Найден способ восстановления файлов после атаки вируса Gpcode.ak

"Лаборатория Касперского", ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, информирует пользователей о возможности восстановления файлов после атаки вируса Gpcode.ak. Как сообщалось ранее, зашифрованные Gpcode.ak файлы, не имея секретного ключа, в настоящее время расшифровать невозможно. Тем не менее, найдено оптимальное решение для их восстановления.

Дело в том, что при шифровании файлов Gpcode.ak сначала создает новый файл «рядом» с тем, который он собирается шифровать. В этот новый файл он записывает зашифрованные данные исходного файла, после чего удаляет исходный файл.

Как известно, существует возможность восстановить удаленные файлы, если данные на диске не были сильно изменены. Именно поэтому эксперты "Лаборатории Касперского" с самого начала рекомендовали пострадавшим пользователям не перезагружать компьютер и связаться с ними, а обратившимся советовали использовать различные утилиты для восстановления удаленных файлов с диска. К сожалению, почти все утилиты для восстановления удаленных файлов распространяются на основе shareware-лицензий. Вирусные аналитики "Лаборатории Касперского" искали лучшее — с точки зрения эффективности и доступности для пользователей — решение, которое могло бы помочь восстановить файлы, удаленные Gpcode.ak после шифрования. Таким решением оказалась бесплатная утилита PhotoRec, созданная Кристофом Гренье (Christophe Grenier) и распространяющаяся на основе лицензии GPL.

Изначально утилита создавалась как средство для восстановления графических файлов (видимо, отсюда и её название PhotoRec — сокращение от Photo Recovery). Затем её функционал был расширен, и в настоящее время она может восстанавливать документы Microsoft Office, исполняемые файлы, PDF- и TXT-документы, а также различные файловые архивы.

Утилита PhotoRec поставляется в составе последней версии пакета TestDisk.

Следует отметить, что утилита PhotoRec отлично справляется со своей задачей — восстановлением файлов на выбранном разделе. Однако затем возникает трудность восстановления точных имен и путей файлов. В "Лаборатории Касперского" для решения этой проблемы была разработана небольшая бесплатная программа StopGpcode, которая позволяет вернуть оригинальные имена файлов и полные пути, по которым они находились.

"Лаборатория Касперского" рекомендует пострадавшим от действий Gpcode.ak пользователям, вместо того, чтобы платить злоумышленнику, внести свой вклад в добровольные пожертвования автору замечательной утилиты PhotoRec.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сложная платформа Gootloader доставляет вредоносы через SEO в Google

Киберпреступники, стоящие за распространением вредоносной программы Gootkit, ориентированной на финансовый сектор, значительно усовершенствовали платформу для доставки вредоносов жертвам. Теперь получившая имя Gootloader система распространяет и программы-вымогатели.

Платформу проанализировали исследователи компании Sophos, они же присвоили ей имя. Задача Gootloader в умелых руках злоумышленников — доставлять вредоносные файлы жертвам киберопераций.

Преступники используют платформу в целевых атаках на предприятия в США, Германии и Южной Корее. Известно, что в предыдущих кампаниях пострадали также пользователи из Франции.

Схема Gootloader начинается со сложных методов социальной инженерии, в которой участвуют взломанные веб-сайты, вредоносные загрузчики и способы манипуляции SEO (Search Engine Optimization, поисковая оптимизация).

Операторы платформы подстроили всё таким образом, что при вводе поискового запроса в Google (и других системах) скомпрометированные ресурсы оказываются среди самых топовых результатов.

 

Дополнительно атакующие пытались учесть геолокацию посетителей вредоносных сайтов. Так, если на ресурс попадал человек из страны, которая не интересовала преступников, код сайта «на ходу» переписывался на безвредный. Если же заманить на площадку удавалось человека из «нужной страны», ему подсовывали фейковую страницу.

На этой странице присутствовала ссылка, якобы опубликованная администратором и ведущая на загрузку JavaScript-файла. Далее в ход вступали самые разные техники: многослойная обфускация, бесфайловая вредоносная программа и т. п.

«Судя по всему, разработчики Gootkit сместили фокус с доставки своего вредоноса на создание сложной платформы для доставки других зловредов. Теперь их система распространяет даже программы-вымогатели, среди которых можно отметить REvil», — утверждает эксперт Sophos Габор Заппанос.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru