Вирус шифровальщик VAULT — расшифровка

[Петровский]

Боле двух недель назад, меня, исключительно по собственной вине угараздило скачать зип архив с известным вирусом. Письмо выглядело на почте следующим образом:
Сверка по квартала >> 6969
Евгения Глебовна ;
Кому: 342880@mail.ru

2 ноября, 6:061 файл
Просьба оплатить — счета-фактуры детали в приложении. Напоминаю, что в августе у нашего предприятия были измнены банковские реквизиты.

С уважением к клиенту
заместитель финансового директора
ООО ПромПоставка

Все файлы проверены, вирусов нет
1 файл
Счета октябрь_27 oct_139.zip
Скачать 99 КБ

Итог: Все файлы кроме видео зашифрованы…каюк. Результат общения с разными программистами один- БЕЗ ВАРИАНТОВ!
10 минут назад было окончена расшифровка более 17 тыс файлов. Все восстановлено!
Благодаря DR.WEB! Огромнейшая благодарность тех поддержке, спасли мой комп!
Тем, у кого официальная лицензия доктор вэб оказывает помощь по дешифровке. Я, к счастью обладатель этой лицензии. Переписка с ними заняла более недели. В основном задержка по причине моих несовершенных знаний по управлению ПК.
ВАЖНО!
Антивирус ни в коем случае не виноват в заражении моего пк. Так совпало, что утром переустановили систему, а я ждал важного письма от клиента, поэтому лазил в почте на свой страх и риск. Скачан вирус был, когда антивирус отсутствовал на ПК.
Так что может кого то спасет мой пост. Если есть лицензионный антивирусник — обращайтесь в тех поддержку!
Еще раз риспект тех отделу Доктор Вэб! СПАСИБО!

[Slavchuk]

Мать на работе сталкнулась с этой проблемой, передам ей инфу, может купят фирмой лицензию. Спасибо.

[SunChess]

А что cureit не справляется с этой заразой?

[Andrey]

cureit не справляется с этой заразой
Cureit скажем тоже не на все руки мастер. Я тут дочери стырнетил "офис"(каюсь), случайно не на ту кнопочку нажал в процессе. Как попёрло со всех сторон.Так этот скарабей ничего не смог сделать. Победил только сканером от Emsisoft.Ни разу не рекламирую, просто опыт.

[Лепигрин]

Есть криптолокеры, от которых не спасает ничего. Он формирует ключ, шифрует им файлы, отправляет ключ (а иногда и не отправляет (в этом случае есть шансы на восстановление)) на командный сервер и самоудаляется, результат проверки - система без вируса (он же самоудалился) и куча зашифрованых файлов.
Одна из последних рассылок на работе - якобы от DHL.
Самое забавное, что иногда для запуска вируса требуется 100500 действий, но пользователей и это не останавливает. Иногда эти бараны еще и шлют письмо вида "Не могу скачать архив, а там очень нужный документ, исправьте пожалуйста!!!11". Но это, к сожалению, печально, а не смешно. Особенно, когда зашифровано порядка 10 ТБ благодаря сразу нескольким пользователям.

Автору темы невероятно повезло.

[annsk]

У меня жена на рабочем ноуте вопреки предупреждениям системы об опасности все таки заразила комп этим шифровальшиком. Спасло то что на компе не была отключена стандартная для винды система теневых копий файлов. Все лечение свелось к устранению этой заразы из системы, удалению зашифрованых файлов и востановлению их-же из теневой копии. Делов на 10 минут.

[demmons]

Вчера на почту пришло данное письмо и было благополучно мною удалено не открывая.

[Ivolga]

У нас пару месяцев назад на работе кому-то такое "прилетело", и через общий сервер заразило компы всех 70 сотрудников. На три дня офис был выведен из строя))

[Иети]

Какая интересная и насыщенная жизнь у людей!
А тут, хоть бы муха пролетела:smile:
Помню первый "вирус" который увидел, осыпал буквы на экране. Минут через 5, внизу экрана лежала горка из букв, цифр и символов. :smile:

[detonator]

Cureit скажем тоже не на все руки мастер. Я тут дочери стырнетил "офис"(каюсь), случайно не на ту кнопочку нажал в процессе. Как попёрло со всех сторон.Так этот скарабей ничего не смог сделать. Победил только сканером от Emsisoft.Ни разу не рекламирую, просто опыт.
куре ит из под линухи чистит практически все....правда сейчас по-моему платный его сделали....

[SunChess]

куре ит из под линухи чистит практически все....правда сейчас по-моему платный его сделали....
Если зараза сидит до установки антивируса,то не факт ,что антивир справится. У нас айтишники всем права порезали на открытие архивов из почты, на установку программ, установку прог на системный диск и проблем с вирусами нет.

[detonator]

Если зараза сидит до установки антивируса,то не факт ,что антивир справится. У нас айтишники всем права порезали на открытие архивов из почты, на установку программ, установку прог на системный диск и проблем с вирусами нет.
Я в свое время когда учился в универе подрабатывал как раз аникейщиком на дому-загрузочная флешка с куре итом никогда не подводила.....ну и конечно ручками так же кое-что подчищать приходилось.

[igoreha]

а мне такие частенько приходят, но только в спам

[Alexf182]

Вот и я пару дней назад лопухнулся- поймал из почты на рабочем ноутбуке шифровальщик Нейтрино- как потом выяснилось был внедрен в резюме в доковском формате во вложенном внутри pdf файле.
Часа за 2 работы зашифровал гад примерно 50 % информации (около 9 тыс файлов), правда по большей части "хлам и мусор", который есть возможность восстановить, но ок. 20 % и нужной информации (придется попотеть в поисках копий).
Каспер ничего не обнаружил.
Сисадмин потом целый день колдовал над ноутом, но ничего сделать не смог никакими антивирусами и дешифровальщиками. Прога ничем не определяется.
Консультировался с другим сисадмином - оба сошлись примерно в одном ответе, что бестолку высылать деньги за ключ- всё равно ничего не расшифруешь или вообще деньги уйдут без ответа.
В каждой папке сформировался текстовый файл вот с таким сообщением:
"Запросить стоимость декриптора можно, написав письмо на адрес:danny.walswen@protonmail.com
В ТЕМЕ письма укажите ваш ID:4271401817
Письма без указания ID игнорируются.
Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.
Вы можете их окончательно испортить и даже оригинальный декриптор не поможет.
Приобрести декриптор можно до 19.05.2016
Заявки обрабатываются автоматической системой."

Ради интереса послал запрос, и вот что пришло через несколько часов:

"Благодарим вас за обращение.
Стоимость вашего уникального ключа на данный момент составляет - 5 000 р.
Если данная сумма для вас слишком велика - проигнорируйте данное сообщение.
Если вы приняли решение об оплате - отправьте свое подтверждение.
Пустое письмо не является подтверждением.
В ответ вы получите реквизиты и инструкцию по дальнейшим действиям.
После получения вами реквизитов у вас будет ровно 6 часов для проведения оплаты.
Если за это время от вас не поступили средства - ваши дальнейшие обращения будут игнорироваться.
После подтверждения оплаты вы получите программу-декриптор, которая дешифрует все ваши документы.
FAQ:
Расшифруйте тестовый файл - никакие файлы без оплаты не высылаем.
Я оплатил, когда пришлете декриптор? - система отправит декриптор сразу после подтверждения оплаты.
Готов заплатить максимум 1000 рублей - цена фиксирована, торга нет.
Можно оплатить как-то по-другому? - Нет, для оплаты используйте только ту платежную систему, которую вам указали.
Гарантии - может договор с вами заключим? Сомневаетесь - не оплачивайте.
Обращаясь к посредникам, вы увеличиваете стоимость расшифровки.
Оригинальный декриптор можно приобрести только у нас.
Данное письмо создано автоматизированной системой.

У кого-нибудь реально получилось за деньги "вежливым" вымогателям расшифровать файлы после шифровальщика Нейтрино?

И будьте внимательны при работе с почтой!

[snv1511]

Я не знаю какой именно шифровальщик. Но у меня два раза клиент попадал на аналогичные вирусы - оба раза платил (точно не помню - вроде 6 и 20 тысяч) и оба раза расшифровывал.

[vulture2015]

вроде 6 и 20 тысяч
:eek:
Увеличьте ваше сообщение до 10 символов.

[woevoda]

У нас рабочий комп ловил, причем на который ЭЦП для торгов завязана. Систему сносили, но файлы нужные восстановил наш паренек рукастый-головастый. Все смысла не было.

[Benos]

были раньше случаи попадалова с разными рода вирусами.
Купил лицензию Acronis True Image (обошлась 1500 р вроде.)
Настроил бэкапы нужных папок на соседний HDD + облако (подвязал ya.ru)
Не панацея конечно, но во всяких "житейских" ситуациях шансы потерять полезную инфу сократились.

Причем Acronisом можно создать системный раздел восстановления, к которому доступа из системы нет, и как мне думается вирусам к нему сложно добраться (хотя если сильно заморочиться, то все можно сделать).

А если по теме, кинуть наверное не кинут(я думаю), но вот отправленные деньги точно на хорошее дело не пойдут.

Фаил в лабораторию касперского выслали?

добавлено через 8 минут
Alexf182, https://forum.kaspersky.com/index.php?showtopic=218224

[Петровский]

Alexf182 Обращайтесь в тех поддержку Касперского если он лицензионный.

[Alexf182]

Alexf182 Обращайтесь в тех поддержку Касперского если он лицензионный.
Касперский, к сожалению, не лицензионный, поэтому обращаться к ним бестолку. Почитал форумы Касперского и доктора Web - итог пока один, без оригинальных ключей расшифровка невозможна, или займет столько времени (от нескольких недель до месяцев) что экономически не целесообразна - да и зашифрованная частично информация хоть и нужная, но не сверхсекретная и не сверхважная - потихоньку можно восстановить из старых копий, что-то поискать в почте, на других компах, у контрагентов или заново создать из ума.
Это же (невозможность расшифровки без ключа) подтверждают и знакомые админы.

Кстати, есть на форуме хорошо разбирающиеся в программировании?
Один админ и на форумах пишут, что винду сносить не надо, т.к. шифровальщик вроде бы не трогает системные файлы и после шифрования самоуничтожается.
Но у меня шифровальщик не успел до конца доделать своё грязное дело, был прерван выключением ноутбука. Поэтому вопрос остался, хотя тело шифровальщика на компе не было найдено. Проверяю ноутбук регулярно, пока повторных запусков шифровальщика не обнаружено.
Другой админ говорит, что лучше винду полностью снести и переустановить, а то мало ли куда это шифровальщик мог внедриться, и возможно с каким-нибудь обновлением винды перезапустится вновь.

Файл зараженный шифровальщиком остался, админ из под линукса запускал - вроде как не активен. Прога написана для запуска под Win32. Частично текст проги читается, остальное нужно какими-нибудь другими прогами пробовать прочитать (сам в этом слабо разбираюсь).
Может кто-хочет в проге покопаться (могу скинуть на почту :biggrin:), узнать алгоритм работы шифровальщика, сделать примерное описание его работы/внедрения/ время самоуничтожения и т.п. и выложить на форум (м.б. в том числе профильный) для освещения информации. Мои аутсорсинговые админы что-то не очень хотят пока копаться в шифровальщике (типа время нет, но себе на всякий случай сохранили файлик).

[GrAndAG]

Отец ловил шифровальщик. Я краем глаза глянул - зашифровал несимметричным ключом. Ключ для зашифровки оставил на диске, а ключ для расшифровки, насколько я понял, отослал на какой-то сервак. Тоже просил отослать ID ключа (имя того файла с ключом шифровки). Такое расшифровать собственными силами, не имея ключа для расшифровки, почти не реально. Там хотя-бы какой-нибудь RSA, и всё, суши вёсла. Некоторым везёт, и они успевают поймать ключ для расшифровки у себя на диске (во время создания оного шифровальщиком), но обычно он, после отсылки на сервер, тщательно вытирается с диска.

[Лепигрин]

Alexf182, Если Вам через Нейтрино попался TeslaCrypt, то разрабы вируса опубликовали мастер-ключ для расшифровки.
https://threatpost.ru/master-decryption-key-released-for-teslacrypt-ransomware/16297/