Od dziesięcioleci cyberprzestępcy z powodzeniem wykorzystują wady i luki w sieci WWW. Jednak w ostatnie lata nastąpił wyraźny wzrost liczby ataków, a także wzrost ich poziomu – napastnicy stają się coraz bardziej niebezpieczni, a złośliwe oprogramowanie rozprzestrzenia się w niespotykanym dotąd tempie.

Wstęp

Mówimy o oprogramowaniu ransomware, które dokonało niesamowitego skoku w 2017 roku, wyrządzając szkody tysiącom organizacji na całym świecie. Na przykład w Australii ataki ransomware, takie jak WannaCry i NotPetya, wzbudziły nawet obawy na szczeblu rządowym.

Podsumowując „sukcesy” oprogramowania ransomware w tym roku, przyjrzymy się 10 najniebezpieczniejszym z nich, które wyrządziły największe szkody organizacjom. Miejmy nadzieję, że w przyszłym roku wyciągniemy wnioski i zapobiegniemy przeniknięciu tego problemu do naszych sieci.

Nie Petya

Atak tego ransomware rozpoczął się od ukraińskiego programu księgowego M.E.Doc, który zastąpił 1C, który był zakazany na Ukrainie. W ciągu zaledwie kilku dni NotPetya zainfekował setki tysięcy komputerów w ponad 100 krajach. Szkodnik ten jest wariantem starszego oprogramowania ransomware Petya, z tą tylko różnicą, że ataki NotPetya wykorzystywały ten sam exploit, co ataki WannaCry.

W miarę rozprzestrzeniania się NotPetya dotknął kilka organizacji w Australii, takich jak fabryka czekolady Cadbury na Tasmanii, która musiała tymczasowo zamknąć cały swój system informatyczny. Ransomware zdołało również przeniknąć do największego na świecie kontenerowca, którego właścicielem jest Maersk, który podobno stracił do 300 milionów dolarów przychodu.

WannaCry

To oprogramowanie ransomware, straszne w swojej skali, opanowało praktycznie cały świat. Jego ataki wykorzystywały niesławny exploit EternalBlue, wykorzystujący lukę w Serwer Microsoft Blok wiadomości (SMB).

WannaCry zainfekował ofiary w 150 krajach i na ponad 200 000 maszynach tylko pierwszego dnia. Opublikowaliśmy to rewelacyjne złośliwe oprogramowanie.

Locky

Locky był najpopularniejszym oprogramowaniem ransomware w 2016 r., ale nie zbankrutował również w 2017 r. Nowe warianty Locky, nazwane Diablo i Lukitus, pojawiły się w tym roku przy użyciu tego samego wektora ataku (phishing) do uruchamiania exploitów.

To Locky stał za skandalem z e-mailem Australia Post. Według Australijskiej Komisji ds. Konkurencji i Konsumentów obywatele stracili ponad 80 000 dolarów z powodu tego oszustwa.

kryzys

Ta instancja została zauważona za mistrzowskie wykorzystanie protokołu RDP (Remote Desktop Protocol). RDP to jedna z najpopularniejszych metod dystrybucji ransomware, ponieważ może być wykorzystywana przez cyberprzestępców do włamywania się do maszyn kontrolujących całe organizacje.

Ofiary CrySis były zmuszone zapłacić od 455 do 1022 dolarów za przywrócenie swoich plików.

Nemukod

Nemucod jest dystrybuowany za pośrednictwem wiadomości phishingowej, która wygląda jak faktura wysyłkowa. To ransomware pobiera złośliwe pliki przechowywane na zhakowanych stronach internetowych.

Jeśli chodzi o korzystanie z wiadomości phishingowych, Nemucod ustępuje tylko Locky.

dżaff

Jaff jest podobny do Locky'ego i używa podobnych metod. To oprogramowanie ransomware nie wyróżnia się oryginalnymi metodami dystrybucji lub szyfrowania plików, ale wręcz przeciwnie, łączy w sobie najbardziej udane praktyki.

Stojący za nim napastnicy zażądali do 3700 dolarów za dostęp do zaszyfrowanych plików.

Spora

Aby rozpowszechniać tego typu oprogramowanie ransomware, cyberprzestępcy włamują się do legalnych stron internetowych, dodając do nich kod JavaScript. Użytkownicy, którzy wylądują na takiej stronie, otrzymają wyskakujące okienko z ostrzeżeniem z prośbą o aktualizację Przeglądarka Chrome aby kontynuować przeglądanie strony. Po pobraniu tak zwanego Chrome Font Pack użytkownicy zostali zainfekowani Spora.

Cerber

Jednym z wielu wektorów ataków, z których korzysta Cerber, jest RaaS (Ransomware-as-a-Service). W ramach tego schematu osoby atakujące oferują zapłatę za dystrybucję trojana, obiecując w zamian pewien procent otrzymanych pieniędzy. Za pośrednictwem tej „usługi” cyberprzestępcy wysyłają oprogramowanie ransomware, a następnie udostępniają innym atakującym narzędzia do jego dystrybucji.

Kryptomiks

Jest to jedno z niewielu ransomware, które nie posiada pewnego rodzaju portalu płatniczego dostępnego w ciemnej sieci. Dotknięci użytkownicy muszą poczekać, aż cyberprzestępcy wyślą im e-mail e-mail instrukcje.

Ofiary Cryptomix to użytkownicy z 29 krajów, którzy byli zmuszeni zapłacić do 3000 USD.

Puzzle

Kolejny szkodliwy program z listy, który rozpoczął swoją działalność w 2016 roku. Jigsaw wstawia do wiadomości spamowych obraz klauna z serii filmów Piła. Gdy użytkownik kliknie na obraz, oprogramowanie ransomware nie tylko szyfruje, ale także usuwa pliki w przypadku, gdy użytkownik jest zbyt późno, aby zapłacić okup w wysokości 150 USD.

wnioski

Jak widać, współczesne zagrożenia wykorzystują coraz bardziej wyrafinowane exploity przeciwko dobrze chronionym sieciom. Podczas gdy zwiększona świadomość pracowników pomaga zarządzać skutkami infekcji, firmy muszą wyjść poza podstawowe standardy cyberbezpieczeństwa, aby się chronić. Ochrona przed współczesnymi zagrożeniami wymaga proaktywnego podejścia, które wykorzystuje moc analizy w czasie rzeczywistym opartej na mechanizmie uczenia się, który obejmuje zrozumienie zachowania i kontekstu zagrożeń.

Około tydzień lub dwa temu w sieci pojawiła się kolejna praca współczesnych twórców wirusów, która szyfruje wszystkie pliki użytkownika. Jeszcze raz zastanowię się, jak wyleczyć komputer po wirusie ransomware zaszyfrowane000007 i odzyskaj zaszyfrowane pliki. W tym przypadku nie pojawiło się nic nowego i wyjątkowego, po prostu modyfikacja poprzedniej wersji.

Gwarantowane odszyfrowanie plików po wirusie ransomware - dr-shifro.ru. Szczegóły pracy i schemat interakcji z klientem poniżej w moim artykule lub na stronie w dziale „Procedura pracy”.

Opis wirusa ransomware CRYPTED000007

Szyfr CRYPTED000007 nie różni się zasadniczo od swoich poprzedników. Działa prawie jeden do jednego. Ale wciąż jest kilka niuansów, które ją wyróżniają. Opowiem ci wszystko w porządku.

Przychodzi, podobnie jak jego koledzy, pocztą. Stosowane są techniki Inżynieria społeczna aby użytkownik na pewno zainteresował się listem i otworzył go. W moim przypadku pismo dotyczyło jakiegoś sądu i ważnych informacji w sprawie w załączniku. Po uruchomieniu załącznika użytkownik otwiera dokument Word z wyciągiem z Moskiewskiego Sądu Arbitrażowego.

Równolegle z otwarciem dokumentu rozpoczyna się szyfrowanie plików. Zaczyna stale pojawiać się komunikat informacyjny z systemu Kontroli konta użytkownika systemu Windows.

Jeśli zgadzasz się z propozycją, to kopie zapasowe pliki w cieniu kopie Windows zostanie usunięty, a odzyskanie informacji będzie bardzo trudne. Oczywiście w żadnym wypadku nie można zgodzić się z propozycją. W tym ransomware żądania te pojawiają się stale, jeden po drugim i nie kończą się, zmuszając użytkownika do wyrażenia zgody i usunięcia kopii zapasowych. Jest to główna różnica w stosunku do poprzednich modyfikacji ransomware. Nigdy nie widziałem ciągłych żądań usunięcia kopii w tle. Zwykle po 5-10 zdaniach przestali.

Dam ci rekomendację na przyszłość. Bardzo często ludzie wyłączają ostrzeżenia z systemu kontroli konta użytkownika. Nie musisz tego robić. Ten mechanizm może naprawdę pomóc w odporności na wirusy. Druga oczywista rada to nie pracować bez przerwy rachunek administratora komputera, jeśli nie jest to obiektywnie konieczne. W takim przypadku wirus nie będzie miał możliwości wyrządzenia większej szkody. Będziesz bardziej skłonny się mu oprzeć.

Ale nawet jeśli przez cały czas odpowiadałeś negatywnie na żądania oprogramowania ransomware, wszystkie Twoje dane są już zaszyfrowane. Po zakończeniu procesu szyfrowania na pulpicie pojawi się obraz.

Jednocześnie będzie dużo pliki tekstowe o tej samej treści.

Twoje pliki zostały zaszyfrowane. Aby odszyfrować ux, musisz poprawić kod: 329D54752553ED978F94|0 na adres e-mail [e-mail chroniony]. Wtedy otrzymasz wszystkie niezbędne instrukcje. Próby samodzielnego rozszyfrowania nie doprowadzą do niczego, z wyjątkiem nieodwracalnej liczby informacji. Jeśli nadal chcesz spróbować, wykonaj wcześniej kopie zapasowe plików, w przeciwnym razie, w przypadku zmian ux, odszyfrowanie nie będzie możliwe w żadnych okolicznościach. Jeśli nie otrzymałeś odpowiedzi na powyższy adres w ciągu 48 godzin (i tylko w tym przypadku!), skorzystaj z formularza zwrotnego. Można to zrobić na dwa sposoby: 1) Pobierz i zainstaluj Przeglądarka Tor pod linkiem: https://www.torproject.org/download/download-easy.html.en Wpisz adres: http://cryptsen7fo43rr6.onion/ w polu adresu przeglądarki Tor i naciśnij Enter. Załaduje się strona z formularzem kontaktowym. 2) W dowolnej przeglądarce przejdź do jednego z adresów: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/ Wszystkie ważne pliki na Twoim komputerze zostały zaszyfrowane. Aby odszyfrować pliki należy wysłać następujący kod: 329D54752553ED978F94|0 na adres e-mail [e-mail chroniony]. Następnie otrzymasz wszystkie niezbędne instrukcje. Wszystkie próby samodzielnego odszyfrowania spowodują jedynie nieodwracalną utratę Twoich danych. Jeśli nadal chcesz spróbować je odszyfrować samodzielnie, najpierw wykonaj kopię zapasową, ponieważ odszyfrowanie będzie niemożliwe w przypadku jakichkolwiek zmian w plikach. Jeśli nie otrzymałeś odpowiedzi z powyższego e-maila przez ponad 48 godzin (i tylko w tym przypadku!), skorzystaj z formularza zwrotnego. Możesz zrób to na dwa sposoby: 1) Pobierz przeglądarkę Tor stąd: https://www.torproject.org/download/download-easy.html.en Zainstaluj ją i wpisz następujący adres w pasku adresu: http://cryptsen7fo43rr6 .onion/ Naciśnij Enter, a następnie załaduje się strona z formularzem opinii. 2) Przejdź do jednego z poniższych adresów w dowolnej przeglądarce: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/

Adres pocztowy może ulec zmianie. Widziałem inne takie adresy:

Adresy są na bieżąco aktualizowane, więc mogą być zupełnie inne.

Gdy tylko stwierdzisz, że pliki są zaszyfrowane, natychmiast wyłącz komputer. Należy to zrobić, aby przerwać proces szyfrowania zarówno na komputerze lokalnym, jak i na dyskach sieciowych. Wirus ransomware może zaszyfrować wszystkie informacje, do których może dotrzeć, w tym na dyskach sieciowych. Ale jeśli jest dużo informacji, zajmie mu to dużo czasu. Czasami, nawet w ciągu kilku godzin, szyfrator nie miał czasu na zaszyfrowanie wszystkiego na dysk sieciowy około 100 gigabajtów.

Następnie musisz dokładnie przemyśleć, jak postępować. Jeśli na pewno potrzebujesz informacji na swoim komputerze, a nie masz kopii zapasowych, lepiej w tej chwili skontaktować się ze specjalistami. W niektórych firmach niekoniecznie za pieniądze. Potrzebujesz tylko osoby, która jest dobrze zorientowana w systemy informacyjne. Konieczne jest oszacowanie skali katastrofy, usunięcie wirusa, zebranie wszelkich dostępnych informacji o sytuacji, aby zrozumieć, jak postępować.

Nieprawidłowe działania na tym etapie mogą znacznie skomplikować proces odszyfrowywania lub odzyskiwania plików. W najgorszym przypadku mogą to uniemożliwić. Więc nie spiesz się, bądź ostrożny i konsekwentny.

Jak wirus ransomware CRYPTED000007 szyfruje pliki

Po uruchomieniu wirusa i zakończeniu jego aktywności wszystkie przydatne pliki zostaną zaszyfrowane i zmienią nazwę z rozszerzenie.crypted000007. I nie tylko rozszerzenie pliku zostanie zastąpione, ale także nazwa pliku, więc nie będziesz wiedział dokładnie, jakie pliki miałeś, jeśli nie pamiętasz. Będzie coś takiego jak ten obrazek.

W takiej sytuacji trudno będzie ocenić skalę tragedii, ponieważ nie będziesz w stanie w pełni przypomnieć sobie, co miałeś różne foldery. Zrobiono to celowo, aby zmylić osobę i zachęcić ją do zapłaty za odszyfrowanie plików.

A jeśli byłeś zaszyfrowany i foldery sieciowe i nie pełne kopie zapasowe, to generalnie może zatrzymać pracę całej organizacji. Nie od razu zrozumiesz, co jest ostatecznie stracone, aby rozpocząć powrót do zdrowia.

Jak leczyć komputer i usunąć ransomware CRYPTED000007?

Wirus CRYPTED000007 jest już na twoim komputerze. Pierwszym i najważniejszym pytaniem jest, jak wyleczyć komputer i jak usunąć z niego wirusa, aby zapobiec dalszemu szyfrowaniu, jeśli nie zostało jeszcze zakończone. Od razu zwracam uwagę na fakt, że po tym, jak sam zaczniesz wykonywać pewne czynności na swoim komputerze, szanse na odszyfrowanie danych maleją. Jeśli chcesz odzyskać pliki za wszelką cenę, nie dotykaj komputera, ale natychmiast skontaktuj się z profesjonalistami. Poniżej opowiem o nich i podam link do strony oraz opiszę schemat ich pracy.

W międzyczasie będziemy nadal samodzielnie leczyć komputer i usuwać wirusa. Tradycyjnie ransomware można łatwo usunąć z komputera, ponieważ wirus nie ma za wszelką cenę pozostawać na komputerze. Po całkowitym zaszyfrowaniu plików jeszcze bardziej opłaca się mu usunąć siebie i zniknąć, aby trudniej było zbadać incydent i odszyfrować pliki.

Opisanie ręcznego usuwania wirusa jest trudne, chociaż próbowałem to zrobić wcześniej, ale widzę, że w większości przypadków nie ma to sensu. Nazwy plików i ścieżki umieszczania wirusów ciągle się zmieniają. To, co zobaczyłem, nie będzie już miało znaczenia za tydzień lub dwa. Zazwyczaj wirusy są wysyłane pocztą w falach i za każdym razem pojawia się nowa modyfikacja, która nie została jeszcze wykryta przez programy antywirusowe. Pomagają w tym uniwersalne narzędzia, które sprawdzają automatyczne uruchamianie i wykrywają podejrzaną aktywność w folderach systemowych.

Aby usunąć wirusa CRYPTED000007, możesz użyć następujących programów:

  1. Kaspersky Virus Removal Tool - narzędzie firmy Kaspersky http://www.kaspersky.ru/antivirus-removal-tool .
  2. Dr.Web CureIt! - podobny produkt z innej strony http://free.drweb.ru/cureit .
  3. Jeśli pierwsze dwa narzędzia nie pomogą, wypróbuj MALWAREBYTES 3.0 - https://ru.malwarebytes.com .

Najprawdopodobniej jeden z tych produktów wyczyści komputer z ransomware'a CRYPTED000007. Jeśli nagle zdarzy się, że nie pomogą, spróbuj usunąć wirusa ręcznie. Jako przykład podałem technikę usuwania i możesz ją tam zobaczyć. Krótko mówiąc, oto, co musisz zrobić:

  1. Patrzymy na listę procesów, wcześniej dodając kilka dodatkowych kolumn do menedżera zadań.
  2. Znajdujemy proces wirusa, otwieramy folder, w którym się znajduje i usuwamy go.
  3. Czyścimy wzmiankę o procesie wirusa według nazwy pliku w rejestrze.
  4. Uruchamiamy ponownie i upewniamy się, że wirusa CRYPTED000007 nie ma na liście uruchomionych procesów.

Skąd pobrać deszyfrator CRYPTED000007

Kwestia prostego i niezawodnego deszyfratora pojawia się przede wszystkim w przypadku wirusa ransomware. Pierwszą rzeczą, którą radzę, jest skorzystanie z usługi https://www.nomoreransom.org. Co jeśli masz szczęście, będą mieli deszyfrator dla twojej wersji programu szyfrującego CRYPTED000007. Od razu powiem, że nie masz wielu szans, ale próba nie jest torturą. Na strona główna kliknij Tak:

Następnie prześlij kilka zaszyfrowanych plików i kliknij Go! dowiadywać się:

W chwili pisania tego tekstu dekodera nie było na stronie.

Być może będziesz miał więcej szczęścia. Możesz również zobaczyć listę deszyfratorów do pobrania na osobnej stronie - https://www.nomoreransom.org/decryption-tools.html . Może jest tam coś pożytecznego. Kiedy wirus jest bardzo świeży, jest na to niewielka szansa, ale z czasem coś może się pojawić. Istnieją przykłady, kiedy w sieci pojawiły się deszyfratory niektórych modyfikacji oprogramowania ransomware. A te przykłady znajdują się na podanej stronie.

Gdzie jeszcze znajdę dekoder, nie wiem. Biorąc pod uwagę specyfikę działania współczesnego oprogramowania ransomware, jest mało prawdopodobne, że naprawdę będzie istnieć. Tylko autorzy wirusa mogą mieć pełnoprawny dekoder.

Jak odszyfrować i odzyskać pliki po wirusie CRYPTED000007

Co zrobić, gdy wirus CRYPTED000007 zaszyfrował twoje pliki? Techniczna implementacja szyfrowania nie pozwala na odszyfrowanie plików bez klucza lub deszyfratora, który posiada tylko autor programu szyfrującego. Może jest jakiś inny sposób na to, ale nie mam takich informacji. Możemy próbować odzyskać pliki tylko za pomocą improwizowanych metod. Obejmują one:

  • Narzędzie kopie w tle okna.
  • Programy do odzyskiwania skasowanych danych

Najpierw sprawdźmy, czy mamy włączone kopie w tle. To narzędzie działa domyślnie w systemie Windows 7 i nowszych, chyba że wyłączysz je ręcznie. Aby to sprawdzić, otwórz właściwości komputera i przejdź do sekcji Ochrona systemu.

Jeśli nie potwierdziłeś w momencie infekcji Prośba o UAC aby usunąć pliki w kopiach w tle, niektóre dane powinny tam pozostać. Mówiłem o tej prośbie bardziej szczegółowo na początku historii, kiedy mówiłem o działaniu wirusa.

Aby łatwo przywrócić pliki z kopii w tle, sugeruję użycie darmowy program w tym celu - ShadowExplorer . Pobierz archiwum, rozpakuj program i uruchom.

Otworzy się ostatnia kopia plików i katalog główny dysku C. Po lewej stronie górny róg możesz wybrać kopię zapasową, jeśli masz więcej niż jedną. Sprawdź różne kopie żądane pliki. Porównaj według dat, gdzie więcej świeża wersja. W poniższym przykładzie znalazłem na pulpicie 2 pliki, które w momencie ostatniej edycji miały trzy miesiące.

Udało mi się odzyskać te pliki. Aby to zrobić, wybrałem je, kliknąłem kliknij prawym przyciskiem myszy myszy, wybrał Eksportuj i wskazał folder, w którym je przywrócić.

Możesz przywrócić foldery natychmiast w ten sam sposób. Jeśli kopie w tle działały dla Ciebie i ich nie usunąłeś, masz całkiem spore szanse na odzyskanie wszystkich lub prawie wszystkich plików zaszyfrowanych przez wirusa. Być może niektórych z nich będzie więcej stara wersja niż bym chciał, ale mimo wszystko to lepsze niż nic.

Jeśli z jakiegoś powodu nie masz kopii plików w tle, jedyną szansą na uzyskanie przynajmniej części zaszyfrowanych plików jest przywrócenie ich za pomocą narzędzi do odzyskiwania usunięte pliki. W tym celu proponuję skorzystać z darmowego programu Photorec.

Uruchom program i wybierz dysk, na którym będziesz odzyskiwać pliki. Uruchomienie graficznej wersji programu uruchamia plik qphotorec_win.exe. Musisz wybrać folder, w którym zostaną umieszczone znalezione pliki. Lepiej, jeśli ten folder nie znajduje się na tym samym dysku, na którym szukamy. Podłącz dysk flash lub zewnętrzny Dysk twardy dla tego.

Proces wyszukiwania zajmie dużo czasu. Na koniec zobaczysz statystyki. Teraz możesz przejść do wcześniej określonego folderu i zobaczyć, co się tam znajduje. Najprawdopodobniej będzie dużo plików i większość z nich będzie albo uszkodzona, albo będą to jakieś systemowe i bezużyteczne pliki. Niemniej jednak na tej liście będzie można znaleźć część przydatne pliki. Tutaj nie ma gwarancji, że znajdziesz to, co znajdziesz. Najlepszy ze wszystkich, zwykle obrazy są przywracane.

Jeśli wynik Cię nie satysfakcjonuje, nadal istnieją programy do odzyskiwania usuniętych plików. Poniżej znajduje się lista programów, których zwykle używam, gdy potrzebuję przywrócić maksymalna ilość akta:

  • R.oszcz.
  • Odzyskiwanie plików Starusa
  • Odzyskiwanie JPEG Pro
  • Profesjonalne Odzyskiwanie Plików Aktywnych

Te programy nie są darmowe, więc nie podam linków. Z silnym pragnieniem możesz sam znaleźć je w Internecie.

Cały proces odzyskiwania plików jest szczegółowo pokazany na filmie na samym końcu artykułu.

Kaspersky, eset nod32 i inni w walce z oprogramowaniem ransomware Filecoder.ED

Popularne antywirusy określają ransomware CRYPTED000007 jako Filecoder.ED a potem może być jakieś inne oznaczenie. Przeszedłem przez fora głównych programów antywirusowych i nie znalazłem tam niczego przydatnego. Niestety, jak zwykle, antywirusy nie były gotowe na inwazję nowej fali oprogramowania ransomware. Oto wiadomość z forum Kaspersky.

Antywirusy tradycyjnie pomijają nowe modyfikacje trojanów ransomware. Polecam jednak z nich korzystać. Jeśli masz szczęście i otrzymasz ransomware na swoją pocztę nie w pierwszej fali infekcji, ale nieco później, jest szansa, że ​​antywirus Ci pomoże. Wszyscy pracują o krok za napastnikami. wychodzić nowa wersja ransomware, antywirusy nie reagują na to. Gdy tylko zgromadzi się pewna masa materiałów do badań nad nowym wirusem, antywirusy wypuszczają aktualizację i zaczynają na nią reagować.

Nie jest dla mnie jasne, co uniemożliwia programom antywirusowym natychmiastową reakcję na jakikolwiek proces szyfrowania w systemie. Być może istnieją pewne techniczne niuanse w tym temacie, które nie pozwalają odpowiednio zareagować i zapobiec szyfrowaniu plików użytkownika. Wydaje mi się, że możliwe byłoby przynajmniej wyświetlenie ostrzeżenia o tym, że ktoś szyfruje Twoje pliki i zaproponowanie zatrzymania procesu.

Gdzie złożyć wniosek o gwarantowane odszyfrowanie

Zdarzyło mi się spotkać jedną firmę, która naprawdę odszyfrowuje dane po pracy różnych wirusów szyfrujących, w tym CRYPTED000007. Ich adres to http://www.dr-shifro.ru. Płatność dopiero po pełnym odszyfrowaniu i weryfikacji. Oto przykładowy przepływ pracy:

  1. Specjalista firmy podjeżdża do Twojego biura lub domu i podpisuje z Tobą umowę, w której ustala koszt pracy.
  2. Uruchamia deszyfrator i odszyfrowuje wszystkie pliki.
  3. Upewniasz się, że wszystkie pliki są otwarte i podpisujesz akt dostawy/odbioru wykonanej pracy.
  4. Płatność tylko po pomyślnym wyniku odszyfrowania.

Szczerze mówiąc, nie wiem, jak oni to robią, ale nic nie ryzykujesz. Płatność dopiero po demonstracji dekodera. Napisz recenzję o swoich doświadczeniach z tą firmą.

Metody ochrony przed wirusem CRYPTED000007

Jak uchronić się przed działaniem oprogramowania ransomware i obejść się bez szkód materialnych i moralnych? Oto kilka prostych i skutecznych wskazówek:

  1. Utworzyć kopię zapasową! Backup wszystkich ważnych danych. I to nie tylko kopia zapasowa, ale kopia zapasowa, do której nie ma stałego dostępu. W przeciwnym razie wirus może zainfekować zarówno dokumenty, jak i kopie zapasowe.
  2. Licencjonowany program antywirusowy. Chociaż nie dają 100% gwarancji, zwiększają szanse na uniknięcie szyfrowania. Najczęściej nie są gotowi na nowe wersje ransomware, ale po 3-4 dniach zaczynają reagować. Zwiększa to Twoje szanse na uniknięcie infekcji, jeśli nie zostaniesz uwzględniony w pierwszej fali wysyłek nowej modyfikacji ransomware.
  3. Nie otwieraj podejrzanych załączników w poczcie. Nie ma tu nic do komentowania. Wszyscy znani mi kryptolodzy dotarli do użytkowników za pośrednictwem poczty. I za każdym razem wymyślane są nowe sztuczki, aby oszukać ofiarę.
  4. Nie otwieraj bezmyślnie linków wysłanych do Ciebie przez znajomych za pośrednictwem portale społecznościowe lub posłańców. W ten sposób czasami rozprzestrzeniają się wirusy.
  5. Obrębiać wyświetlanie okien rozszerzenia plików. Jak to zrobić, łatwo znaleźć w Internecie. Pozwoli ci to zauważyć rozszerzenie pliku na wirusie. Najczęściej będzie .exe, .vbs, .src. W codziennej pracy z dokumentami raczej nie natkniesz się na takie rozszerzenia plików.

Starałem się uzupełnić to, co napisałem wcześniej w każdym artykule na temat wirusa ransomware. Do tego czasu żegnam się. Z przyjemnością otrzymam przydatne komentarze dotyczące artykułu i ogólnie wirusa szyfrującego CRYPTED000007.

Wideo z deszyfrowaniem i odzyskiwaniem plików

Oto przykład poprzedniej modyfikacji wirusa, ale wideo jest również w pełni istotne dla CRYPTED000007.

W dniach 1 i 2 maja 2017 r. na komputerach z systemem Windows miał miejsce atak wirusa na dużą skalę. W samej Rosji zainfekowanych zostało około 30 000 komputerów. Wśród ofiar byli nie tylko zwykli użytkownicy, ale także wiele organizacji i agencji rządowych. Według doniesień sieci, CS Ministerstwa Spraw Wewnętrznych Federacji Rosyjskiej oraz sieć Magafon zostały częściowo zainfekowane. Również szereg innych, mniej znanych organizacji ucierpiało w wyniku ataku WannaCry, lub jak to się powszechniej nazywa - WCry. Nie wiadomo jeszcze, w jaki sposób wirus ransomware przeniknął do takich chronionych urządzeń. Czy była to konsekwencja błędu jednego z użytkowników, czy też ogólna luka w zabezpieczeniach sieci Ministerstwa – nie jest zgłaszana. Pierwsze informacje w Runecie pojawiły się na stronie Kaspersky (w formularzu), gdzie trwała aktywna dyskusja na temat nowego wirusa.

Co to za wirus?

Po przeniknięciu do komputera wirus rozpakowuje się, instalując kody szyfrowania systemu dla danych użytkownika, aw tle zaczyna szyfrować wszystkie informacje na komputerze własnymi kodami typu filename.wncry. Oto, co dzieje się po złapaniu wirusa przez komputer:

  • Natychmiast po wejściu do systemu wirus zaczyna całkowicie kontrolować system, blokując uruchomienie dowolnego oprogramowania, nawet bez instalacji,
  • Antywirusy i narzędzia niewymagające instalacji, które uruchamiają się natychmiast po podłączeniu dysku do systemu, również nie dają żadnego rezultatu i po prostu się nie uruchamiają,
  • Wszystkie porty i dyski USB przestają działać,
  • Ekran zostanie zablokowany przez baner Wana DecryptOr 2.0, informujący, że Twój komputer jest zainfekowany wirusem, wszystkie dane na nim są zaszyfrowane i musisz zapłacić za oprogramowanie ransomware.
Właściciele wirusa oferują użytkownikowi przelew równowartości 300 dolarów w bitcoinach na swoje konto. Jest też informacja, że ​​jeśli nie wpłacisz wymaganej kwoty w ciągu 3 dni, kwota płatności zostanie podwojona. Jeśli płatność nie zostanie odebrana w ciągu tygodnia, wirus usunie wszystkie dane użytkownika z komputera. Sądząc po informacjach od niektórych naszych użytkowników, ten schemat czasowy nie jest taki sam dla wszystkich, a są urządzenia, na których okres płatności ransomware wynosi 14 dni.

Jak uchronić się przed wirusem.

Nie panikuj, wirus nie jest nowy, przed którym nie można się uchronić. Jest to powszechne oprogramowanie ransomware, którego odpowiedniki wielokrotnie napotykaliśmy. Aby nie dać się złapać wirus komputerowy, zachowaj ostrożność podczas korzystania z całego oprogramowania. Nie zalecamy aktualizowania żadnego oprogramowania, nawet wbudowanego, dopóki nie zostanie dokładnie określone, w jaki sposób wirus dostanie się do systemu. Jesteśmy skłonni wierzyć, że wirus dostaje się do komputera przez luki w jakimś programie. A luki w programach najczęściej pojawiają się po nieudanej aktualizacji, w której istnieje tak ogromna „dziura”, która pozwala wirusom dostać się do systemu. Jeśli masz doświadczenie i możliwości, zainstaluj wysokiej jakości zaporę sieciową innej firmy i na chwilę zwiększ monitorowanie aktywności systemu i sieci.

Pomoc ofiarom

W piątek 12 maja podszedł do nas stały klient, projektant, z laptopem, na którym przechowywane były jego layouty, kody źródłowe i inne pliki graficzne. Jego komputery zostały zainfekowane wirusem WannaCryptor. Przeprowadzono szereg „eksperymentów”, które dały wyniki! Oto, co nam pomogło:

  • Zdemontowałem komputer, wyjąłem dysk twardy z danymi,
  • Podłączony dysk do iMaca,
  • Wyliczając dekodery, znaleźliśmy kilka, które pomogły wyciągnąć część danych z dysku D.
  • Następnie klient zdecydował się na ponowną instalację systemu z usunięciem pozostałych danych,
  • Na wszelki wypadek zrobiliśmy obraz systemu na naszych nośnikach, jak tylko pojawi się rozwiązanie problemu, pozostałe dane zapiszemy.
Drodzy przyjaciele, jeśli jesteś ofiarą ten wirus- skontaktuj się z nami, postaramy się pomóc. Przeprowadzamy eksperymenty bezpłatnie) A tutaj szczegółowo wyjaśnimy, jak. Walczmy razem ze złem!
  • Już ponad 200 000 komputerów zostało zainfekowanych!
Głównymi celami ataku były sektory korporacyjne, a następnie firmy telekomunikacyjne w Hiszpanii, Portugalii, Chinach i Anglii.
  • Największy cios zadano rosyjskim użytkownikom i firmom. W tym Megafon, Koleje Rosyjskie i według niepotwierdzonych informacji, Komitet Śledczy i Ministerstwo Spraw Wewnętrznych. Sbierbank i Ministerstwo Zdrowia również zgłosiły ataki na ich systemy.
Za odszyfrowanie danych atakujący żądają okupu w wysokości od 300 do 600 dolarów w bitcoinach (około 17 000-34 000 rubli).

Aktualizacja systemu Windows 10 do wersji 1909

Interaktywna mapa infekcji (KLIKNIJ NA MAPIE)
okno okupu
Szyfruje pliki o następujących rozszerzeniach

Pomimo ukierunkowania wirusa na sektor korporacyjny, zwykły użytkownik nie jest również odporny na przenikanie WannaCry i możliwa strata dostęp do plików.
  • Instrukcje dotyczące ochrony komputera i danych w nim zawartych przed infekcją:
1. Zainstaluj aplikację Kaspersky System Watcher, która ma wbudowaną funkcję cofania zmian spowodowanych działaniami programu szyfrującego, któremu udało się ominąć narzędzia ochrony.
2. Użytkownicy programu antywirusowego firmy Kaspersky Lab powinni sprawdzić, czy funkcja Monitorowanie systemu jest włączona.
3. Dla użytkowników programu antywirusowego ESET NOD32 dla systemu Windows 10 wprowadzono funkcję sprawdzania dostępności nowych aktualizacji systemu operacyjnego. W przypadku, gdy zadbałeś o to z wyprzedzeniem i włączyłeś to, wszystkie niezbędne nowe aktualizacje systemu Windows zostaną zainstalowane, a Twój system będzie całkowicie chroniony przed tym wirusem WannaCryptor i innymi podobnymi atakami.
4. Ponadto użytkownicy produktów ESET NOD32 mają w programie taką funkcję, jak wykrywanie wciąż nieznanych zagrożeń. Ta metoda oparty na wykorzystaniu behawioralnej, heurystycznej technologii.

Jeśli wirus zachowuje się jak wirus, najprawdopodobniej jest wirusem.

Technologia system w chmurze Od 12 maja ESET LiveGrid z dużym powodzeniem odpiera wszystkie ataki tego wirusa, a wszystko to działo się jeszcze przed nadejściem aktualizacji bazy sygnatur.
5. Technologie ESET zapewniają bezpieczeństwo nawet urządzeniom z poprzednimi Systemy Windows XP, Windows 8 i Serwer Windows 2003 (zalecamy zaprzestanie korzystania z danych stare systemy ). Ze względu na bardzo wysoki poziom zagrożeń, które pojawiły się w przypadku tych systemów operacyjnych, firma Microsoft zdecydowała się wydać aktualizacje. Pobierz je.
6. Aby zminimalizować ryzyko uszkodzenia komputera, musisz pilnie zaktualizować swój Wersje Windows 10: Start - Ustawienia - Aktualizacja i zabezpieczenia - Sprawdź aktualizacje (w innych przypadkach: Start - Wszystkie programy - Windows Update - Wyszukaj aktualizacje - Pobierz i zainstaluj).
7. Zainstaluj oficjalną łatkę (MS17-010) firmy Microsoft, która naprawia błąd na serwerze SMB, przez który może przeniknąć wirus. Ten serwer zaangażowanych w ten atak.
8. Sprawdź, czy wszystkie dostępne narzędzia bezpieczeństwa są uruchomione i działają na Twoim komputerze.
9. Wykonaj skanowanie antywirusowe całego systemu. Gdy złośliwy atak o nazwie MEM: Trojan.Win64.EquationDrug.gen, uruchom ponownie system.
I jeszcze raz polecam sprawdzić, czy łatki MS17-010 są zainstalowane.

Obecnie specjaliści z Kaspersky Lab, ESET NOD32 i innych produktów antywirusowych aktywnie pracują nad napisaniem programu do odszyfrowywania plików, który pomoże użytkownikom zainfekowanych komputerów PC przywrócić dostęp do plików.