Произошло заражение системы трояном-шифровальщиком Trojan.Encoder.858,
Весь медиаконтент имеет такой вид:

Создатели трояна просят 5000 руб за расшифровку, при этом в качестве доказательства показательно расшифровывают присланный файл.
При этом Дрвеб-овцы единогласно утверждают что расшифровать файл не возможно, даже при наличии движка-дешифратора.
В чем здесь грабли ?
Если используется симметричный RSA, то при шифровке наверняка ключ должен был сохраниться на компе перед отправкой его злоумышленникам, так ?
Может кто-нибудь грамотно разъяснить как этот троян шифрует файлы, что никто не берется их расшифровать ?
Оригинал троянца и зашифрованные файлы в наличии, пока не прибил.

| Сообщение посчитали полезным:

С коих это пор RSA симметричный? Гугл асимметричная криптография.

| Сообщение посчитали полезным:

ошибся, Симметричное на основе RSA

| Сообщение посчитали полезным:

давайте я вам дам запароленный архив и вы будете его взламывать?!
/thread

| Сообщение посчитали полезным:

YURETZS пишет:
Может кто-нибудь грамотно разъяснить как этот троян шифрует файлы, что никто не берется их расшифровать ?
А что, на форумах Др.Веба или ЛК объяснений не найти?

Общий подход: файлы шифруются быстрым симметричным алгоритмом, чаще всего AES, а ключ к нему шифруется публичным ключом RSA достаточной длины, приватный ключ есть только у разработчиков вируса, получить его факторизацией N за приемлемое время нереально. Сбрутить ключ AES тоже нереально, а восстановить его могут только вирусописатели. Если файлы ценные - заплатите, не надо ругать аверов, они не всесильны.

Кстати, можете написать заявление правоохранителям, т. к. уголовно наказуемое деяние налицо. Но на результат особо не рассчитывайте. Пока еще не слышал, что нашли хотя бы одного вымогателя.

| Сообщение посчитали полезным: YURETZS, Artem_N

Prober
Теперь понятно, Thanx.
Тады смело Format C: - больше желания возиться с этим барахлом не возникает

Хотя при симметричной шифровке ключ возможно где-то и остался, например в pagefile.sys
Но искать иголку в стоге сена слишком муторно и не факт что ее найдешь, аффтар троянца наверняка после зашифровки ключег тщательно затер.

| Сообщение посчитали полезным:

YURETZS пишет:
аффтар троянца наверняка после зашифровки ключег тщательно затер
А кто сказал, что он его хранил в теле ? Да и вероятность того, что кто-то до него бы добрался ничтожно мала.Заражение шифровальщиком - это пример того, что не всегда стоит доверять файлам из интернетика и хоть какие-то навыки исследования, интуицию и защиту от вирусов нужно иметь.Наукой будет впредь.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

unknownproject пишет:
Заражение шифровальщиком - это пример того, что не всегда стоит доверять файлам из интернетика и хоть какие-то навыки исследования, интуицию и защиту от вирусов нужно иметь.Наукой будет впредь.

Надо же, капитан очевидность, здесь обсуждаются варианты восстановления дефакто зашифрованного медиаконтента, а не кто и когда прое...л.

Ко мне обратились за помощью пролечить ноутбук ребенка, а не прочитать мораль как и где пользоваться интернетом

Добавлено спустя 11 минут
reversecode
давайте я вам дам запароленный архив и вы будете его взламывать?!

Одно дело ты мне даешь рар-архив, запакованный с паролем на твоем компе и у меня нет и намека на кей.
В данном случае у меня имеется система, где происходило шифрование, и парль вводился НЕ с клавы, а скорее всего генерился рандомно, и возможно, сделав BSOD во время шифрации из дампа можно было выудить ключ.
Я просто хочу выяснить, почему Вебовцы со 100-процентной уверенностью говорят, что в зараженной системе ключ не найти.

| Сообщение посчитали полезным:

YURETZS пишет:
Вебовцы со 100-процентной уверенностью говорят, что в зараженной системе ключ не найти
Может надо глянуть в сторону работы напр. CryptGenRandom ?
Обычно её используют в таких целях, при чём всё реализовывается на MS'овских cryptoapi (рандом (ключ для аеса)+аес+рса), чтобы ничего лишнего не тянуть в тело малвари.

-----
ds

| Сообщение посчитали полезным:

как раз таки в малваре все, свое что бы по максимуму не зависеть от системы
ну давайте устройте потрошение этого вируса, раз уж он на руках

| Сообщение посчитали полезным:

Чем-то пожат, а для дебага нужон тестовый комп или ВМ, пока нет такового.



| Сообщение посчитали полезным:

так вы выкладывайте его)) может кто и так разберет
тем более дебаг особо не всегда и нужен, ида в статике и так все разберет, а остальное emu86 плагином добьет или через борщ

| Сообщение посчитали полезным:

Имея источник заразы можно судить о наличии ключа, использованного в процессе шифрования.Ничего не мешало считывать его из скрипта или бд на серваке в зашифрованном виде.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

--> тут <--

пас

ySjh58G26d7um31A9sNR

| Сообщение посчитали полезным:

не представляю как можно было заразится, когда MS Essentials кричит на него и не дает распаковать )))

| Сообщение посчитали полезным:

В temp создается state.
Его тело:

Имеем дело с тор сервером.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

reversecode
Не знаю, на этом буке стояла 8-ка, видать как в магазине поставили так и юзали, без антивиря, браузером я так понял ходили штатным IE

| Сообщение посчитали полезным:

он --> Link <--

Добавлено спустя 0 минут
там ЕСС переделанный если верить кс

| Сообщение посчитали полезным:

reversecode
--> Link <--/1426263372/

Этот андромом зовется, мод скорее всего.

| Сообщение посчитали полезным:

YURETZS пишет:
на этом буке стояла 8-ка
Фи! Сейчас в моде Linux (xbuntu, Mint) - ставьте его и забудьте про Encoder.858 (прям лозунг получился)

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Фи!
Не просто фи.Там еще и аппаратная привязка и винду придется сносить с штатного харда или перешивать биос.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

ELF_7719116
Да поставить можно всё что угодно, это уже вторично, а первично мне приносят на лечение уже по факту зараженную систему с пошифрованным контентом.
С линуксами у нас народ не очень дружит, поэтому ставлю в основном 7-ку (своя сборка) с клона.

Добавлено спустя 2 минуты
unknownproject
Ну какая нафик привязка, в биосе убираешь секурити бут, ставишь легаси и хард под ноль, делов то...
Иногда код требует для установки легаси, но это всё штатно.

| Сообщение посчитали полезным:

А енкодер этой версии довольно хорошо разошёлся. Уж я живу в такой глуши, но и здесь уже трое обратились с таким заражением.
На обоях картинка с текстом вымогания, а на дисках текстовые документы с записочкой. Тело походу самоуничтожается, не нашёл я его на машинах.
Всем пострадавшим говорю: запишите зашифрованные данные на болванку (вместе с записочкой, где некий ID записан), авось внуки расшифруют.

-----
AutoIt

| Сообщение посчитали полезным:

Что-то вы такую полемику развели на ровном месте. Достаточно сказать, что при условии, что N>768 - факторизация за допустимое количество времени нереальна, следовательно не важно, есть публичный ключ в теле вируса/пейджфайле/черт знает где еще или нет, просто платите деньги или форматируйте.

| Сообщение посчитали полезным: Quadcon

TryAga1n, ну это смотря как вирус написан. По крайней мере раньше, допускали уйму ошибок на разных этапах, что практически компрометировало любой их ключ: либо с рандомом косяк, либо сохраняли ключ на диск на каком-то этапе и не удаляли его нормально, либо использовали симметричное шифрование. Но сейчас, после CryptoLocker, вроде как нормально делают, хрен расшифруешь. Ключ генерируется на сервере и вирусу отдается только публичный.

| Сообщение посчитали полезным:

Интересно еще, как удаляются данные. Когда ценных данных не так уж и много, можно сдампить диск и r-studio посмотреть, что там было удалено и осталось, к примеру. Если не затёрто, конечно.

А так - да, дохлый номер, ничего не восстановишь, если у автора руки прямые)

-----
Харе курить веники и нюхать клей, к вам едет из Америки бог Шива, и он еврей.

| Сообщение посчитали полезным:

Crawler
CTB-Locker делает как-то так


| Сообщение посчитали полезным:

Crawler пишет:
ничего не восстановишь, если у автора руки прямые
и чаще всего все просто верят, что они таки прямые... но оочень далеко не всегда это так)
недавно тут вроде проскакивал кейгенми с RSA-2048... довольно забавная вещь, и находишь дырку, только потому, что знаешь что это возможно иначе доходишь до размера ключа и говоришь забудь

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным: