Как восстановить поврежденный архив?

Question

[susnake]

Добрый вечер.
В организации поймали криптолокера, который зашифровал часть данных. Было "настроено" резервное копирования через Cobian Backup, но при попытке открыть архив появляется сообщение, что архив поврежден. Попробовал через несколько архиваторов - не помогает. Нашел проги для "восстановления" - не помогли.
Архив в формате 7zip.
Если нужны какие-то данные по архиву, то скажите - я предоставлю.
Спасибо.

Comments

[susnake]

попрбовал через восстановление в вин-раре
"Work 2015-01-03 (Полный).7z
Определение типа архива...
---> 7-Zip
WinRAR может восстанавливать только архивы RAR и ZIP
Готово
"

Answer 1

[Spetros]

Архив в формате 7zip.

Первые два байта у вашего файла архива - 7z?

Comments

[susnake]

37 7a bc af 27 1c 20 03

[susnake]

Пожалуйста, помогите...

[Spetros]

Сигнатура верная, а вот номер версии "20 03" - нет.

[Spetros]

Беглое гугление показывает, что Cobian Backup может создавать попорченные архивы.
Чтобы говорить о состоянии файла, нужны
1) точный размер архива в байтах
2) первые 48 байт
3) последние 96 байт.

[Владимир Мартьянов]

И все же: наличие требование бабла за расшифровку? Наличие дополнительных расширений у зашифрованных файлов?

[susnake]

Spetros: Бред какой-то. Сейчас перезакачал этот файл и переоткрыл и Hex стал 37 7A BC AF 27 1C 00 03

[susnake]

vilgeforce: Извините, что так долго не отвечал. С Работы охрана выгнала.
Да, есть. расширение *.Rar (именно такое). И в каждой папки есть файл !rva-файл (rva-это инициалы сотрудника, который открыл файл) и там только
-----BEGIN PGP MESSAGE-----
Version: 2.6.3i

hIwDQxSlr5v0h3kBBADNHsefGKf0ShCh/E+8igIpCd+VowRqZSGwdg45YcfrPqdR
lxOP1gX20YDY+omcthdmbGuu0DPXYee8mgWYzGQ7m9rZjHcXEK8YdIiUnhrJkmv0
4A9i/jpnCQDSnlvOWew5DLDetlKmLAz4GXklvSOuyF1I6KeUXilPfmU1GwdSRKYA
AAAoDh0n4mo3nwq40JUu6UG5oBBTpVdWgvW+C9kkcQFZley07V6husyzQQ==
=ZFz6
-----END PGP MESSAGE-----

[Владимир Мартьянов]

Мдя, скорее всего пичалько: PGP и незнакомый вариант. Если машину не ребутили после шифрования - имеет смысл снимать полные дампы памяти (без перезагрузки), может потом кто-то что-то и сможет оттуда добыть.

[Владимир Мартьянов]

susnake: А другие зашифрованные файлы как себя ведут? Они вообще имеются? Кстати, сам троянчег сохранился?

[susnake]

vilgeforce: Да, сохранилось письмо и архив. В архиве cmd-файл.
Я звонил в Симантек, но так как было поздно и специалистов их небыло, они сказали что завтра/сегодня перезвонит для снятия данных с ПК. Мне хотя бы архив восстановить :(

[Владимир Мартьянов]

susnake: Вирустотал что говорит на этот файл? Подозреваю что-то типа vmartyanov.ru/antlelantosorg-2

[susnake]

Spetros:
1) Точный размер 376 832 байт
2) Первые 48 байт
Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F
000000000 37 7A BC AF 27 1C 00 03 00 00 00 00 00 00 00 00
000000010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
000000020 00 52 15 59 D8 8A A2 FC 31 4E A8 DF 48 66 D8 DC
000000030 5A 57 90 4D 2B 35 9C 60 30 A5 C9 8F 5B 0C 54 7B
3) Последние 96 байт
Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F
1785F4790 F4 E6 35 F1 F8 73 BC E6 6E 10 46 8D 2B 87 43 67
1785F47A0 59 39 C6 9A 1F E5 47 1D 65 4B FC B5 EA 45 F1 FF
1785F47B0 A3 46 61 44 66 0D AD 06 62 F0 04 54 70 98 61 FD
1785F47C0 25 69 3A 05 8A 21 4E 1F FF E8 42 6B F1 17 64 95
1785F47D0 65 5D 55 57 A1 15 B6 F8 C6 12 FB CF 22 01 03 2C
1785F47E0 12 FA 81 76 22 07 CE D5 60 8C FA 5E 8A 07 F3 C7
1785F47F0 7E 80 36 EA 73 3E 65 27 F4 D8 2C E3 D5 F1 58 3A
1785F4800 5D 22 86 03 BC 83

[susnake]

vilgeforce: только 5 антивирусов его задетектили. остальные 57 вместе с симантеком пропустили. https://www.virustotal.com/en/file/79dbdf121038517...

[Владимир Мартьянов]

susnake: Хм... Все страньше и страньше: в 4 кб энкодера впихнуть, конечно, можно, но не PGP. Как вариант - он скачал остальные компоненты (BAT.Encoder.2 так делал). Завтра на работе посмотрю что оно такое, может тогда будет понятно расшифруем или нет, но я ставлю на "нет".

[Spetros]

Заголовок после сигнатуры и окончание файла не соотносятся с тем, что должно быть согласно формату. Согласно статье www.7-zip.org/recover.html у вас There is no correct End Header at the end of archive, по причине того, что создание архива было прервано.

[susnake]

Spetros: т.е. разбить на несколько архивов, я верно понял?

[Spetros]

susnake: Нет, даже если вы восстановите заголовки и впишите правильные контрольные суммы, то восстановить полностью все равно не получится.
"If there is no End Header, you can not recover file names, timestamps, and another metadata, but probably it's possible to recover some data as raw file, and then it's possible to recover data from raw file with some parser."
Т.е. ваши 6 гигабайт могут распаковаться в большой кусок сырых данных, откуда вытаскивать безымянные файлы сторонним парсером.

[susnake]

Spetros: Блин, Жалко. ладно, спасибо за помощь :)

[susnake]

Spetros: Блин, я худший системный администратор в мире :(

[Владимир Мартьянов]

susnake: Посмотрел трояна. С ним в комплекте должен был быть файл morj.rar, есть у вас такой? Может, в самом письме было...

[Владимир Мартьянов]

vilgeforce: Все-таки качает остальные компоненты. Это действительно 556-й энкодер, расшифровка файлов возможна только при наличии password.txt с нужными данными или снятии полного дампа памяти.

[susnake]

vilgeforce: в письме был только zip архив, а в нем cmd-файл. Я могу Вам прислать это письмо.

[susnake]

vilgeforce: я сегодня поднял виртуалку с win7 могу дать доступ на нее.

[Владимир Мартьянов]

susnake: А смысл? Файлы помещены в RAR-архивы, ключ создается при каждом запуске трояна и виртуалка бесполезна. Если после шифрования снять дамп памяти системы - может повезти, если не снять - я считаю что не выйдет подобрать пароль.

[susnake]

vilgeforce: т.е. Получается, что при каждом запуске он генерирует уникальный ключ? Даже если его запустить на тойже самой машине?

[Владимир Мартьянов]

Даже если запустить на той же самой машине

[susnake]

vilgeforce: м-да. Ну хотя бы этом засранцу домен разделегируют. Правда малое утешение.

[Владимир Мартьянов]

Кто бы это разделегировал-то? И какой домен?

[susnake]

invokedel.ru с него было письмо. Зарегистрирован в ру.центре. Я им вчера написал. При переходе на эту страницу появляется сообщение it's work!

Answer 2

[Argenon]

Буквально неделю назад столкнулся с проблемой неоткрывающихся архивов 7zip сделанных Cobian. К сожалению, данные архивы не подлежат восстановлению. По рецептам с официального сайта вытащил из архива 4Гб информации из 16 гигабайтных исходных данных. И еще одним способом через расшифровку потока LZMA получил те же 4Гб.
Проблема заключается в следующем: при создании архива, Cobian пишет временный файл, размером в сам архив, на диск С в папку TEMP. И если места на диске С меньше чем размер архива (или включено квотирование), то Cobian в лог выдает Error, но продолжает операцию архивирования и дальнейшего копирования архива на целевое хранилище. При этом создается архив нужного веса, но открыть его невозможно, так как внутри он содержит "кашу" из кусочков LZMA потоков примерно по 1, 1.5 Мб., ну и в моем случае первого потока в 4 Гб.

Comments

[Angel-2k]

Не смог найти решения этой проблемы на оф.сайте. Можно поподробнее о решении этой проблемы? А то архив на 200гиг, хотя бы часть вытащить.

[susnake]

Angel-2k: 7zip, то www.7-zip.org/recover.html

[Angel-2k]

К сожалению у меня ZIP. И сторонними архиваторами не распаковывается, упакован встроенным в кобиан.

[susnake]

Angel-2k: Даже Winzip?

Some extensions have been added to handle Unicode file names, large files (zip 64), etc. Unfortunately not all archivers support them (or they support them partially). Cobian Backup creates zip files that are 100% compatible with the latest version of Winzip.

www.cobiansoft.com/cobianbackup_faq.htm#newzip

[Angel-2k]

Файл сейчас на попытке восстановить разными утилитами, учитывая его размер этой займет много времени. Буду пробовать все варианты, по результатам обязательно отпишу. WinZip "битый" архив так же не распаковывает, хотя структуру папок и размеры файлов видит правильно.

[Argenon]

Angel-2k: Вы, конечно, попробуйте, но мне кажется, что зря потратите время. Скажите, места на диске "С" свободного, где производилось копирование кобианом, сколько? Я смог вытащить количество информации из битого архива размером в свободное место на диске в момент создания копии, все что было после этих данных - полная каша.

[Angel-2k]

На С: было 150Гб, архивы по 175. На данный момент вытащил 12Гб с помощью винрара (лечить) и затем встроенным упаковщиком тоталкоммандера. susnake, я Вас немного обманул - 7ZipFM видит структуру папок, но распаковывает все файлы с нулевым объемом, а самый свежий WinZip даже не открывает архив.

[yozef_gebbels]

Argenon: внимательно порылся на их форуме - не смог отыскать советов по восстановлению 7z. проблема, похоже, та же. нет ли линка на ветку с советами? спасибо

[Argenon]

Ссылка есть в ответах - www.7-zip.org/recover.html Я этой пользовался. Утилитой LZMA пытался выдернуть поток www.7-zip.org/sdk.html
Тут много зависит от того как именно поврежден архив. Кобиан его делал? Вполне вероятно, что можно даже не париться)

[MaDDaS666]

Столкнулись с такой же ситуацией, архивы, созданные Cobain Backup, не распаковываются никакими архиваторами и вываливают ошибки. Архивы формата zip, места в Temp при создании более чем достаточно. Помогла одна простая вещь (кто же знал) - в Cobain'е есть встроенный распаковщик, который единственный разобрался, что он сам же и наархивировал=)

Answer 3

[Евгений]

У меня было сжато через ZIP и тоже не открывались архивы.
Удалось открыть только через штатный разархиватор Corbian: C:\Program Files (x86)\Cobian Backup 11\cbDecompressor.exe