Вирус энкодер это программа-скрипт шифрования данных, она может появится у любого невнимательного пользователя. Каждый день все более новые и более сложные разновидности таких вирусов-скриптов появляются в интернете. Основная цель энкодеров конечно же получить денежные средства за расшифровку файлов. В этой статье мы расскажем подробно как защитить информацию, как расшифровать информацию после атаки такой программой, как программа проникает в компьютер.

Как происходит заражение

Чаще всего пользователи сами запускают такие программы, не обращая внимания на загружаемую информацию. Представим самую популярную ситуацию: вы директор небольшой компании, где работают сотрудники без системного администратора, защита компьютеров идет без сервера и на самом минимальном уровне. По почтовой рассылке приходит письмо с архивом Счет на оплату.zip, якобы от контрагента, в самом архиве файл Счет-на-оплату.js

Более 50% сотрудников не поймут что файл Счет-на-оплату.js не будет является каким либо документом, более того основная часть, может просто не обращать внимание на расширения файлов!

Как удалить вирус зашифровывающий файлы и расшифровать файлы.

При запуске файла Счет-на-оплату.js скрипт в фотоном режиме загружает и запускает из интернета бесплатную, легальную программу для шифрования файлов. Бесплатная и легальная программа означает что она не будет обнаруживаться антивирусными программами, так как ничего незаконного в ней нет, потому что она служит для легальной защиты информации. Кроме того процесс доступа к скрипту идет на уровне файла Счет-на-оплату.js так как он запущен от Администратора, и этот скрипт может загрузить и запустить любые программы которые ему вздумается. Расширения файлов для шифровки настраиваются спамером заранее и скрипт шифрует только рабочие документы или базы 1С. Шифрование файлов происходит очень быстро — за считанные секунды, прежде, чем пользователь успевает сообразить что происходит с компьютером. После шифрования всех найденных файлов, программа удаляет полностью все свои следы и файлы. Это делается для того чтобы никто не узнал каким образом файлы были зашифрованы, сделав почти невозможной задачу по расшифровке.

Почему большинство энкодеров не подлежат расшифровке

В настоящее время большинство вирусов энкодеров имеют очень сложные алгоритмы шифрования. Это RSA1024 + AES256. Для примера возьмём такие расчеты. Если у нас будет компьютер мощностью 46 терафлопс, а это будет самый мощный в мире компьютер когда либо созданный человеком, такому компьютеру понадобится более 6,4 лет только для расшифровки ключа RSA1024 (основано на официальных данных что для взлома одного ключа нужно в среднем 10¹² MIPS-лет или около 9.47 йоттафлоп — 9.47*1024 флоп). Если на энкодер нету дешифратора, на процесс дешифровки методом перебора на процессоре в 3Ghz, а это 3000MHz х 4 х 8/1000000= 0,096 TFLOPS может уйти 3067 лет.

Что же делать если на компьютер попал энкодер?

 Прежде всего не паниковать, если программа енкодер еще выполняет свою работу необходимо экстренно выключить компьютер из питания, если же программа уже выдала текстовое сообщение и прошло более 20 секунд, перезагружать компьютер мы не будем до тех пор пока не найдем тело вируса. Следуя ниже перечисленным рекомендациям можно существенно повысить ваши шансы на расшифровку информации:

1. Тело вируса. Первым делом нужно найти скрипт и понять над чем именно предстоит работать, так как большинство вирусов удаляют сами себя, работа мастера по расшифровке информации начинается с восстановления последних удаленных файлов, в настоящее время существует огромное множество программ для восстановления удаленных файлов, на самом деле если информация не была перезаписана, удаленный файл на уровне системного раздела только помечается как удаленный, и его можно попробовать восстановить. Также нам понадобятся сам файл JS который был открыт пользователем, его анализ поможет понять какие именно программы были использовали для шифрования данных. Программа для восстановления удаленных файлов обязательно запускается в внешнего носителя, для того чтобы на жестком диске было как можно меньше вносимых изменений.

2. Программы расшифровки

На данный момент у крупных игроков антивирусных компаний есть несколько ключей от различных вирусов-шифровальщиков, если спамер пользовался старой или популярной версией энкодера, возможно ваши файлы еще можно восстановить, пользуясь утилитами для расшивки отдельных вирусов, ниже рассмотрим ссылки на такие программы:

Утилиты от компании Антивирус Касперского

http://support.kaspersky.ru/viruses/disinfection?page=2

Рашифровщики от компании DrWeb 

http://forum.drweb.com/index.php?showtopic=317113

3. Антивирусные компании.

Некоторые антивирусные компании для своих пользователей сделали специальные сервисы по дешифровке, есть очень малая доля вероятности что именно Ваши данные удастся расшифровать. Например вот ссылка по дешифровке от DrWeb https://support.drweb.ru/new/free_unlocker/?for_decode=1&keyno=&lng=ru

4. Копии теневого тома

Можно попробовать восстановить данные с помощью теневого тома копий подробнее можно узнать по ссылке, но имейте ввиду что скрипты шифровальщики чаще всего не оставляют такую возможность.

 5. Восстановление данных

Многие скрипты работают по принципу копия файла, потом шифрование, а затем удаление оригинала, именно поэтому очень Важно не записывать на жесткий диск новую информацию, а программы для восстановления данных к примеру R-Studio или Photorec нужно запускать с подключенного внешнего носителя информации.

Расшифровка файлов опытным специалистом

Специалисты нашей компании имеют большой опыт расшифровки файлов после попадания скриптов энкодеров. Для того чтобы получить высококвалифицированную помощь свяжитесь с нами по обратной связи или рабочим телефонам. Если Вы не уверены что Вас есть достаточно знаний для расшифровки очень Важно до приезда специалиста:

— не перезагружаейте компьютер!

— не переименовывайте файлы!

— не качайте новые данные!

— не закрывайте программы, оставьте все как есть!

— не удаляйте письмо с шифровальщиком из почтового ящика!

 Специалисты нашей компании сделают все существующие операции которые известны только профессионалам своего дела! Вызывая к себе специалиста Вы должны понимать что чудес не бывает и в большинстве случаев расшифровка не представляется возможной. Но мы всегда поможем:

1. Найти тело вируса и вышлем его на анализ в антивирусные компании

2. Переберем все известные миру дешифраторы

3. Вы будете уверены что вируса в компьютере не осталось!

4. Настроем по Вашему желанию резервное копирование информации и защиту от таких вирусов

Как защититься?

Для защиты от вирусов мы рекомендуем прочитать статью Удаление баннера, в ней расписаны общие средства защиты, дополнительно к тем советам мы рекомендуем:

1. Храните файлы на сервере или на сетевом хранилище

Большинство вирусов энкодеров не рассчитано на работу в локальной сети, поэтому мы рекомендуем пользоваться хранением информации на сервере или сетевом хранилище, при появлении энкодера в большинстве случаев сетевые данные не затронуты. Также на сервере можно сделать резервирование данных на отдельный носитель инфомации, например 1 раз в сутки, куда доступ с компьютеров будет только для чтения файлов.

2. Ограничьте доступ к запускаемым приложениям

Если пользователь работает только с документами ему не к чему доступ администратора, можно также запретить запуск новых приложений и скриптов через AppLocker — это встроенные возможности расширенных версий Windows

3. Делайте резервные копии. При отсутствии сервера делайте резервные копии на съемный дисковый накопитель, это Флешки или внешние жесткие диски. При наличии резервной копии всех данных вы будете спокойнее за их дальнейшую сохранность!

В последнее время наиболее страшным вирусом является троян-шифровальщик файлов, распознаваемый как Trojan-Ransom.Win32.Rector, который шифрует все ваши файлы (*.mp3, *.doc, *.docx, *.iso, *.pdf, *.jpg, *.rar и т.д.). Проблема состоит в том, что расшифровать подобные файлы крайне сложно, а без определенных знаний и умений просто невозможно.

Процесс заражения происходит хитрым образом. На почту приходит письмо с прикрепленным файлом типа «документ.pdf.exe». При открытии этого файла, а фактически при его запуске, начинается работа вируса и шифрование файлов.

Вирус зашифровал файлы, что делать?

Если вы обнаружили действие этого файла, но продолжаете работать на этом компьютере, то он шифрует все большее и большее количество файлов. К зашифрованным файлам добавляется расширение типа « Этот e-mail адрес защищен от спам-ботов, для его просмотра у Вас должен быть включен Javascript »  (именование может быть различно), а практически во все папки добавляется интернетовский или текстовый файл типа «РаСшИфроваТь_ФайЛы.html» в котором злоумышленники описывают как получить от вас деньги за свою грязную работу. Вот текст реального файла, с зараженного компьютера моих клиентов:

Раньше единственным спасением от этого вируса было удаление всех зараженных файлов и восстановление их из резервной копии, хранящейся на внешнем диске или флешке. Однако, поскольку мало кто делает резервные копии, и тем более, регулярно их обновляет, информация просто терялась. Варианты заплатить «шифровальщикам» за расшифровку ваших файлов в подавляющем большинстве заканчиваются потерей денег и являются просто разводом на деньги.

Сейчас антивирусные лаборатории разрабатывают способы и программы избавиться от этого вируса. Лабораторией Касперского разработана утилита – RectorDecryptor, позволяющая расшифровывать зараженные файлы. По этой ссылке вы можете скачать программу RectorDecryptor. Затем надо ее запустить, нажать кнопку «Начать проверку», выбрать зашифрованный файл, после чего программа автоматически расшифрует все зашифрованные файлы подобного типа. Файлы восстанавливаются в тех же папках, где были зашифрованные файлы. После этого надо удалить зашифрованные файлы. Проще всего это сделать следующей командой, набранной в командной строке: del «d:\*.AES256» /f /s (где вместо AES256 должно быть расширение вашего вируса). Также необходимо удалить файлы писем злоумышленников, распиханные по всему компьютеру. Сделать это можно следующей командой: del  «d:\РаСшИфроваТь_ФайЛы.html» /f /s набранной в командной строке.

Предварительно необходимо обезопасить компьютер от возможности распространения вируса. Для этого необходимо очистить подозрительные запускаемые файлы в автозагрузке, деинсталлировать подозрительные программы, очистить временные папки и кэши браузеров (можно воспользоваться для этого утилитой CCleaner).

Однако, надо заметить, что данный способ расшифровки может помочь только тем, чей вирус уже обработан лабораторией Касперского и включен в перечень, находящийся в утилите RectorDecryptor. Если это новый вирус, еще не включенный в перечень обезвреженных вирусов, то вам придется отправлять свои зараженные файлы для расшифровки в лаборатории Касперского, Dr.Web, или Nod32 или восстанавливать их из резервной копии (что гораздо проще).

Если действия по обезвреживанию ваших вирусов и лечению компьютера представляют определенную сложность, то чтобы не навредить еще больше, или порушить операционную систему, (что может привести к полной переустановке Windows), лучше обратиться к специалисту, который сделает это профессионально. Современные средства позволяют все эти действия провести удаленно в любой точке земного шара, где есть подключение к интернету.

Если ваш компьютер заражен вирусом шифровальщиком, вам необходимо произвести переустановку Windows.

Это позволит полностью удалить вирус шифровальщик на вашем компьютере.

Наши компьютерные мастера могут произвести переустановку Windows в Уфе и попытаться восстановить зашифрованные файлы

Звоните 8-927-237-48-09

Вирусы-шифровальщики, или по другому их еще называют — криптографические вирусы — особый вид программного обеспечения, который осуществляет шифрование всех файлов на жестком диске. Что подразумевается под словом «шифрование»? При шифровании все файлы превращаются в набор нулей и единиц, то есть представляют собой бессмысленный набор информации, который невозможно открыть ни одной программой.

Это означает, что после шифрования, все файлы Word, Excel и прочие рабочие документы будет невозможно открыть и получить к ним доступ. А если в этих файлах находится ваша курсовая работа, которую вы так старательно выполняли в течении всего месяца? Возмущения от шифрования ваших данных не будет предела, скажу я вам. А если учесть, что большинство студентов хранит свои работы в чаще в одном экземпляре — на рабочем компьютере, то после шифрования жесткого диска того самого рабочего компьютера, студент теряет все наработки по документам. Не спорю, может повезти, если копия курсовой осталась на флешке, однако, есть еще весьма хитрый факт работы вирусов шифровальщиков.

Как и любой вирус, функции, который он выполняет — зависят напрямую от разработчика этого вируса. Что я имею ввиду под функциями? Приведу пример.

После шифрования жесткого диска и всех файлов на нем — вирус сразу не выдает себя. То есть, вы спокойно продолжаете открывать все свои документы и изменять их. При этом, во время правки — вы пользуетесь флешкой, на которой эти документы также есть. Что делает в этом случае вирус-шифровальщик? Вирус отслеживает все устройства, которые вы подсоединяете к USB портам: флешки, медиа-устройства — и постепенно шифрует на них информацию. После некоторого времени, вирус активизируется и блокирует доступ ко всем файлам на компьютере, в том числе успев зашифровать данные и на ваших флешках.

Что имеем в данном случае? Все ваши документы, курсовые, ДИПЛОМНЫЕ РАБОТЫ, и прочие документы — зашифрованы и к ним нет доступа.

Что же делать, чтобы не поймать вирус-шифровальщик?

Ответ весьма прост — включать свою голову и не открывать подряд все файлы. Еще может помочь установка антивируса. Но нужно учесть обязательный факт, что антивирус должен постоянно обновляться. Это очень важный момент, так как любой антивирус, который не обновляется — теряет свою актуальность.

Разновидностью вируса-шифровальщика можно представить на примере наиболее популярного его вида — сомалийские пираты. У разработчика вируса-шифровальщика есть чувство юмора, когда вирус шифрует все данные, на рабочем столе появляется фото, на котором изображены современные пираты на лодке и сообщение, которое гласит о том, что сомалийские пираты захватили вашу яхту — компьютер.

Вирус шифровальщик зашифровал файлы на компьютере, что делать, как вылечить и как исправить?

И не отдадут вам файлы, пока вы не оплатите им выкуп. Выкуп оплачивается при помощи популярных платежных систем.

Сразу скажу — платить не нужно. Большая вероятность, что имеется возможность расшифровать файлы. Расшифровка может произойти в том случае, если вирус-шифровальщик старой версии. Это значит, что антивирусные компании уже нашли способ расшифровать файлы, которые были зашифрованы этим вирусом.

Что нужно делать, если файлы зашифрованы вирусом

Первым делом, заходим на сайт антивирусной компании Doctor Web. Данная компания часто выкладывает в открытый доступ специальные утилиты, которые позволяют расшифровать файлы. Но есть одно но. Нужно обязательно иметь лицензию на антивирус Doctor Web, тогда сотрудники данной компании вышлют вам данную утилиту. Но, как я уже говорил, часто эти утилиты находятся в открытом доступе на сайте антивирусной компании Doctor Web, где вы можете их скачать и попытаться расшифровать свои файлы.

Почему именно «попытаться расшифровать»?

Потому что новые версии вирусов-шифровальщиков, шифруют файлы по особому алгоритму, который часто не поддаются расшифровке. Что делать в этом случае? В этом случае необходимо скопировать все зашифрованные файлы на отдельный носитель: флешку, жесткий диск, DVD, CD диск. И ждать, пока антивирусные компании не разработают утилиту по расшифровке файлов, которые были зашифрованы этим вирусом.

Что делать дальше, когда все зашифрованные файлы на отдельном устройстве

После копирования зашифрованных файлов на флешку или жесткий диск, необходимо произвести полное форматирование жесткого диска компьютера и новую установку Windows. После установки Windows, необходимо установить антивирус, который будет обновляться и защищать ваши файлы от вирусов-шифровальщиков.

В этом случае, вы можете обратиться в нашу компанию по телефону 8-927-237-48-09 и воспользоваться услугами компьютерной помощи.

Лечение вирусов-шифровальщиков

Последнее время много проблем создают вирусы-шифровальщики, лечение которых традиционными средствами часто не помогает. Шифровальщики, которым удалось проникнуть в систему, шифруют файлы определенных расширений. Обычно, вирусы такого типа шифруют файлы с расширениями .xls .doc и другие подобные. В таких файлах обычно записана самая необходимая жертве информация.

Компьютерные услуги

Расшифровка файлов не под силу обычному антивирусу. В зависимости от типа вируса могут использоваться различные методы шифрования. Удаление самого вируса не гарантирует освобождение файлов из-под шифра. Для лечения зашифрованных файлов используются специальные инструменты. Методы лечения вирусов-шифровальщиков предлагают крупные антивирусные лаборатории. Некоторые методы для лечения мы рассмотрим ниже.

Лечение от Касперского предлагается в виде двух утилит: XoristDecryptor и RectorDecryptor их достаточно запустить и они могут помочь справиться с заражением. Если зашифрованные файлы вылечить не удалось, то программы предложат отправить для изучения неизвестный файл, а со следующими базами утилит выйдет подходящий дешифратор, который сможет решить проблему.

Если вы счастливый обладатель лицензии на антивирусные продукты от dr.web, то сможете передать на анализ зашифрованные файлы через эту форму, Если вам попался вирус-шифровальщик из семейства Encoder, то  здесь вы сможете прочитать информацию о том, что еще нужно сделать после отправки запроса.

Ваши файлы были зашифрованы — что делать?

Dr.web, кроме того, настоятельно советует отправить заявление в полицию.

Самый лучший способ защититься от вируса — это предупредить его заражение. Основных правил несколько: не пренебрегать антивирусом и использовать все основные меры защиты. Об основных мерах защиты мы подробно писали в этой статье — очень рекомендуем к изучению. Так же, необходимо позаботиться о резервных копиях важных данных. Такие копии лучше всего сохранять на внешний жесткий диск, который не будет постоянно подключен к компьютеру.

Необходимо признать, что файлы, зашифрованные некоторыми вирусами-шифровальщиками, невозможно вылечить. И это не наше мнение, а мнение специалистов антивирусных компаний. Например, файлы вирусов семейства GpCode без закрытого ключа расшифровать невозможно, тут остается только оплатить злоумышленнику его требование и надеется получить дешифратор. Либо ждать, пока кто-нибудь из антивирусных аналитиков не сумеет создать дешифратор.

RectorDecryptor — полезный инструмент для устранения вредоносной программы Trojan-Ransom.Win32.Rector и расшифровки файлов, зашифрованных этим трояном

Описание программы