Найден способ восстановления файлов после атаки вируса Gpcode.ak

Найден способ восстановления файлов после атаки вируса Gpcode.ak

"Лаборатория Касперского", ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, информирует пользователей о возможности восстановления файлов после атаки вируса Gpcode.ak. Как сообщалось ранее, зашифрованные Gpcode.ak файлы, не имея секретного ключа, в настоящее время расшифровать невозможно. Тем не менее, найдено оптимальное решение для их восстановления.

Дело в том, что при шифровании файлов Gpcode.ak сначала создает новый файл «рядом» с тем, который он собирается шифровать. В этот новый файл он записывает зашифрованные данные исходного файла, после чего удаляет исходный файл.

Как известно, существует возможность восстановить удаленные файлы, если данные на диске не были сильно изменены. Именно поэтому эксперты "Лаборатории Касперского" с самого начала рекомендовали пострадавшим пользователям не перезагружать компьютер и связаться с ними, а обратившимся советовали использовать различные утилиты для восстановления удаленных файлов с диска. К сожалению, почти все утилиты для восстановления удаленных файлов распространяются на основе shareware-лицензий. Вирусные аналитики "Лаборатории Касперского" искали лучшее — с точки зрения эффективности и доступности для пользователей — решение, которое могло бы помочь восстановить файлы, удаленные Gpcode.ak после шифрования. Таким решением оказалась бесплатная утилита PhotoRec, созданная Кристофом Гренье (Christophe Grenier) и распространяющаяся на основе лицензии GPL.

Изначально утилита создавалась как средство для восстановления графических файлов (видимо, отсюда и её название PhotoRec — сокращение от Photo Recovery). Затем её функционал был расширен, и в настоящее время она может восстанавливать документы Microsoft Office, исполняемые файлы, PDF- и TXT-документы, а также различные файловые архивы.

Утилита PhotoRec поставляется в составе последней версии пакета TestDisk.

Следует отметить, что утилита PhotoRec отлично справляется со своей задачей — восстановлением файлов на выбранном разделе. Однако затем возникает трудность восстановления точных имен и путей файлов. В "Лаборатории Касперского" для решения этой проблемы была разработана небольшая бесплатная программа StopGpcode, которая позволяет вернуть оригинальные имена файлов и полные пути, по которым они находились.

"Лаборатория Касперского" рекомендует пострадавшим от действий Gpcode.ak пользователям, вместо того, чтобы платить злоумышленнику, внести свой вклад в добровольные пожертвования автору замечательной утилиты PhotoRec.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ComicForm и Бэтмен: новая кибергруппа атаковала компании в России и СНГ

Специалисты F6 зафиксировали фишинговую кампанию, проведённую в мае–июне 2025 года против организаций в России, Беларуси и Казахстане. Цели — компании из финансового сектора, туризма, биотехнологий, торговли и исследовательских областей.

Злоумышленники рассылали письма с темами вроде «RE: Акт сверки», «Контракт и счет.pdf» или «Подтвердить пароль». Во вложениях находился загрузчик, который устанавливал на компьютер стилер FormBook для кражи данных.

Необычной деталью писем стали скрытые ссылки на анимированные GIF с супергероями — например, Бэтменом. Эти картинки не использовались в самой атаке, но именно из-за них исследователи назвали группу ComicForm.

Для рассылки использовались почтовые адреса на доменах .ru, .by и .kz, часть из которых могла быть скомпрометирована. Характерная черта атак — обратный адрес вида rivet_kz@..., зарегистрированный в бесплатном российском почтовом сервисе.

 

Помимо вложений, применялись поддельные страницы для хранения документов. Попав на такие сайты, жертвы вводили свои данные в фишинговые формы авторизации, после чего информация уходила на серверы злоумышленников.

В ряде случаев письма рассылались и на английском языке, что указывает на потенциальное расширение атак за пределы региона. Так, в июне были обнаружены следы атаки на одну из телекоммуникационных компаний Казахстана.

В F6 отмечают, что ComicForm активна минимум с апреля 2025 года и продолжает расширять инфраструктуру. По их оценке, угроза остаётся актуальной для организаций в разных отраслях экономики.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru