файлы зашифрованы с расширением .vault , bat encoder /CryptVault

RSS

Сообщений: 11

Баллов: 5

Регистрация: 19.02.2015

Размещено 19.02.2015 20:27:57

Зашифровались файлы с расшрирением doc. и так далее. Cтали с расширением, например doc.vault. При загрузке компа выскакивает окно с ссылкой на сайт злоумышленников. Плз. помогите.

Прикрепленные файлы

DMITRY-MSI_2015-02-19_20-15-14.TXT

Ответы

Пред. 1 ... 8 9 10 11 12 ... 49 След.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.03.2015 10:34:50

хорошо, отпишитесь, как вы смогли расшифровать ваши документы.

я, так по одному расшифровываю,
надо тоже протестировать возможность автоматически дешифровать некоторое количество файлов из разных каталогов.

Изменено: santy - 04.06.2016 17:49:57

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 03.03.2015

Размещено 04.03.2015 15:30:40

К сожалению теневое копирование данных не настроено на данном компьютере. Файла secring.gpg нет, обыскал всем чем мог, его и не было во время атаки.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.03.2015 16:15:22

если файлы зашифрованы, значит ключевая пара pub/sec была создана на стороне юзера. по алгоритму для шифрования sec key не нужен, поэтому он сразу же шифруется паб ключом злоумышленников (в итоге secring.gpg хранится в VAULT.KEY) и тщательно затирается на диске. нужен он только для расшифровки документов. но расшифровать VAULT.KEY могут только злоумышленники.

без secring.gpg расшифровать доки не получится, а без теневой копии и восстановить нельзя.

остается еще поискать специализированными утилитами среди удаленных файлов.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 05.03.2015

Размещено 05.03.2015 10:56:41

Мне пришло сообщение на mail, после открытия сообщения у меня
зашифровались все файлы.Помогите решить проблему.

Сообщений: 10

Баллов: 5

Регистрация: 05.03.2015

Размещено 05.03.2015 10:58:34

Цитата

santy написал:
зашифрованных файлов много?

как вариант, установить GnuGPG, легальный пакет отсюда
ftp://ftp.gnupg.org/gcrypt/binary/gnupg-w32cli-1.4.19.exe
и использовать для расшифровки модуль gpg.exe с ключом дешифрования.
предварительно надо импортировать ваш секретный ключ

если файлов много, то конечно лучше использовать бат-декриптор, который должен обойти все каталоги с зашифрованными файлами и запускать команду дешифрования.

Код

 импорт ключа
gpg.exe --import c:\ваш файл\secring.gpg

расшифровка документа
gpg.exe --batch --passphrase-fd 0 --no-verbose -q --decrypt-files c:\ваш зашифрованный файл\документ.xls.vault

если сами сможете написать батник, то надо все таки протестрировать команды, и убедиться что они расшифровывают документы.
его можно написать таким образом, чтобы расшифрованные файлы были помещены в тот же каталог, где лежит его аналог в зашифрованном виде.
вообщем написать нормальный бат-декриптор.

Добрый день! Постигла та же участь с зашифрованными файлами, но удалось вытащить файл secring.gpg ненулевой. Программа gnupg его импортирует и дает работать. Как теперь можно расшифровать файлы? Спасибо.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 05.03.2015 11:18:57

вышлите в почту [email protected] ваш secring.gpg в архиве с паролем infected и несколько зашифрованных файлов.
для проверки

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 05.03.2015 11:23:46

текст письма хотя бы опубликуйте

[ Как создать образ автозапуска? ]

Сообщений: 10

Баллов: 5

Регистрация: 05.03.2015

Размещено 05.03.2015 11:31:52

отправлено

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 05.03.2015 11:37:55

судя по зашифрованному файлу шифрование у вас было этим ключом

Цитата
gpg: зашифровано ключом RSA с ID 92668966 gpg: сбой расшифровки: закрытый ключ не найден File: Z:\virus!\shifratory\bat.encoder.vault\4\СОГУ.xls.vault Time: 05.03.2015 14:32:54 (05.03.2015 8:32:54 UTC)

а secring.gpg совсем с другим ID

Цитата
gpg: ключ 636E9569: уже есть в таблице закрытых ключей gpg: Всего обработано: 1 gpg: считано закрытых ключей: 1 gpg: неизмененных закрытых ключей: 1 File: Z:\virus!\shifratory\bat.encoder.vault\4\secring.gpg Time: 05.03.2015 14:35:41 (05.03.2015 8:35:41 UTC)

это не тот ключ. возможно он был создан после повторного запуска шифратора. в этом случае он не подойдет к файлам, зашифрованным в результате первого запуска шифратора.

[ Как создать образ автозапуска? ]

Сообщений: 10

Баллов: 5

Регистрация: 05.03.2015

Размещено 05.03.2015 11:45:37

Спасибо за ответ! Да так и есть. Уже все понял. Данный файл я получил повторно заражая компьютер и в определенный момент выключив его. Теперь проблема как восстановить первоначальный secring.gpg

Пред. 1 ... 8 9 10 11 12 ... 49 След.