Увага! Аttention! Внимание! Voorzichtig!

[oleg_coma 39]

Доброго всем времени суток.
 
В последнее время появился, точнее вернулся вирус который не заражает, а КОДИРУЕТ файлы на компе.
 
Ключ шифрования довольно таки не простой. Злоумышленики потом просят 15-20 т. рублей.
 
При запуске троян шифрует файлы (расширения doc, docx, xls, xlsx, jpg). Раскодировка в принципе сводится к 0.
 
После заражения на рабочем столе появляется примерно такая картинка


ВАЖНО! НИКОГДА НЕ ОТКРЫВАЙТЕ ФАЙЛЫ ПРИШЕДШИЕ ВАМ НА ПОЧТУ (ЕСЛИ ВЫ НЕ ЗНАЕТЕ ОТ КОГО)! В ОСНОВНОМ РАССЫЛКА ИДЁТ ЧЕРЕЗ МАИЛ.РУ

ИНОГДА МЕТОДОМ БРУТА ВЗЛАМЫВАЕТСЯ ПОРТ И ТРОЯН ЗАГРУЖАЕТСЯ ВНАГЛУЮ.
Антивирь обычно игнорит этот вирус.

 

 

Вирусы шифраторы (Filecoder) 
 

ВНИМАНИЕ! Компания ESET предупреждает, что за последнее время зафиксирована повышенная активность и опасность заражения корпоративной сети вредоносной программой, последствиями действий которой является: 

1) Шифрование конфиденциальной информации и файлов, в том числе базы данных 1С, документов, изображений. Тип зашифрованных файлов зависит от конкретной модификации шифратора. Процесс шифрования выполняется согласно сложным алгоритмам и в каждом случае шифрование происходит по определённой закономерности. Таким образом, зашифрованные данные сложно восстановить. 

2) В некоторых случаях, после выполнения вредоносных действий шифратор автоматически удаляется с компьютера, что затрудняет процедуру подбора дешифратора. 

После выполнения вредоносных действий на экране зараженного компьютера появляется окно с информацией «Ваши файлы зашифрованы», а  также требования вымогателей, которые необходимо выполнить  для получения дешифратора. 
 

• Пример вируса-шифратора
• Требования, предъявляемые для снижения риска заражения вирусом шифратором
• Что делать, если заражение уже произошло

Пример вируса-шифратора 

Как правило, перед заражением, на электронную почту пользователя приходит письмо с неизвестного адреса с приложенным к письму архивом (*.rar, *.zip, *.cab), документом со встроенными макросами (*.doc, *.docx), либо скриптом (*.js). В теме письма говорится о чем-то важном – информации о задолженности, взысканию долга и тому подобное.  В архив  может быть вложено два файла, например, файлы «порядок работы с просроченной задолженностью.doc» и «постановление суда.exe». После запуска вредоносных файлов вирус начинает выполнять шифрование файлов в фоновом режиме, что может быть незамеченно пользователем. Вирус зашифровывает файлы  различных типов, например *.doc, *.jpg, *.pdf и зачастую файлы базы данных 1С. К зашифрованным файлам добавляется произвольное расширение. После окончании процесса шифрования, на экране появляется изображение с требованием вымогателей, а сам вирус, в некоторых случаях, бесследно удаляется с компьютера. 

С целью предотвращения заражения данным видом угрозы, необходимо  убедиться в том, что Ваша система соответствует  указанным ниже требованиям безопасности. При условии соблюдения данных правил, вероятность заражения шифратором будет минимальна. 

Требования безопасности, предъявляемые к серверам и рабочим станциям для снижения риска заражения шифратором (Filecoder) 

1) Убедитесь в том, что на данный момент на Вашем компьютере включены настройки автоматических обновлений  операционной системы и установлены все критические обновления. Злоумышленники могут использовать уязвимость в протоколе удаленного рабочего стола (RDP) для выполнения вредоносных действий. Наиболее серьезная из этих уязвимостей делает возможным удаленное выполнение кода, если злоумышленник отправляет уязвимой системе последовательность специально созданных пакетов RDP. По умолчанию протокол удаленного рабочего стола отключен во всех операционных системах Windows. Системы, на которых не включен RDP, не подвержены данной уязвимости. Мы настоятельно рекомендуем закрыть доступ по RDP из вне, и разрешить подключения по RDP только в пределах локальной сети. Некоторые из обновлений для устранения описанной выше уязвимости можно скачать отдельным пакетом по данной ссылке.

2) Используйте антивирусные решения со встроенным модулем файервола  (ESET NOD32 Smart Security) для снижения вероятности использования злоумышленником уязвимости в RDP даже при условии отсутствия необходимых обновлений операционной системы. Рекомендуется включить расширенную эвристику для запуска исполняемых файлов (Дополнительные настройки (F5) - Компьютер - Защита от вирусов и шпионских программ- Защита в режиме реального времени - Дополнительные настройки. Кроме того, проверьте, пожалуйста, включена ли служба ESET Live Grid (Дополнительные настройки (F5) - Служебные программы - ESET Live Grid). 

3) На почтовом сервере следует запретить приём и передачу исполняемых файлов *.exe, а также *.js, так как зачастую шифраторы рассылаются злоумышленниками в виде вложения в электронное письмо с вымышленной информацией о взыскании задолженности, информации о ней и другим подобным содержанием, которое может побудить пользователя открыть вредоносное вложение из письма от злоумышленника и тем самым запустить шифратор. 

4) Запретите выполнение макросов во всех приложениях, входящих в состав Microsoft Office, либо аналогичном ПО сторонних производителей. Макросы могут содержать команду для загрузки и выполнения вредоносного кода, которая запускается при обычном просмотре документа (например, открытие документа с названием «Уведомление о взыскании задолженности.doc» из письма от злоумышленников может привести к заражению системы даже в том случае, если сервер не пропустил вредоносное вложение с исполняемым файлом шифратора при условии, если Вы не отключили выполнение макросов в настройке офисных программ). 

5) Регулярно осуществляйте Backup (резервное копирование) важной информации, хранящейся на Вашем компьютере. Начиная с ОС Windows Vista в состав операционных систем Windows входит служба защиты системы на всех дисках, которая создаёт резервные копии файлов и папок во время архивации или создания точки восстановления системы. По умолчанию эта служба включена только для системного раздела. Рекомендуется включить данную функцию для всех разделов. 

Что делать, если заражение уже произошло? 

В случае, если Вы стали жертвой злоумышленников и Ваши файлы зашифрованы, не спешите переводить деньги на их счет для подбора дешифратора. При условии, что Вы являетесь нашим клиентом, обратитесь в техническую поддержку, возможно, нам  удастся подобрать дешифратор для Вашего случая или такой дешифратор уже имеется. Для этого необходимо добавить в архив образец шифратора и других подозрительных файлов, если таковые имеются, и отправить данный архив нам с помощью специальной формы. Также вложите в архив несколько образцов зашифрованных файлов. В комментариях укажите обстоятельства, при которых произошло заражение, а также Ваши лицензионные данные и контактный e-mail для обратной связи. 

Вы можете попробовать восстановить оригинальную, не зашифрованную версию файлов из теневых копий, при условии, что данная функция была включена и если теневые копии не были повреждены вирусом шифратором. 

Подробнее о данной функции Вы можете найти информацию по ссылкам: 

Для Windows Vista 

Для Windows 7 

Для Windows 8 

Также Вы можете использовать бесплатную утилиту Shadow Explorer для просмотра и редактирования всех имеющихся теневых копий в системах Windows Vista/7/8. 

Примечание: Для операционной системы Windows XP функция восстановления предыдущих версий файлов недоступна. 

Изменено 1 июня, 2015 пользователем oleg_coma

[Nandrolon13 9]

Спасибо за инфу!

[Ingenieur 79]

Рузкой почтой не пользуемся. Но всеравно спасибо.

[KOSTIK 23]

21 век на дворе, лифт, кнопки!  :)