Вірус зашифрував всі важливі файли комп'ютера додавши розширення vault

У наші дні, коли пенсіонери в метро віртуозно орудують планшетами, а діти, не вміючи писати на папері, вбивають тексти на клавіатурі, перевершуючи по скорострільності автомат Калашникова, схоже, пора і нам приділити належну увагу темі IT. Тим більше, якщо ця тема перетинається з темою шахрайства. Крім того, у нас є привід - недавно ми зіткнулися з вельми небезпечним вірусом, який може в частки секунди перетворює цінні файли в купу непотрібного мотлоху.

У величезній кількості електронної пошти, з яким доводиться мати справу знайомому бухгалтеру, цей лист нічим не виділялося. Звичайне повідомлення від партнера, з вкладеним заархівованим стандартним бухгалтерським документом. Тобто, розсилка тематична: якщо ви лікар - вам може прийти повідомлення про нові ліки, якщо ви будівельник - пропозиція відвідати семінар за новими технологіями заливних полів, і так далі. Навіть маска адреси пошти буде містити заповітні слова. А в тексті її зачепили заклики перевірити оплату життєво важливого рахунку від постачальника 1С бухгалтерії. У будь-якому випадку, лист може не викликати у вас ніяких підозр. Набитою рукою, п'ятдесятий раз за день, знайома відкопала архівну папку ZIP, побачила якесь неймовірно довге ім'я документа і "відкрив" цей файл, двічі клацнувши на ньому курсором. Ця дія виявилося фатальним.

Завдяки непоганий потужності нового комп'ютера, руйнівну дію вірусу поширилося моментально. Сумне схожість з онкологією - чим сильніше організм хворого, тим швидше поширюються метастази. Всі тексти і таблиці Microsoft Office, все зображення JPG, все PDF-файли, всі бази 1C і вся музика в форматі MP3 були дуже якісно зашифровані (RSA код) і до них було додано розширення .vault. Обрані формати, які становлять найбільшу цінність для власника комп'ютера, будь це домашня машина або робоча.

Ситуація просто катастрофічна. Під загрозою опинився навіть сам наступний вихід номера! З якогось моменту бухгалтер перестав робити резервні копії, так як обсяги стали занадто великі, та й просто давно нічого не відбувалося. В результаті всієї цієї фатальної ланцюга подій майже всі життєво необхідні для організації документи виявилися фактично втрачені.

А довге ім'я файлу, як ви здогадалися, було покликане допомогти зловмисникам приховати від користувача розширення файлу - його просто не було видно в вікні, що його не розсовуй. В іншій ситуації розширення можна було б побачити, яким би довгим не було ім'я файлу, але бухгалтер в поспіху просто виконав звичний набір рухів мишкою. Звичайно, розширення було .exe, або, повністю, Executive - виконуваний файл, що запускає якусь послідовність операцій на машині. Багато хто знає, що такі файли небезпечні, так само як і файли з розширенням .js (javascript), і не стануть запускати їх, якщо не впевнені в їх нешкідливості.

Чи не піддається розшифровці

Безуспішно випробувавши кілька способів повернути потрібні файли, було вирішено звернутися до професіоналів. Знайомі в відділі «К» МВС підказали, що лідером в боротьбі з таким типом вірусів є Dr.Web. Раніше можна було завантажити на сайт Dr.Web уражений файл, щоб вони спробували його дешифрувати, але тепер така послуга стала доступною тільки що купили антивірус - бажаючих стало занадто багато. Безрезультатно випробували різні варіанти безкоштовних разархіваторов, які намагалися прямо на нашому комп'ютері розкрити код методом підбору (брутфорс). Ми вирішили купити, тим більше що він би нам не завадив надалі, так як стало ясно, що наш попередній антивірус не зміг захистити комп'ютер. Після покупки ми, радісно потираючи руки, завантажили зашифрований файл на сайт, але на наступний день отримали відповідь, що, на жаль, мовляв, "без сприяння з боку автора / господаря троянця - вільного або мимовільного (арешт соотв. Людей правоохоронними органами) розшифровка не представляється можливою ". Порадили написати заяву в поліцію.

По темі

669

Фахівці попереджають про атаку вірусу-здирника Troldesh, який розсилає потенційним жертвам вірусні листи від імені відомих автодилерів, авіакомпаній і ЗМІ.

До речі, наш бухгалтер користується поштою mail.ru, де все вкладення перевіряються антивірусом Kaspersky. Так ось, біля цього вкладення з вірусом обнадійливо лучілся червоним значок антивірусу Касперського з написом "Перевірено, вірусів немає!". Невідомо, чия в цьому вина: mail.ru, що вони не оновлюють свій антивірус, або самої антивірусної компанії, але факт залишається фактом. Не всі антивіруси завжди розпізнають цей тип вірусів. У всякому разі, антивірус необхідно оновлювати, інакше в ньому немає майже ніякого сенсу. Втім, оновлювати потрібно і саму операційну систему. В результаті і Dr.Web не зміг нам допомогти з уже архиві.

складне рішення

Оцінивши, скільки часу і зусиль пішло б на створення загублених документів заново, ми прийшли до досить невтішних висновків. Тоді ми зважилися піти на контакт з шахраями. Крім того, доводиться зізнатися, на цей крок нас підштовхувало і просте журналістська цікавість. Дізнатися, як працює шахрайська схема і попередити людей про небезпеку - це, врешті-решт, наша робота.

Інструкція з'являлася на моніторі при запуску інфікованого комп'ютера. Пропонувалося встановити браузер Tor (Тор), що забезпечує, за певних умов, повну анонімність користувача і не має прямого відношення до шахраїв. Через Tor (Тор) потрібно зайти на сайт зловмисників, увійти в особистий кабінет, використовуючи наявний у нас файл-ключ VAULT.KEY. Далі слід було оплатити послуги дешифрування через вельми сумнівну платіжну систему Bitcoin, головною особливістю якої є абсолютна незворотність угод. В системі вже створений особистий гаманець для жертви, на який потрібно перераховувати віртуальні монети Bitcoin. Монети можна придбати або обміняти на численних віртуальних біржах або обмінниках. Процес досить складний, пов'язаний з ризиком - шахраї оголошують суму в доларах США, але курс біткойнов до долара постійно коливається, крім того, курс відрізняється від обмінника до обмінника. Поповнювати треба поступово, в результаті це займає багато часу. Є можливість проводити оплату поетапно - процес наочно відображається на сайті, показаний курс і сума, що залишилася. У нашому випадку сума за послуги дешифрування була 274USD. Вона розраховується, виходячи з кількості закодованих файлів, що говорить про те, що на машину був встановлений ще і Троян.

Є можливість до оплати відновити чотири файли, щоб переконатися, що вони дійсно можуть дешифрувати їх. Але, що цікаво, завантажені файли перевіряються негідниками вручну, оцінюється важливість документів і, якщо файл буде визнаний "занадто важливим", вони можуть відмовитися його відновити. Нам відмовили у відновленні декількох файлів. Ми намагалися замість них завантажити інші, але замінити вдалося не все. В зручно вбудованому чаті нам відповіли, що, мовляв, ми і так переконалися в їх здатності відновлювати документи - навіщо нам ще щось відновлювати (безкоштовно).

На сайті навіть є інфографіка, наочно і дружньо демонструє, як відновити дані. Особливо кумедно виглядає останній пункт, що пропонує залишити відгук в Інтернеті і навіть можливість партнерства. Схоже, що багато цією можливістю щосили користуються, судячи з численних пропозицій дешифрувати файли VAULT за ціною, набагато перевищує "оригінальну" у самих вихідних шахраїв!

За період поневірянь бухгалтер відновила базу 1С, але залишилися файли були однаково дороги її серцю. І відновлення їх явно коштувало більше часу, ніж ці гроші. Забавно, що у відсутності необхідності дешифрування 1С бази вдалося отримати знижку в 10%. Знижка в процесі поповнення правда зменшувалася. хакери піднімали ціну. Потім після спілкування в чаті трохи знизили назад. Це наводило на думку про те, що після оплати шантажисти не зупиняться і попросять збільшити викуп за файли.

Ми абсолютно не були впевнені, що, перерахувавши гроші, ми дійсно повернемо наші документи. Але після завершення оплати ми завантажили утиліту з вбудованим ключем, перевіривши її на віруси усіма можливими способами, запустили, і дійсно - всі файли були відновлені. Однак не можна гарантувати, що в інших випадках все пройде так само гладко. Краще просто слідувати простому правилу - не запускати виконувані файли, про які ви нічого не знаєте і регулярно зберігати важливі файли в бекап.