Вирус зашифровал файлы - что делать?

Первое сообщение в теме :

у меня у мужа комп поймал какой-то вирус,в итоге все фото и видео зашифрованы,в каждой папке добавился какой-то файл с адресной строкой,куда нужно пройти и заплатить энную сумму денег за расшивровку..я понимаю,что ничего не расшифруют в итоге,но как фото обратно вернуть? кто сталкивался? помогите! у меня там фото 10-летнего периода,очень дороги!

------------
Модератор, кое-что "шаря" в компьютерах, настоятельно советует хотя бы раз в полгода выполнять полное резервное копирование важных семейных (не говоря уж про рабочих) файлов на внешние источники. Во-первых, это обычная дешевая флешка. Во-вторых, это может быть облачное хранилище. Третий способ - купить дешевый жесткий диск "зеленой" (Green) серии с внешней коробочкой, подключаемой через USB. На такой диск в 2-3 терабайта можно копировать вообще все, а затем оключать и прятать где-нибудь. :)

Сегодня есть много способов потерять нажитые непосильным трудом файлы - начиная от поломки жесткого диска или разлитой над компьютером жидкостью и заканчивая вирусами. Следует помнить простую истину:

Если ваши файлы хранятся в одном экземпляре, считайте, что у вас их уже нет.

Я проанализировал персональные компьютера порядка тридцати человек, которые были подвержены влиянию данного вируса, и вижу, что у большинства происходят одни и те же повреждения... На момент перед шифрованием на всех имелись программы runWIN, Mail.RU NewGamesT\Encrypt.exe, GemWare... также у всех была подмена ярлыков, либо подмена exe на bat... а так как приоритет запуска у батников выше, то запуск экзешников просто игнорировался и компьютер делал то, что "рекомендовал" владелец трояна...

Идея для воплощения: сравнить журнал посещений глубиной в три-четыре дня, версию Java, браузера и антивиря.

Кстати, вот проблема, отмеченная на Хабре и прочих флудилках:
- копируя фотки на внешний диск, запросто скопируешь и трояна;
- делаешь бэкап - возможно, бэкапишь и трояна.

Муж Мурлыки87 пишет:Идея для воплощения: сравнить журнал посещений глубиной в три-четыре дня, версию Java, браузера и антивиря.

Алексей))) Ну так мы просто найдем (а скорее уже нашли другие) путь заражения... дверь так сказать... и не более... Данный троян не оставляет тело... умный гад шифрует всё и оставляет только "билет" для идентификации жертвы. Владелец трояна по этому "билету" выставляет счета и получает прибыль... Владелец вируса таким образом "продал" уже более 9000 "билетов"... "прибыль" уже более 2 млн.рублей...

Муж Мурлыки87 пишет:Кстати, вот проблема, отмеченная на Хабре и прочих флудилках:
- копируя фотки на внешний диск, запросто скопируешь и трояна;
- делаешь бэкап - возможно, бэкапишь и трояна.

Алексей, я думаю что на 99% вряд ли... Троян уже "слит"... у него "таблетка" самоустранения...

Миш, так где "дверь" находится и интересно, чтоб ненароком ее не открыть....

Как правило, перед заражением, на электронную почту пользователя приходит письмо с неизвестного адреса с приложенным к письму архивом (*.rar, *.zip, *.cab), документом со встроенными макросами (*.doc, *.docx), либо скриптом (*.js). В теме письма говорится о чем-то важном – информации о задолженности, взысканию долга и тому подобное. В архив может быть вложено два файла, например, файлы «порядок работы с просроченной задолженностью.doc» и «постановление суда.exe». После запуска вредоносных файлов вирус начинает выполнять шифрование файлов в фоновом режиме, что может быть незамеченно пользователем. Вирус зашифровывает файлы различных типов, например *.doc, *.jpg, *.pdf и зачастую файлы базы данных 1С. К зашифрованным файлам добавляется произвольное расширение. После окончании процесса шифрования, на экране появляется изображение с требованием вымогателей, а сам вирус, в некоторых случаях, бесследно удаляется с компьютера.

Я вот думаю как быть... можно ли восстановить файл имею два файла... чистый и зашифрованный... Сделал побайтную сетку сравнения... пока только голова пухнет )))

Михаил пишет:
Алексей))) Ну так мы просто найдем (а скорее уже нашли другие) путь заражения... дверь так сказать... и не более... Данный троян не оставляет тело... умный гад шифрует всё и оставляет только "билет" для идентификации жертвы. Владелец трояна по этому "билету" выставляет счета и получает прибыль... Владелец вируса таким образом "продал" уже более 9000 "билетов"... "прибыль" уже более 2 млн.рублей...

Поясню: найдём, а потом стукнем админу "двери".
И "прибыль" - ха. Это пока шкура неубитого медведя.

Михаил пишет:Я вот думаю как быть... можно ли восстановить файл имею два файла... чистый и зашифрованный... Сделал побайтную сетку сравнения... пока только голова пухнет )))

Ну покрути тот хэш, который прописан в файле ПРОЧТИТЕ МЕНЯ. Автор-то его просит указывать.
Давай поорём: поболтаем с ним в токсе. ИД сочиним, хэш пропишем...

Памела Владимировна пишет:Миш, так где "дверь" находится и интересно, чтоб ненароком ее не открыть....

Елена, меньше тыкать по рекламным окошкам... заблокировать всплывающие окна... может быть даже отрубить Java... установить более повышенный уровень безопасности на выполнение скриптов...

Муж Мурлыки87 пишет:

Михаил пишет:Я вот думаю как быть... можно ли восстановить файл имею два файла... чистый и зашифрованный... Сделал побайтную сетку сравнения... пока только голова пухнет )))

Ну покрути тот хэш, который прописан в файле ПРОЧТИТЕ МЕНЯ. Автор-то его просит указывать.
Давай поорём: поболтаем с ним в токсе. ИД сочиним, хэш пропишем...

Ты еще больший злодей, чем автор трояна ))))))))))) С хешем я и работаю )))

Михаил пишет:меньше тыкать по рекламным окошкам... заблокировать всплывающие окна... может быть даже отрубить Java... установить более повышенный уровень безопасности на выполнение скриптов...

И не жалеть денег на антивирус.
Поверьте, иногда техподдержка очень помогает... тем, кто платный клиент.

Как я понял... троян падает в корень накопителей (флешки, внешние винты, непосредственно сами винты компьютеров)... В итоге после проникновения трояна человек работает на компьютере без каких либо последствий... В один прекрасный момент, человек "по умолчанию" лезет двойным щелчком на какой либо накопитель через "Мой компьютер" и активирует "бациллу"... После выполнения шифровки вирус таким же простым способом дезактивирует свое тело, оставляя жертве лишь "билет" для обратной связи... Всё... Вируса нет... Есть только зашифрованная информация... Кстати, я бы посоветовал посмотреть внутреннюю память фотоаппаратов, смартфонов... есть вероятность того, что тело вируса сохранилось там...
Рекомендация от себя, пользоваться бесплатной утилитой USB Disk Security, которая 100% защищает накопители от активации подобных вирусов (я имею ввиду открытие накопителей по двойному щелчку). Я лично никогда не открываю накопители через стандартные средства Windows-а, чего и Вам советую... Пользуйтесь хотя бы Total Commaderom (я под DOS ковыряюсь).

Муж Мурлыки87 пишет:

Михаил пишет:меньше тыкать по рекламным окошкам... заблокировать всплывающие окна... может быть даже отрубить Java... установить более повышенный уровень безопасности на выполнение скриптов...

И не жалеть денег на антивирус.
Поверьте, иногда техподдержка очень помогает... тем, кто платный клиент.

Алексей, антивирусы не воспринимают тело данного трояна, как вредоносный объект. А от того платный, бесплатный или пиратский антивирус его функциональность не зависит ))) Все заражения происходят от безграмотного пользования компьютером, в данном случае обозревателями интернета. Простите если кого то этим обижаю, но это факт. Создатели вирусов на это и расчитывают. Используют яркие объекты, окошки подобные соц.сетям, мессенджерам (Ася, Майл Агент, Скайп)... Человек на "автомате" тыкает... но уже поздно... Я раза два ловил себя на этом... что тыкнул... но я успеваю оборвать запущенную цепочку... есть определенный набор действий, который позволяет остановить всё это... главное вовремя осознать что ты сделал что то не так... Данный троян пока никем не пойман... тела нет...

Вот смотри, сейчас раскрученные антивири уже являются целым комплексом. Там и антишпиёны, и антиспам-фильтры, и блэкджек с монашками...
Даже если троян пролез, начало подозрительной активности в системе должно палиться сразу.
Тот же каспер меня веселил звуками резаной свиньи при обнаружении какой-то безобидной куки...
От платности/бесплатности зависит скорость ответа ТП. А это иногда важно.
Уж сколько домохозяек с перепугу перезагружались, когда не надо, сколько детей удаляло ВСЁ с перепугу, что мамка заругает...

Иногда бесплатный функционал ограничен именно антивирем, а уже за денежки человек получает полный фарш. Я именно это имел в виду. Скупой платит дважды, а дурак - постоянно.

Муж Мурлыки87 пишет:
Даже если троян пролез, начало подозрительной активности в системе должно палиться сразу.

Там тебя в соседней теме жОна зовет ))) А вообще... какая может быть подозрительная активность в работе программы, которая просто шифрует?! Я вот сейчас накачал себе кучу таковых... шифрую ))) Но антивир даже не пук... в общем молчит, как сурок весной ))))

Михаил пишет: какая может быть подозрительная активность в работе программы, которая просто шифрует?! Я вот сейчас накачал себе кучу таковых... шифрую ))) Но антивир даже не пук... в общем молчит, как сурок весной ))))

в работе программы - никакой.
А вот изменение ассоциаций файлов, "навешивание" bat и прочие прелести..... антивирус на такое и не обязан реагировать...

Муж Мурлыки87 пишет:

Михаил пишет: какая может быть подозрительная активность в работе программы, которая просто шифрует?! Я вот сейчас накачал себе кучу таковых... шифрую ))) Но антивир даже не пук... в общем молчит, как сурок весной ))))

в работе программы - никакой.
А вот изменение ассоциаций файлов, "навешивание" bat и прочие прелести..... антивирус на такое и не обязан реагировать...

А изменение ассоциаций подтверждает сам пользователь... я же говорю в последние месяца два группа компаний Майл.ру проталкивает некий интернет-обозреватель Амиго... первый раз он "проходит" под видом всяких няшек... а в последствии получает обновления, которые вносят суматоху в работу компьютера... а так как действия Амиго добавлены в исключения антивирусов, то эти махинации даже не обсуждаются...

Михаил пишет: Я лично никогда не открываю накопители через стандартные средства Windows-а, чего и Вам советую... Пользуйтесь хотя бы Total Commaderom (я под DOS ковыряюсь).

Миш, дай пять! Я вообще не могу пользоваться стандартным эксплорером)) Только ТС! ))

Lenok пишет:

Михаил пишет: Я лично никогда не открываю накопители через стандартные средства Windows-а, чего и Вам советую... Пользуйтесь хотя бы Total Commaderom (я под DOS ковыряюсь).

Миш, дай пять! Я вообще не могу пользоваться стандартным эксплорером)) Только ТС! ))

Ленк, я раньше тоже не могла без ТС жить. Но после очередного сноса системы мне так лень было все любимые проги по новой ставить... Один ФШ поставила))Так и живу))

а что такое ТС?