Существует ли в природе дешифратор для пострадавших от вируса Trojan-Ransom.Win32.Cryakl.av?

Question

[Вадим]

На предприятие пришла беда. Вирус ( Trojan-Ransom.Win32.Cryakl.av - по версии Касперского) зашифровал все документы и архивы на сервере. Теперь у файлов расширение .cbf и внутри файла - каша.
Имена файлов приняли вид: "оригинальное имя" + "-{HEWOSVBMOYYXSSRQALKKUTSSCCQPAZYYHHWV-31.01.2015 2@33@051499304}[e-mail]"
Какая-нибудь антивирусная контора уже выпустила утилиту дешифровки для этой беды?

Comments

[Superlogin]

Просмотров много, ответов .... только стрелки преводимс....

Answer 1

[Valery Maroz]

Шансов мало, но попробуйте:
1) Смените пароли на RDP!

2) (по аналогии с forum.kaspersky.com/index.php?showtopic=314971)
Создайте запрос в Службу технической поддержки (не в ВирЛаб).
Для корпоративных клиентов: https://companyaccount.kaspersky.com

В запросе укажите следующую информацию:
- Сколько примерно файлов зашифровано?
- Файлы каких типов подверглись шифрованию?
- Источник получения вируса
- Примерная дата шифрования
- Был ли на зараженной машине установлен продукт ЛК?
- В случае Kaspersky Endpoint Security 8/10: был ли включен компонент "Мониторинг активности"?

3) К запросу приложите
- Отчет GetSystemInfo 5 - support.kaspersky.com/general/dumps/3632
- Тело вируса в архиве с паролем "infected" (без кавычек). Многие вирусы удаляют себя с зараженного компьютера после заражения. Вы можете проверить недавно удаленные exe-файлы. Сделать это можно, например, с помощью бесплатного приложения Recuva.
- Также можно прислать копию письма, содержащего шифровальщик .
- Примеры зашифрованных и оригинальных файлов (если у вас есть резервные копии).
- Путь хранения зашифрованных файлов (например, папка Мои документы)

Все файлы следует приложить в едином архиве. В случае, если размер файла превышает 50Мб, и у вас возникает проблема с хранением, можно загрузить архив на какой-либо файлообменник и прислать нам ссылку.

4) Также необходимо содержимое следующих папок:
KES8 - "C:\ProgramData\Kaspersky Lab\KES8\SysWHist
KES10 -"C:\ProgramData\Kaspersky Lab\KES10\SysWHist

Comments

[Владимир Мартьянов]

По ссылке про другой троян.

[Valery Maroz]

не важно.
может помочь только ТП вендора антивируса, который используется в компании.

[Владимир Мартьянов]

vmaroz: Не говорите глупостей: blog.kaspersky.ru/cryptolocker-cryakl-fantomas/5837 - описание от того самого вендора, где русским по белому они сами и пишут что расшифровки нет.

[Valery Maroz]

vilgeforce: во-первых, статья писалась ещё осенью.
во-вторых, прочтите комментарий вирусного аналитика Зелёной Компании здесь https://securelist.ru/blog/issledovaniya/24070/shi...

[Владимир Мартьянов]

Первое: комментарий мой и с тех пор число случаев успешной расшифровки существенно увеличилось.
Второе: ни одна другая контора расшифровкой этих случаев не занимается, о чем они и пишут.

[Valery Maroz]

Уважаемый Владимир, я же честно в двух первых словах своего ответа предупредил пользователя...
"Попытка не пытка, не правда ли, Лаврентий Павлович?" (с)
Для обращения к Вам в ТП необходимо быть лицензионным пользователем. Топикстартер привёл вердикт по классификации ЛК. Следовательно, можно предположить, что использовались именно решения ЛК.
Прогресс не стоит на месте: раньше Кряклом не занимались, возможно - займутся. К тому же это устаревшая 4-я версия.

Answer 2

[Владимир Мартьянов]

Есть дешифратор, только не у неКоторой Красной Компании, про которую писали выше. В вашем случае, правда, шансов не много.

Comments

[Superlogin]

Где есть ?

Answer 3

[glGizma]

Отправляйте мне файл, попробую чёнить сделать! [e-mail]

Answer 4

[Вадим]

К сожалению, пару часов! назад почистил бэкапы, где оставались снапшоты зараженного сервера.
Вот это совпадение! (
Так что Ваша помощь немного запоздала, но всё равно - спасибо.

Answer 5

[Сергей Буханов]

Здравствуйте!
Сын скачал чит для игры с ресурса ip -104.18.57.130 (San Francisco, California, United States) и понеслось...
Стояло 4 диска общий объем 2.5Тб все файлы зашифрованы расширение *.repp В лаборатории Касперского определили как зашифрованы Trojan-Ransom.Win32.Stop
На данный момент для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной в настоящий момент.
Если кому-то что-то будет известно буду очень благодарен!!!