleaner needed», где [virus_name] — название файлового вируса.
    • PR55.RP55
      Зачем эти крайности - хватит и половины команд. Вначале проверяется группа файлов на VT. и только после этого оператор переходит в меню Инфо. и работает. В плане удобства оптимален ? переход от Инфо. к Инфо.  т.е. Есть список файлов. Вошли в инфо... и  последовательно идём:  Инфо > Инфо > Инфо > Инфо > Инфо * * ( с учётом фильтра ) по ходу дела принимая решение считать ли файл проверенным, или удалить. Без всех этих метаний.
    • santy
      согласен, не пользуюсь этим, (удалить только файл, из контекста на полном имени файла) потому наверное и забыл уже. использую только удаление файлов или объектов в контексте Инфо. те, что никак не вписываются в автоскрипт. тогда придется все контекстное меню переносить. например, кто-то захочет проверку на VT/VScan выполнить из Инфо, запретить запуск файла, добавить сигнатуру... и т.д. потому что если удалить сразу файл, то потом уже никак это не сделать.  
    • alamor
      Наугад потыкал на разных файлах, строка в Инфо удалить только сам файл была на всех начиная от системных файлов и заканчивая рассширением браузеров. Так что ваш вывод похоже ошибочен. А прочитать о чём изначально речь не пробовали? Речь как раз про то что это неудобно. Если ещё на одном файле посмотреть ладно, а если хотя бы пять или больше, то уже начинает надоедать туда сюда скакать и ещё после того как вернёшься из Инфо надо смотреть, чтобы случайно на другой строке не кликнуть. Так что наверно оптимальный вариант был бы: 1) Добавить туда по ПКМ список этих команд для тех, кто привык вставлять команды мышкой (вместо того чтобы вернуться в основной список и там ПКМ отдать команду сразу можно будет отдать её из этого окна). 2) Добавить в этом окне поддержку стандартных горячих клавиш удаления и карантина, для тех кто привык вставлять команды горячими клавишами.
    • santy
×