Новая запись
garners
garners
У Кролика 28 апр 15
Подписаться

CTB Locker: расшифровка, риски и защита

＋
87
145
33
18
Чтобы отправить комментарий — войдите.
  • S
    Spartac_ADM
    30 апр 15
    по Сибири гуляло письмо от судебных приставов с ярлыком Word но расширение реальное exe
    особо умиляло когда юристы ловились...
    короче требуют 10 — договариваешься на 2-3-5т.р.
    по факту оплаты с полученным ключом расшифровка реальна — неоднократно проверено
    Ответить
    ＋
  • garrywill
    garrywill
    30 апр 15
    2 товарища (товарки)) уже "подловили", а теперь хотел показать остальным курицам пост, нооо... "Если ваш AV позволяет использовать фаерволл в интерактивном режиме" — это я КАК им буду рассказывать?))
    А хотя всё очень просто: НЕ открывайте левые вложения в почте — и ВСЁ!
    Ответить
    ＋
  • lsroot
    lsroot
    30 апр 15
    А вообще то бред ведь... Ну вот у меня гетерогенная сеть, и что? Шашакал я в губёшки любое вирьё! На машине, которая хранит инкременты от backup такая ос, что нет вирусов для нее. Нетю... И точка. Даже не запустится вирус никакой, если я его умолять начну запуститься!
    Ответить
    ＋
  • S
    seiryuu
    30 апр 15
    Работаю в сервисе. С января порядка 8 обращений в сам сервис и 5-6 звонков по теме.
    Ответить
    ＋
  • genseks
    genseks
    29 апр 15
    Раз в неделю всё важное сохраняю на внешнем винте.
    А вообще не лазить по помойкам и не открывать неизвестное.
    Ответить
    ＋
  • allcomp
    allcomp
    29 апр 15
    а начиналось всё с кривого *.belyash ещё в начале 2012 года, на сегодняшний день mrbelyash@yandex.ru попался и в команде "разработчиков ПО" трудится над финансовой поддержкой кибер-преступников ;)
    Ответить
    ＋
  • zlojevrej
    zlojevrej
    29 апр 15
    Регулярный Ghost в файл на отдельный жесткий диск раз в месяц-два. Уже держу где-то 5-6 таких файлов. "И пусть портится" :)
    Ответить
    ＋
    • Trpek
      Trpek
      zlojevrej 29 апр 15
      !!!
      Насколько я знаю последний Ghost был от 2000-го года. Имел только DOS версию, не работал с SATA дисками и RAID массивами. И что, проект кто-то поднял? Или твой комп настолько раритет??
      Ответить
      ＋
      • zlojevrej
        zlojevrej
        Trpek 29 апр 15
        Использую из Hiren 9.5. DOS версия но видит и SATA и USB диски
        Ответить
        ＋
        • zlojevrej
          zlojevrej
          zlojevrej 29 апр 15
          Поднимаю ДОС из Hiren 15. Он монтирует CD как R. Меняю на старый CD.
          R:
          CD \Bootcd
          c:
          r:uharcd -e r:ghost.uha
          ghost.exe
          И все. Но RAID не потянет.
          Ответить
          ＋
          • zlojevrej
            zlojevrej
            zlojevrej 29 апр 15
            Перепутал: CD монтирует как C:. R — это временной диск в памяти
            Поятому команды наоборот :)
            Ответить
            ＋
  • 7
    7Trex
    29 апр 15
    Защита очень простая — делайте бэкапы в зип/рар с отсечением расширения — для вируса это будут просто большие файлы неизвестно чего и не надо будет отсоединять бэкап-диск. можно еще их делать read-only/system/hidden.
    Ответить
    ＋
    • Dmitry68
      Dmitry68
      7Trex 29 апр 15
      для вируса это будут просто большие файлы неизвестно чего и не надо будет отсоединять бэкап-диск Если вирус способен прочитать первые 10 байт этого "длинного файла" то опознать, что перед ним на самом деле архив а не что иное не проблема.
      Ответить
      ＋
      • 7
        7Trex
        Dmitry68 29 апр 15
        Фишка в том, что вирус заражает файлы исходя из расширения, а не сканирует все файлы. Почему так ? потому что это непродуктивно, ведь это займет много времени и он может быть обнаружен, а процент людей защитившихся таким образом пока ничтожен.
        Ответить
        ＋
        • Dmitry68
          Dmitry68
          7Trex 30 апр 15
          Логику работы виря не сложно и поменять. К примеру проверять не только по расширению, но и "длинные файлы" по "преамбуле". Поверьте, на обычном компе (если это не HTPC) файлов длиной более двух-трех десятков мозгобайт не так чтобы и очень много.
          Ответить
          ＋
    • Trpek
      Trpek
      7Trex 29 апр 15
      >>>..можно еще их делать read-only/system/hidden..
      Ответить
      ＋
      • 7
        7Trex
        Trpek 29 апр 15
        основная фишка в первом предложении, второе — это просто бонус...
        Ответить
        ＋
        • Trpek
          Trpek
          7Trex 29 апр 15
          Правда ничего не прибавляющий к безопасности.
          Ну разве что пользователи случайно не удалят архив...
          Ответить
          ＋
          • 7
            7Trex
            Trpek 29 апр 15
            Этот вирус определяет файлы сугубо по расширению. Если его нет, то заражения не будет — проверено дважды на зараженных сетях. Весь бэкап выжил на 100%. Не верите — скачайте вирус и проверьте на отдельном компе. Это самая простая защита при которой не надо отсоединять бэкап-диск.
            Ответить
            ＋
            • Trpek
              Trpek
              7Trex 29 апр 15
              Поверю на слово.. ))
              Ответить
              ＋
              • 7
                7Trex
                Trpek 29 апр 15
                Опять же, могут выйти модификации, которые будут работать по-другому, но пока это так :).
                раз в недельку может и стоит сделать бэкап на отсоединяемый носитель, но я делаю раз в месяц пока не поступит другая инфа.
                А еще лучше написать маленький скрипт, который после бэкапа "удаляет" диск, а перед ним — "подсоединяет".
                Ответить
                ＋
  • marikab
    marikab
    29 апр 15
    Вот, взгляните на JPEG: он один из массива с зашифрованными фотками. Смотрите в HEX-редакторе, кто-нибудь может подсказать — это расшифровать возможно, или лучше сразу забыть? Проблема не моя, мне просто интересно стало.
    dropbox.com
    Ответить
    ＋
    • trevor
      trevor
      marikab 29 апр 15
      шифруется с помощью программы gpg. затем один ключ из пары перезатирается программой sdelete.
      Это по большому счету даже не вирус...
      Ответить
      ＋
    • madrabbitt
      madrabbitt
      marikab 29 апр 15
      Так зашифровано.
      Если нет под рукой суперкомпьютера и несколько месяцев\лет времени на расшифровку, то ...
      Ответить
      ＋
  • T
    tolik_1977
    29 апр 15
    Сам буквально позавчера столкнулся — письмо пришло якобы от знакомой компании — и оформлено как положено и в поле от кого та компания высвечивается, только если навести курсор и внимательно посмотреть и сравнить с какого ящика раньше приходили письма только тогда становится ясно что это не от них. Вложен был якобы скан акта сверки — не обратил внимание, открыл — итог все документы зашифрованы...
    Вроде и сам достаточно грамотный, а вот тоже накололся :-( Фото только с отпуска жалко.
    Ответить
    ＋
Сделано с NoNaMe