Breaking bad вирус как вылечить
Как-то давно (более полугода назад) пришло письмо на почту от какой-то там компании, как оказалось — фейковой. Текст письма не помню, но во вложении был архив. По неосторожности я его скачал, внутри был файл с расширением exe. Потом какая-то неведомая сила меня толкнула его запустить. Запустил, ничего не открылось и не произошло вообще ничего (так мне казалось на тот момент). Спустя некоторое время мне понадобился один старый документ и я полез за ним на диск. Как же я был удивлен, когда увидел вместо моих документов кучу файлов вида «nevxj0xB0Kp3fcDlo6hleQbMTX8MGheTYUNBRgJ3ZwzzpcLd5gGto7XZ68o
pFEw4F52FEB484FB9F27E33AB.breaking_bad«.
Оригинальных же документов, естественно, что не было. Так произошло со всеми файлами на всех дисках, кроме системного (до сих пор не знаю почему). Позже до меня дошло, что подцепил «вирус», который зашифровал мои документы, изображения, музыкальные файлы, видео файлы в файлы с расширением breaking_bad. Как же я был опечален, ведь там фото 10-летней давности были, любимые фильмы, сериалы, музыка и так далее. И некоторые из них мне были нужны прямо сейчас. Так же в корне каждого диска я заметил кучу файлов readme.txt, которые содержали текст:
Естественно, что они бы потребовали за это кругленькую сумму. Деньги не было желания никакого отдавать злоумышленникам, потому решил самолично разобраться с этим. Маленькое уточнение — на момент шифрования на ПК отсутствовал вообще какой-либо антивирь и фаервол. И так, что я предпринимал.
Простой вариант переименовывания со сменой расширения вообще не дал никакого результата. Далее решил скачать лечащую утилиту drweb cureit. Прогнал ее по системе — та нашла пару десятков троянов и на этом всё. Шифрованные файлы такими и остались. Любые другие антивирусы не дали вообще никакого результата. На просторах интернета нашел информацию от «коллег» по несчастью с такими же признаками заражения. Многим удалось решить проблему при помощи сотрудников от компании Касперского, Dr Web, но для этого нужна была лицензия ( которой у меня не было). Попробовал и различные утилиты от «каспера», типа kaspersky rakhnidecryptor и другие — толку ноль. На этом мне надоело и я решил отложить данный вопрос на другое время. И да, переустановка ОС тоже не даст ничего.
Спустя полгода, решил вновь вернутся к этому. Выдался день, когда делать было нечего и я взялся за это. Результат положительный. Теперь же о том как дешифровать breaking_bad.
Для начала, я проверил ПК утилитой AdwCleaner (by ToolsLib):
- Скачать на рабочий стол и запустить от имени администратора.
- Нажать кнопку Scan (Сканировать).
- По окончании сканирования, в меню Инструменты —> Настройки отметьте дополнительно Сбросить:
Политики IE
Политики Chrome. - Нажмите кнопку «Cleaning» («Очистка») и ждем окончания удаления.
После этого нужно перегрузить ПК.
Теперь о том, как дешифровать файлы breaking_bad:
- Скачиваем утилиту ShadeDecryptor от Касперского. Распаковываем архив. Запускаем программу.
- Далее жмем по «Изменить параметры проверки». Здесь выбираем что нужно проверить и ставим галочку напротив пункта «Удалять зашифрованные файлы после успешной проверки».
- Нажимаем «Начать проверку». Далее программа предложит указать путь к любому из зашифрованных файлов. Если утилита не сможет определить идентификатор заражения, она запросит путь к файлу readme.txt. Укажите сей путь.
Далее ждем пока не закончится проверка, наблюдая как расшифровываются файлы (один из самых приятных моментов).
На этом всё. Дешифратор breaking_bad успешно расшифровал практически все мои файлы. Пользуйтесь на здоровье данным методом и на будущее — не скачивайте из интернета неизвестные архивы, файлы, как сделал это я ????
С уважением для Вас, Блог свободного человека!
Источник
Ладлен 4 года назад Да и у меня была аналогичная ситуация. Но мне было легче, так как у меня специалист под боком. Да сам бы я и не стал морочится, хотя он мне дал ссылку. Так что ему самому пришлось этим заниматься. Но если у вас есть желание и время , вы сами по этой ссылке можете решить вашу проблему. система выбрала этот ответ лучшим С С С Р 4 года назад Самому пытаться расшифровать — совершенно глупое занятие, если Вы не профессиональный борец с вирусами (а Вы — не он, иначе что Вам делать в этом вопросе, правда?). Платить вымогателям — тоже не наш метод. Что же делать? Как спасти данные, которые очень важны? Обратиться к специалистам — единственный вариант. Мне помогла Лаборатория Касперского. Но чтобы они взялись помогать — нужно быть лицензионным пользователем какого-нибудь их продукта, пиратам помогать никто не станет. Если у Вас с этим всё нормально — пишите в форум, вот сюда, и Вам помогут, вот так, пришлют программу-дешифровальщик, если сделаете правильно, что скажут и пришлете необходимые файлы. Gladius74 4 года назад С вирусами бороться нужно антивирусниками. Если вы «схватили банер» то тут без вмешательства с сайта касперского или доктора вэба, обойтись сложно, хотя возможно… через строку выполнить и т.д.(процесс не быстрый) Но если это не банер, то все гораздо проще. Хапал я как то вирус, который заполнял все свободное пространство на винте, т.е. не давал ничего скачивать, блокировал мой антивирус. и даже не давал заходить на сайты с онлайн антивирусниками. Часа 2-3 я его мучал — тщетно! После этого, я взял планшет, скачал cureit Доктор Вэба, перекинул его на флэшку. После чего перезагрузил компьютер, и первой же операцией запустил с флэшки cureit. Вирусягу как ветром сдуло. Потом естественно все клинером почистил. И все… можно пользоваться дальше. Peresvetik 3 года назад Выход на самом деле просто, обратиться туда, какой антивирус у вас стоит, я имею в виду лицензионный и платный.К примеру у меня много лет стоит Д.Веб, и когда случались какие то форс-мажорные обстоятельства, то я писала письмо и в течении одних суток получала ответ и помощь. Все дело в том,что они поддерживают свои продукты,которые оплачены.И есть разные утилиты для борьбы. Потому что на самом деле хакеры так делают,что сами вы никогда и ничего не сможете исправить,они ведь специалисты в данном деле. Есть специальные форумы, где смогут оказать помощь, но для этого там нужно постоянно общаться,чтобы вас там знали. Сергей 5 4 года назад Массовая зашифровка файлов троянами делается на профессиональном уровне. Те профессионалы, которые навязчиво предлагают в интернете дистантную помощь по расшифровке, не заинтересованы в помощи. Им просто деньги нужны, а не своя репутация. После получения суммы они исчезают. Я бы обратился сам к любому интернетовскому авторитету. Многие антивирусники и создатели программ имеют опыт и возможности. При работе с лицензионными продуктами можно обратиться по адресу. Они защищают свои продукты. Можно и на форуме тематическом зарегаться, обсудить там проблему. Добрые люди могут кинуть дешифровку или ссылку дать. Или связаться с теми, кто на дом выезжает вирусы убивать. Понтэниан Гэусянски 3 года назад У меня знакомый недавно такой вот «шифратор» поймал через эл.почту Чего он только не пробовал — и антивирусы менял, и даже в реестре копался Ничего не помогало. Шифровальщики за отмену просили деньги — платить однако не стоит Так что единственный вариант отнести ПК спецам в специальный сервис Пускай они разбираются — ведь это их работа, вирусы да шифровки убирать. P,S: как уже писали — обратитесь в техническую поддержку антивируса. К сожалению, уровень компьютерной грамотности редко соответствует такому уровню, чтобы можно было самостоятельно излечить файл, и даже, если когда-то обучили такой премудрости, то система уже могла измениться много раз. Поэтому ответ такой- обратиться к специалисту. Said Petrov 3 года назад Успех восстановления файла и расшифровки зависит от самого вируса,если он слабый то можно обойтись антивирусным лечением.У Касперского очень сильный движок в этом плане.Если это не помогло то отправьте файлы на почту специалистам Касперского newvirus@kaspersky.com Andry32 3 года назад самый верный вариант-воспользоваться антивирусом. лучше всего использовать лицензионные версии, но это дорого. если решитесь-берите касперского, мне он хорошо помогает, а когда только купил и установил, то он сразу нашел пару десятков вредоносных программ на моем компьютере. болеее дешовый способ-скачать бесплатную утилиту по ссылке https://free.drweb.ru/cureit, и попробовать вылечить с ее помощью. шансов мало, но они есть. на будущее-антивирус необходим, если вы привыкли летать по просторам интернета и качать файлы с незнакомых сайтов Искатель приключений 3 года назад Если на ваш компьютер попал данный вирус, то самое простое решение это обратится классифицированному специалисту, сейчас таких компаний полно, оказывающие такие услуги. А если у вас стоит на компьютере лицензионный антивирус, то вы можете обратиться в их техническую поддержку они должны оказать вам помощь в решение данной проблемы, единственное они могут взять еще дополнительную оплату за это. reparcam 4 года назад Антивирус просто до конца убьет файл и ничего вы не разблокируете, поэтому самому нечего туда лезть, нужно подать заявку в любую антивируснуб лабораторию, но там с вас возьмут денег за такую услугу, хотя некоторые пользователи лицензий говорят, что это делается бесплатно. Есть мнение в нете, что сами спецы в лабораториях пишут эти вирусы, специально чтобы потом эти файлы лечить за деньги. Знаете ответ? |
Источник
Сами по себе вирусы как компьютерная угроза сегодня никого не удивляют. Но если раньше они воздействовали на систему в целом, вызывая сбои в ее работоспособности, сегодня, с появлением такой разновидности, как вирус-шифровальщик, действия проникающей угрозы касаются больше пользовательских данных. Он представляет собой, быть может, даже большую угрозу, чем деструктивные для Windows исполняемые приложения или шпионские апплеты.
Что такое вирус-шифровальщик?
Сам по себе код, прописанный в самокопирующемся вирусе, предполагает шифрование практически всех пользовательских данных специальными криптографическими алгоритмами, не затрагивающее системные файлы операционной системы.
Сначала логика воздействия вируса многим была не совсем понятна. Все прояснилось только тогда, когда хакеры, создававшие такие апплеты, начали требовать за восстановление начальной структуры файлов деньги. При этом сам проникший вирус-шифровальщик расшифровать файлы в силу своих особенностей не позволяет. Для этого нужен специальный дешифратор, если хотите, код, пароль или алгоритм, требуемый для восстановления искомого содержимого.
Принцип проникновения в систему и работы кода вируса
Как правило, «подцепить» такую гадость в Интернете достаточно трудно. Основным источником распространения «заразы» является электронная почта на уровне инсталлированных на конкретном компьютерном терминале программ вроде Outlook, Thunderbird, The Bat и т. д. Заметим сразу: почтовых интернет-серверов это не касается, поскольку они имеют достаточно высокую степень защиты, а доступ к пользовательским данным возможен разве что на уровне облачных хранилищ.
Другое дело – приложение на компьютерном терминале. Вот тут-то для действия вирусов поле настолько широкое, что и представить себе невозможно. Правда, тут тоже стоит сделать оговорку: в большинстве случаев вирусы имеют целью крупные компании, с которых можно «содрать» деньги за предоставление кода расшифровки. Это и понятно, ведь не только на локальных компьютерных терминалах, но и на серверах таких фирм может храниться не то что полностью конфиденциальная информация, но и файлы, так сказать, в единственном экземпляре, не подлежащие уничтожению ни в коем случае. И тогда расшифровка файлов после вируса-шифровальщика становится достаточно проблематичной.
Конечно, и рядовой пользователь может подвергнуться такой атаке, но в большинстве случаев это маловероятно, если соблюдать простейшие рекомендации по открытию вложений с расширениями неизвестного типа. Даже если почтовый клиент определяет вложение с расширением .jpg как стандартный графический файл, сначала его обязательно нужно проверить штатным антивирусным сканером, установленным в системе.
Если этого не сделать, при открытии двойным кликом (стандартный метод) запустится активация кода, и начнется процесс шифрования, после чего тот же Breaking_Bad (вирус-шифровальщик) не только будет невозможно удалить, но и файлы после устранения угрозы восстановить не удастся.
Общие последствия проникновения всех вирусов такого типа
Как уже говорилось, большинство вирусов этого типа проникают в систему через электронную почту. Ну вот, допустим, в крупную организацию, на конкретный зарегистрированный мэйл приходит письмо с содержанием вроде «Мы изменили контракт, скан во вложении» или «Вам отправлена накладная по отгрузке товара (копия там-то)». Естественно, ничего не подозревающий сотрудник открывает файл и…
Все пользовательские файлы на уровне офисных документов, мультимедиа, специализированных проектов AutoCAD или еще каких-либо архиважных данных моментально зашифровываются, причем, если компьютерный терминал находится в локальной сети, вирус может передаваться и дальше, шифруя данные на других машинах (это становится заметным сразу по «торможению» системы и зависанию программ или запущенных в данный момент приложений).
По окончании процесс шифрования сам вирус, видимо, отсылает своеобразный отчет, после чего компании может прийти сообщение о том, что в систему проникла такая-то и такая-то угроза, и что расшифровать ее может только такая-то организация. Обычно это касается вируса paycrypt@gmail.com. Дальше идет требование оплатить услуги по дешифровке с предложением отправки нескольких файлов на электронную почту клиента, чаще всего являющуюся фиктивной.
Вред от воздействия кода
Если кто еще не понял: расшифровка файлов после вируса-шифровальщика – процесс достаточно трудоемкий. Даже если не «вестись» на требования злоумышленников и попытаться задействовать официальные государственные структуры по борьбе с компьютерными преступлениями и их предотвращению, обычно ничего путного не получается.
Если удалить все файлы, произвести восстановление системы и даже скопировать оригинальные данные со съемного носителя (естественно, если таковая копия имеется), все равно при активированном вирусе все будет зашифровано заново. Так что особо обольщаться не стоит, тем более что при вставке той же флешки в USB-порт пользователь даже не заметит, как вирус зашифрует данные и на ней. Вот тогда точно проблем не оберешься.
Первенец в семействе
Теперь обратим внимание на первый вирус-шифровальщик. Как вылечить и расшифровать файлы после воздействия исполняемого кода, заключенного во вложении электронной почты с предложением знакомства, в момент его появления никто еще не думал. Осознание масштабов бедствия пришло только со временем.
Тот вирус имел романтическое название «I Love You». Ничего не подозревающий юзер открывал вложение в месседже «элетронки» и получал полностью невоспроизводимые файлы мультимедиа (графика, видео и аудио). Тогда, правда, такие действия выглядели более деструктивными (нанесение вреда пользовательским медиа-библиотекам), да и денег за это никто не требовал.
Самые новые модификации
Как видим, эволюция технологий стала достаточно прибыльным делом, особенно если учесть, что многие руководители крупных организаций моментально бегут оплачивать действия по дешифрации, совершенно не думая о том, что так можно лишиться и денег, и информации.
Кстати сказать, не смотрите на все эти «левые» посты в Интернете, мол, «я оплатил/оплатила требуемую сумму, мне прислали код, все восстановилось». Чушь! Все это пишут сами разработчики вируса с целью привлечения потенциальных, извините, «лохов». А ведь, по меркам рядового юзера, суммы для оплаты достаточно серьезные: от сотни до нескольких тысяч или десятков тысяч евро или долларов.
Теперь посмотрим на новейшие типы вирусов такого типа, которые были зафиксированы относительно недавно. Все они практически похожи и относятся не только к категории шифровальщиков, но еще и к группе так называемых вымогателей. В некоторых случаях они действуют более корректно (вроде paycrypt), вроде бы высылая официальные деловые предложения или сообщения о том, что кто-то заботится о безопасности пользователя или организации. Такой вирус-шифровальщик своим сообщением просто вводит юзера в заблуждение. Если тот предпримет хоть малейшее действие по оплате, все – «развод» будет по полной.
Вирус XTBL
Относительно недавно появившийся вирус XTBL можно отнести к классическому варианту шифровальщика. Как правило, он проникает в систему через сообщения электронной почты, содержащие вложения в виде файлов с расширением .scr, которое является стандартным для скринсейвера Windows. Система и пользователь думают, что все в порядке, и активируют просмотр или сохранение вложения.
Увы, это приводит к печальным последствиям: имена файлов преобразуются в набор символов, а к основному расширению добавляется еще .xtbl, после чего на искомый адрес почты приходит сообщение о возможности дешифровки после оплаты указанной суммы (обычно 5 тысяч рублей).
Вирус CBF
Данный тип вируса тоже относится к классике жанра. Появляется он в системе после открытия вложений электронной почты, а затем переименовывает пользовательские файлы, добавляя в конце расширение вроде .nochance или .perfect.
К сожалению, расшифровка вируса-шифровальщика такого типа для анализа содержимого кода даже на стадии его появления в системе не представляется возможной, поскольку после завершения своих действий он производит самоликвидацию. Даже такое, как считают многие, универсальное средство, как RectorDecryptor, не помогает. Опять же пользователю приходит письмо с требованием оплаты, на что дается два дня.
Вирус Breaking_Bad
Этот тип угроз работает по той же схеме, но переименовывает файлы в стандартном варианте, добавляя к расширению .breaking_bad.
Этим ситуация не ограничивается. В отличие от предыдущих вирусов, этот может создавать и еще одно расширение — .Heisenberg, так что найти все зараженные файлы не всегда можно. Так что Breaking_Bad (вирус-шифровальщик) является достаточно серьезной угрозой. Кстати сказать, известны случаи, когда даже лицензионный пакет Kaspersky Endpoint Security 10 пропускает угрозу этого типа.
Вирус paycrypt@gmail.com
Вот еще одна, пожалуй, самая серьезная угроза, которая направлена большей частью на крупные коммерческие организации. Как правило, в какой-то отдел приходит письмо, содержащее вроде бы изменения к договору о поставке, или даже просто накладная. Вложение может содержать обычный файл .jpg (типа изображение), но чаще – исполняемый скрипт .js (Java-апплет).
Как расшифровать вирус-шифровальщик этого типа? Судя по тому, что там применяется некий неизвестный алгоритм RSA-1024, никак. Если исходить из названия, можно предположить, что это 1024-битная система шифрования. Но, если кто помнит, сегодня самой совершенной считается 256-битная AES.
Вирус-шифровальщик: как вылечить и расшифровать файлы при помощи антивирусного ПО
На сегодняшний день для расшифровки угроз такого типа решений пока не найдено. Даже такие мэтры в области антивирусной защиты, как Kaspersky, Dr. Web и Eset, не могут найти ключ к решению проблемы, когда в системе наследил вирус-шифровальщик. Как вылечить файлы? В большинстве случаев предлагается отправить запрос на официальный сайт разработчика антивируса (кстати, только при наличии в системе лицензионного ПО этого разработчика).
При этом нужно прикрепить несколько зашифрованных файлов, а также их «здоровые» оригиналы, если таковые имеются. В целом же, по большому счету мало кто сохраняет копии данных, так что проблема их отсутствия только усугубляет и без того нелицеприятную ситуацию.
Возможные способы идентификации и устранения угрозы вручную
Да, сканирование обычными антивирусами угрозы определяет и даже удаляет их из системы. Но что делать с информацией?
Некоторые пытаются использовать программы-дешифраторы вроде упомянутой уже утилиты RectorDecryptor (RakhniDecryptor). Отметим сразу: это не поможет. А в случае с вирусом Breaking_Bad так и вовсе может только навредить. И вот почему.
Дело в том, что люди, создающие такие вирусы, пытаются обезопасить себя и дать наставление другим. При использовании утилит для дешифровки вирус может отреагировать таким образом, что вся система «слетит», причем с полным уничтожением всех данных, хранящихся на жестких дисках или в логических разделах. Это, так сказать, показательный урок в назидание всем тем, кто не хочет платить. Остается надеяться только на официальные антивирусные лаборатории.
Кардинальные методы
Впрочем, если уж дела совсем плохи, придется информацией пожертвовать. Чтобы полностью избавиться от угрозы, нужно отформатировать весь винчестер, включая виртуальные разделы, после чего установить «операционку» заново.
К сожалению, иного выхода нет. Даже откат системы до определенной сохраненной точки восстановления не поможет. Вирус, может быть, и исчезнет, но файлы так и останутся зашифрованными.
Вместо послесловия
В заключение стоит отметить, что ситуация такова: вирус-шифровальщик проникает в систему, делает свое черное дело и не лечится никакими известными способами. Антивирусные средства защиты оказались не готовы к такому типу угроз. Само собой разумеется, что обнаружить вирус после его воздействия или удалить можно. Но зашифрованная информация так и останется в неприглядном виде. Так что хочется надеяться, что лучшие умы компаний-разработчиков антивирусного ПО все-таки найдут решение, хотя, судя по алгоритмам шифрования, сделать будет очень непросто. Вспомнить хотя бы шифровальную машину Enigma, которая во времена Второй мировой войны была у немецкого флота. Лучшие криптографы не могли решить проблему алгоритма для дешифровки сообщений, пока не заполучили устройство в свои руки. Так обстоят дела и тут.
Источник
