रैंसमवेयर वायरस। BIG लेख

खबर में “चेतावनी। Trojan.Encoder.225 ransomware वायरस ” मैंने पहले ही एक विशिष्ट Trojan.Encoder.225 वायरस के बारे में विस्तार से बात की थी, लेकिन उस समय मुझे डिक्रिप्शन निर्णय नहीं मिला।
लेकिन बाद में (डिक्रिप्शन की शुरुआत के 3 सप्ताह से अधिक), स्थिति बेहतर के लिए बदल गई। इस अवधि के दौरान, मैंने दो वायरस ट्रोजन के बाद तुरंत डेटा को सफलतापूर्वक डिक्रिप्ट कर लिया है। अलग-अलग पीसी पर Trojan.Encoder.225 और Trojan.Encoder.263।

स्मरण करें: Trojan.Encoder परिवार के ट्रोजन एक दुर्भावनापूर्ण प्रोग्राम हैं जो कंप्यूटर की हार्ड ड्राइव पर फ़ाइलों को एन्क्रिप्ट करते हैं और उन्हें डिक्रिप्ट करने के लिए धन की आवश्यकता होती है। फ़ाइलें * .mp3, * .doc, * .docx, * .pdf, * .jpg, * .rar और इतने पर एन्क्रिप्ट किया जा सकता है।
व्यक्तिगत रूप से इस वायरस के पूरे परिवार से परिचित होना संभव नहीं था, लेकिन, जैसा कि अभ्यास से पता चलता है, संक्रमण, उपचार और डिक्रिप्शन की विधि लगभग सभी के लिए समान है:
1. पीड़ित एक स्पैम ईमेल के माध्यम से एक अनुलग्नक के साथ संक्रमित होता है (कम बार संक्रमण से),
2. वायरस को नए डेटाबेस के साथ लगभग किसी भी एंटीवायरस द्वारा पहचाना और हटा दिया (पहले से ही),
3. उपयोग किए गए एन्क्रिप्शन के प्रकारों के लिए पासवर्ड-कुंजियों का चयन करके फ़ाइलों को डिक्रिप्ट किया जाता है।
उदाहरण के लिए, Trojan.Encoder.225 RC4 एन्क्रिप्शन (संशोधित) + DES का उपयोग करता है, और Trojan.Encoder.263 सीटीआर मोड में ब्लोफिश का उपयोग करता है। ये वायरस वर्तमान में व्यक्तिगत अभ्यास के आधार पर 99% पर डिक्रिप्टेड हैं।

लेकिन सब कुछ इतना सहज नहीं है। कुछ एन्क्रिप्शन वायरस को निरंतर डिक्रिप्शन (Trojan.Encoder.102) के महीनों की आवश्यकता होती है, जबकि अन्य (Trojan.Encoder.283) को डॉक्टर वेब विशेषज्ञों के लिए भी बिल्कुल भी डिक्रिप्ट नहीं किया जा सकता है, जो वास्तव में, इस लेख में एक महत्वपूर्ण भूमिका निभाता है। ।

अब क्रम में।

अगस्त 2013 की शुरुआत में, मुझे ट्रोजन के साथ एन्क्रिप्टेड फ़ाइलों की समस्या के साथ ग्राहकों द्वारा संपर्क किया गया था। Encoder.225 वायरस। वायरस, उस समय नया है, किसी को कुछ भी नहीं पता है, इंटरनेट पर इंटरनेट पर Google से 2-3 विषय लिंक हैं। इंटरनेट पर लंबी खोजों के बाद, यह पता चला है कि एकमात्र (पाया गया) संगठन है जो इस वायरस के बाद फ़ाइलों को डिक्रिप्ट करने की समस्या से निपटता है, जो डॉक्टर वेब है। अर्थात्: यह सिफारिशें देता है, तकनीकी सहायता से संपर्क करने में मदद करता है, अपने स्वयं के डिकोडर विकसित करता है, आदि।

नकारात्मक पीछे हटना।

और, इस अवसर को लेते हुए, मैं कैसपर्सकी लैब के दो फैटी मीनू नोट करना चाहता हूं। जो, उनके तकनीकी समर्थन से संपर्क करते समय, "हम इस मुद्दे पर काम कर रहे हैं, खारिज करते हैं, हम मेल द्वारा परिणामों को सूचित करेंगे।" और फिर भी, माइनस यह है कि मुझे अनुरोध का जवाब कभी नहीं मिला। 4 महीने बाद। न तो "हॉर्सरैडिश" प्रतिक्रिया समय की कल्पना करता है। और यहां मैं "आवेदन से एक घंटे से अधिक नहीं" के मानक के लिए प्रयास करता हूं।
यह शर्म की बात है, कॉमरेड एवगेनी कास्परस्की , कैस्पर्सकी लैब के महानिदेशक हैं। लेकिन मेरे पास सभी कंपनियों का अच्छा आधा हिस्सा है, इस पर "बैठे" हैं। खैर, सब ठीक है, लाइसेंस जनवरी-मार्च 2014 में समाप्त हो रहे हैं। यह कहने की आवश्यकता नहीं कि क्या मैं लाइसेंस का नवीनीकरण कराऊंगा?)

मैं कंपनियों "सरल" से "विशेषज्ञों" के चेहरे का प्रतिनिधित्व करता हूं, इसलिए बोलने के लिए, एंटीवायरस उद्योग के गैर-दिग्गजों के लिए। शायद सामान्य रूप से, "एक कोने में छिपा हुआ" और "चुपचाप रोया।"
हालांकि, जो पहले से ही है, पूरी तरह से सभी "पूरी तरह से गलत हो गए"। एंटीवायरस, सिद्धांत रूप में, इस वायरस को कंप्यूटर पर नहीं आने देना चाहिए था। खासकर आधुनिक तकनीक को देखते हुए। और "उन्हें", विरोधी विरोधी उद्योग के लाभ, माना जाता है कि सब कुछ जब्त कर लिया गया है, "अनुमानी विश्लेषण", "पूर्व-खाली प्रणाली", "सक्रिय रक्षा" ...

वहाँ सभी सुपर सिस्टम हैं, जब कर्मचारी को "सुरक्षित" पत्र के साथ एक "सुरक्षित" पत्र दिया गया था ???
कर्मचारी क्या सोचने वाला था?
यदि आप हमारी रक्षा नहीं कर सकते, तो हमें आपकी आवश्यकता क्यों है?

और डॉक्टर वेब के साथ सब कुछ ठीक होगा, लेकिन मदद पाने के लिए, आपको स्वाभाविक रूप से उनके किसी सॉफ़्टवेयर उत्पाद के लिए लाइसेंस की आवश्यकता होगी। तकनीकी सहायता (इसके बाद टीपी) से संपर्क करते समय, आपको Dr.Web सीरियल नंबर प्रदान करना होगा और लाइन "अनुरोध श्रेणी" में "उपचार अनुरोध" का चयन करना न भूलें या बस उन्हें एन्क्रिप्टेड फ़ाइल के साथ प्रयोगशाला में प्रदान करें। मैं तुरंत एक आरक्षण करता हूं कि तथाकथित "Dr.Web जर्नल कुंजियाँ", जो इंटरनेट पर बैचों में रखी गई हैं, उपयुक्त नहीं हैं, क्योंकि वे किसी भी सॉफ्टवेयर उत्पादों की खरीद की पुष्टि नहीं करते हैं, और एक या दो बार टीपी विशेषज्ञों द्वारा समाप्त कर दिया जाता है। सबसे "सस्ता" लाइसेंस खरीदना आसान है। क्योंकि यदि आपने डिक्रिप्शन किया है, तो यह लाइसेंस आपके लिए "mulion" समय में भुगतान करेगा। खासकर अगर फोटो "मिस्र 2012" वाला फ़ोल्डर एक प्रतिलिपि में था ...

प्रयास नंबर 1

तो, n- राशि के लिए "एक वर्ष के लिए 2 पीसी के लिए लाइसेंस" खरीदा, टीपी से संपर्क किया और कुछ फाइलें प्रदान की, मुझे te225decrypt.exe डिक्रिप्शन उपयोगिता संस्करण 1.3.0.0 का लिंक मिला। सफलता की प्रत्याशा में, मैं उपयोगिता को चलाता हूं (मुझे इसे एन्क्रिप्टेड * .doc फ़ाइलों में से एक को इंगित करना चाहिए)। उपयोगिता पुराने E5300 DualCore प्रोसेसर, 2600 मेगाहर्ट्ज (3.46 गीगाहर्ट्ज पर ओवरक्लॉक) / 8192 एमबी डीडीआर 2-800, HDD 160Gb पश्चिमी डिजिटल को 90-100% पर लोड करने के लिए निर्दयी रूप से चयन शुरू करती है।
यहां, मेरे समानांतर, कोर i5 2500k पीसी (4.5ghz पर ओवरक्लॉकिंग) / 16 रैम 1600 / एसएसडी इंटेल पर एक सहकर्मी को काम में शामिल किया गया है (यह लेख के अंत में बिताए समय की तुलना करना है)।
6 दिनों के बाद, मेरी उपयोगिता ने 7277 फ़ाइलों के डिक्रिप्शन के बारे में सूचना दी। लेकिन खुशी ज्यादा दिनों तक नहीं रही। सभी फाइलें डिक्रिप्टेड थीं "कुटिल।" उदाहरण के लिए, Microsoft कार्यालय दस्तावेज़ खुले, लेकिन विभिन्न त्रुटियों के साथ: "* .docx दस्तावेज़ सामग्री में पाया गया शब्द जो पढ़ा नहीं जा सका" या "अपनी सामग्री में त्रुटियों के कारण * .docx फ़ाइल को नहीं खोल सकता।" * .Jpg फाइलें या तो एक त्रुटि के साथ खुलती हैं, या 95% छवि काले या हल्के हरे रंग की पृष्ठभूमि के साथ दिखाई देती हैं। फ़ाइलें * .rar - "संग्रह का एक अप्रत्याशित अंत।"
सामान्य तौर पर, पूर्ण विफलता।

प्रयास नंबर 2

हम परिणामों के बारे में टीपी में लिखते हैं। कुछ फाइलों के लिए पूछें। एक दिन बाद, वे फिर से te225decrypt.exe उपयोगिता का लिंक देते हैं, लेकिन पहले से ही संस्करण 1.3.2.0। ठीक है, चलो लॉन्च करते हैं, तब भी कोई विकल्प नहीं था। इसमें लगभग 6 दिन लगते हैं और उपयोगिता "त्रुटि का चयन एन्क्रिप्शन सेटिंग्स में असमर्थ" के साथ अपना काम समाप्त करती है। कुल 13 दिन "नीचे नाली"।
लेकिन हम प्राथमिक बैकअप के बिना हमारे * बेवकूफ * क्लाइंट के महत्वपूर्ण दस्तावेजों को नहीं छोड़ते हैं।

प्रयास नंबर 3

हम परिणामों के बारे में टीपी में लिखते हैं। कुछ फाइलों के लिए पूछें। और, जैसा कि आपने पहले ही अनुमान लगाया था, एक दिन बाद वे उसी te225decrypt.exe उपयोगिता का लिंक देते हैं, लेकिन पहले से ही 1.4.2.0 संस्करण। ठीक है, चलो शुरू करते हैं, कैस्परस्की लैब से या ईएसईटी एनओडी 32 से या एंटी-वायरस समाधान के अन्य निर्माताओं से कोई विकल्प नहीं थे। और अब, 5 दिन 3 घंटे 14 मिनट (123.5 घंटे) के बाद, उपयोगिता फाइलों की डिक्रिप्शन की रिपोर्ट करती है (कोर i5 डिक्रिप्शन पर एक सहयोगी ने केवल 21 घंटे 10 मिनट का समय लिया)।
खैर, मुझे लगता है कि यह नहीं था। और लो और निहारना: पूर्ण सफलता! सभी फाइलों को सही ढंग से डिक्रिप्ट किया गया है। सब कुछ ठीक से खुलता, बंद, दिखता, संपादित और सहेजा जाता है।

हर कोई खुश है, END।

"और कहाँ कहानी है Trojan.Encoder.263 वायरस के बारे में?", आप पूछते हैं। और अगले पीसी पर, टेबल के नीचे ... था। वहां सब कुछ सरल था: हम डॉक्टर वेब के टीपी में लिखते हैं, हमें te263decrypt.exe उपयोगिता मिलती है, हम इसे शुरू करते हैं, हम 6.5 दिनों की प्रतीक्षा करते हैं, वॉयला! और सब कुछ तैयार है। संक्षेप में, मैं अपने संपादकीय कार्यालय में डॉक्टर वेब फोरम से कुछ सुझाव दे सकता हूं:

क्रिप्टोग्राफिक वायरस के संक्रमण के मामले में क्या करने की आवश्यकता है:
- वायरस प्रयोगशाला में भेजें डॉ। वेब या फ़ॉर्म में "संदिग्ध फ़ाइल भेजें" एन्क्रिप्टेड डॉक्टर-फ़ाइल।
- Dr.Web कर्मचारी के उत्तर की प्रतीक्षा करें और फिर उसके निर्देशों का पालन करें।

क्या नहीं करना है:
- एन्क्रिप्टेड फ़ाइलों के विस्तार को बदलना; अन्यथा, एक अच्छी तरह से चुनी गई कुंजी के साथ, उपयोगिता बस उन फ़ाइलों को "देख" नहीं करेगी जिन्हें डिक्रिप्ट करने की आवश्यकता है।
- स्वतंत्र रूप से उपयोग करने के लिए, विशेषज्ञों के परामर्श के बिना, डेटा को डिक्रिप्ट / पुनर्प्राप्त करने के लिए कोई भी कार्यक्रम।

ध्यान दें, अन्य कार्यों से सर्वर मुक्त होने के बाद, मैं आपके डेटा को डिक्रिप्ट करने के लिए अपनी मुफ्त सेवाएं प्रदान करता हूं। सर्वर कोर i7-3770K ओवरक्लॉकिंग के साथ * कुछ फ्रीक्वेंसी *, 16GB रैम और वर्टेक्स 4 एसएसडी।
"Habr" के सभी सक्रिय उपयोगकर्ताओं के लिए मेरे संसाधनों का उपयोग मुफ़्त होगा !!!
मुझे पीएम या अन्य संपर्कों में लिखें। मैंने पहले ही "कुत्ता" खा लिया। इसलिए, मैं रात में डिक्रिप्शन के लिए सर्वर डालने के लिए बहुत आलसी नहीं हूं।
यह वायरस आधुनिकता का "शोक" है और साथी सैनिकों से "लूट" लेना मानवीय नहीं है। हालांकि, अगर कोई मेरे Yandex.Money खाते में 410011278501419 रुपये की एक जोड़ी फेंक देता है - तो मुझे कोई आपत्ति नहीं होगी। लेकिन ऐसा बिल्कुल भी जरूरी नहीं है। संपर्क। मैं अपने खाली समय में एप्लिकेशन प्रोसेस करता हूं।

नई जानकारी!

12 दिसंबर, 2013 से एक ही ट्रोजन से एक नए वायरस का प्रसार शुरू हुआ। एनकोडर श्रृंखला डॉक्टर वेब वर्गीकरण के तहत शुरू हुई - ट्रोजन.एनकोडर .263, लेकिन आरएसए एन्क्रिप्शन के साथ। आज की तारीख में यह दृश्य (12/20/2013) को डिक्रिप्ट नहीं किया जा सकता है , क्योंकि यह बहुत मजबूत एन्क्रिप्शन विधि का उपयोग करता है।

मैं इस वायरस से पीड़ित किसी व्यक्ति को सलाह देता हूं:
1. अंतर्निहित विंडोज़ खोज का उपयोग करते हुए, .perfect एक्सटेंशन वाली सभी फ़ाइलों को ढूंढें, उन्हें बाहरी मीडिया में कॉपी करें।
2. उसी फ़ाइल की प्रतिलिपि बनाएँ जैसे CONTACT.txt
3. इस बाहरी मीडिया को "शेल्फ पर" रखें।
4. डिकोडर उपयोगिता के प्रकट होने की प्रतीक्षा करें।

क्या नहीं करना है:
घुसपैठियों के साथ खिलवाड़ करने की जरूरत नहीं है। यह बेवकूफी है। 50% से अधिक मामलों में, लगभग 5000 रूबल में "भुगतान" के बाद, आपको कुछ भी नहीं मिलेगा। न पैसा, न मायूसी।
निष्पक्षता में, यह ध्यान देने योग्य है कि इंटरनेट पर "भाग्यशाली" हैं, जिन्होंने "लूट" के लिए डिक्रिप्शन द्वारा अपनी फाइलें वापस प्राप्त की हैं। लेकिन, आपको इन लोगों पर विश्वास नहीं करना चाहिए। अगर मैं एक वायरस लेखक होता, तो सबसे पहले मैं "मैं भुगतान करता हूं और एक डिकोडर मुझे भेजा जाता था" जैसी जानकारी फैलाना था।
इन "भाग्यशाली लोगों" के पीछे अभी भी वही हमलावर हो सकते हैं।

खैर ... हम ट्रोजन के वायरस के बाद फ़ाइलों को डिक्रिप्ट करने के लिए उपयोगिताओं के निर्माण में अन्य एंटीवायरस कंपनियों के लिए शुभकामनाएं देते हैं।

डॉक्टर वेब फोरम से कॉमरेड v.martyanov को डिकोडर उपयोगिताओं को बनाने के लिए किए गए कार्य के लिए विशेष धन्यवाद।