Как вылечить от криптолокер

Дешифратор Cryptolocker

Мы уже писали как бороться с вирусами вымогателям, такими как Винлокер и другие. С тех пор прошло много времени, вирусы вымогатели видоизменились и распространяются в сети с бешеной скоростью.

Антивирусные компании не всегда в силах найти быстрое решение для удаления такого вредоносного ПО, и пользователи остаются один на один со своими проблемами. Для того чтобы вам не приходилось бороться с вирусами-вымогателями интересуйтесь компьютерной безопасностью.

На самом деле бороться с  вирусами-вымогателями — это не тематика нашего сайта. Но я решил сделать исключение, так как большое количество людей спрашивают на форумах и пытаются найти решение этой  проблемы.

Что такое CryptoLocker ?

CryptoLocker — это вредоносная программа, которая относится к разряду так называемых вирусов «вымогателей», наподобие известного Winlocker. Вредонос шифрует файлы на компьютере и требует оплаты  некой денежной суммы — «вознаграждения», прежде чем скачает с сервера секретный ключ для расшифровки файлов.

• Вирус написан на C++.
• Алгоритм шифрования ключа RSA-2048 в CryptoLocker и RSA-1024 в новой версии CryptoLocker 2.0.
• Алгоритм шифрования файла AES и 3DES в CryptoLocker 2.0.
• Определяется антивирусами как Win32/Filecoder.BQ
• Оплата через Bitcoin

Как происходит заражение вирусом?

Как показано на статистике ниже, наиболее всего Cryptolocker активен в Канаде и США. Это обусловлено тем что, население в этих странах является наиболее платежеспособным. Также это обусловлено тем, что население этих стран более наивно, они чаще открывают спам и запускают неизвестные файлы. А как известно основным источником заражения был как раз спам.

Тактику злоумышленники выбрали очень хорошо. Преступникам очень легко заполучить деньги, ведь многие пользователи склонны перевести необходимую сумму только чтобы вернуть доступ к своим важным файлам, фотографиям и документам.

Как бесплатно расшифровать Cryptolocker?

На днях открылся специальный сайт DecryptCryptoLocker, где пользователи которые заразились вирусом Cryptolocker смогут обойтись без оплаты, и используя специальный ключ  и специальную утилиту дешифровать файлы, которые были зашифрованы вирусом CryptoLocker. Авторы проекта,  не очень известные антивирусные компании Fox-IT и FireEye.

Cryptolocker

В результате совместной операции компании Fox-IT и FireEye смогли заполучить некоторое количество секретных крипто-ключей, которые применяет CryptoLocker для зашифровки файлов. На вышеупомянутом сайте пострадавшие от вируса пользователи могут применить данные ключи, чтобы расшифровать свои файлы без оплаты вознаграждения злоумышленникам.

Для того чтобы расшифровать файлы нам потребуется загрузить на сайт DecryptCryptoLocker какой-нибудь зашифрованный файл. Желательно чтоб этот файл не содержал важной для вас информации. При этом надо указать ваш действующий почтовый адрес. После анализа файла,  вам на почту придет специальный ключ.

Cryptolocker

Теперь надо загрузить маленькую утилиту Decryptolocker. После того как вы загрузили и запустили программу, запускаем команду:

Decryptolocker.exe –key “<key>” <Lockedfile.doc>

Так как в сети встречается немалое количество разновидностей вируса CryptoLocker, данный сервис не в силах гарантировать работоспособность для них всех, но для основной массы вирусов вымогателей CryptoLocker он всё-таки работает.

Если вам помогло и вы смогли дешифровать файлы и избавиться от вируса вымогателя, напишите комментарий, чтобы другие посетители знали, что действительно эффективно в борьбе с вирусом CryptoLocker, а что нет. И отблагодарите нас нажав на одну из кнопок вашей социальной сети.

Вам будет интересно узнать:
Как зашифровать и скрыть файлы

CryptoLocker – это новое семейство программ-вымогателей (ransomware), чья бизнес-модель (да, вредоносные программы – это бизнес для кого-то!) основана на вымогательстве денег у пользователей. Эта программа продолжает тенденцию, начатую другой печально известной вредоносной программой, которая также вымогает деньги у своих жертв – так называемый «Полицейский вирус», который просит пользователей заплатить «штраф» за разблокировку их компьютеров. Однако, в отличие от «полицейского вируса», CryptoLocker взламывает документы пользователей и просит их заплатить выкуп (с очень ограниченным сроком платежа).

Установка вредоносной программы

CryptoLocker использует техники социальной инженерии, чтобы заставить пользователя запустить эту программу. Если говорить более конкретно, то жертва получает по электронной почте письмо с ZIP-файлом, защищенным паролем, якобы от логистической компании.

Троян запускается в тот момент, когда пользователь открывает вложенный ZIP-файл, вводя пароль, указанный в сообщении, в надежде открыть содержащийся в архиве PDF-файл. CryptoLocker использует возможности стандартной возможности Windows скрывать расширения в названиях файлов, чтобы скрыть реальное расширение.EXE у вредоносного файла.

Как только жертва запускает его, троян «садится» в память компьютера и выполняет следующие действия:

• Сохраняет себя в папку с профилем пользователя (AppData, LocalAppData).
• Добавляет ключ в реестр, чтобы гарантировать запуск программы при каждом включении компьютера.
• Запускает два процесса: один процесс является основным, а второй предназначен для защиты основного процесса от его прекращения.

Шифрование файлов

Торян генерирует случайный симметричный ключ для каждого файла, который он собирается шифровать, после чего шифрует содержимое файла с помощью алгоритма AES, используя данный ключ. Затем программа шифрует случайный ключ, используя алгоритм шифрования с помощью ассиметричного открытого-закрытого ключа (RSA) и ключи длиной более 1024 бит (мы видели образцы, которые использовали ключи длиной 2048 бит), и добавляет его в зашифрованный файл. Таким образом, троян гарантирует, что только владелец закрытого ключа RSA сможет получить случайный ключ, который был использован для зашифровки файла. Кроме того, т.к. компьютерные файлы перезаписываются, то невозможно получить доступ к ним с использованием специальных методов.

После запуска первое, что делает троян, – это получает открытый ключ (PK) со своего сервера C&C. Чтобы найти активный сервер C&C, троян включает в себя алгоритм генерации доменов (DGA), известный как «Вихрь Мерсенна» (Mersenne twister) для генерации случайных доменных имен. Этот алгоритм использует текущую дату за основу и способен генерировать до 1000 различных доменов фиксированного размера каждый день.

После того как троян скачал PK, он сохраняет его в следующем ключе реестра Windows: HKCUSoftwareCryptoLockerPublic Key. Затем он начинает шифрование файлов на жестком диске компьютера, а также на каждом сетевом диске зараженного пользователя, к которому получает доступ.

CryptoLocker не шифрует каждый найденный файл, а он шифрует только неисполняемые файлы с расширениями, содержащимися в коде вредоносной программы:

Дополнительно, CryptoLocker логирует каждый зашифрованный файл в следующий ключ реестра:

HKEY_CURRENT_USERSoftwareCryptoLockerFiles

Когда троян заканчивает шифрование каждого файла, который удовлетворяет вышеперечисленным условиям, он показывает следующее сообщение, в котором просит пользователя заплатить выкуп, ограничивая время на отправку платежа тем периодом, пока закрытый ключ не будет уничтожен автором вредоносной программы.

Любопытно, что вредоносная программа не просит у пользователей одной и той же суммы денег, но содержит свою собственную таблицу конверсии валют.

Как защититься от CryptoLocker

Данная вредоносная программа распространяется по электронной почте с использованием техник социальной инженерии. Следовательно, наши рекомендации могут быть такими:

•  Быть предельно осторожным с электронными письмами от отправителей, которых Вы не знаете, особенно в тех случаях, когда письмо содержит вложенные файлы.
• Отключить скрытые расширения файлов в Windows, что также поможет вам своевременно распознать данный тип атаки.
• Мы хотели бы напомнить Вам о необходимости наличия системы резервного копирования для критически важных файлов. Она поможет Вам смягчить ущерб, вызванный не только инфекциями со стороны вредоносных программ, но и различными проблемами с компьютером и его комплектующими, а также другими причинами.
• Если Вы заразились и не имеете резервных копий Ваших файлов, мы все же рекомендуем Вам не платить выкуп. Это НИКОГДА не было хорошим решением, т.к. превращает вредоносные программы в высоко прибыльный бизнес, что будет только способствовать расцвету этого типа атак.