¿Eliminar bitlocker?

Hola, esta mañana me he encontrado con la sorpresa de los dos discos duros como si se hubieran fastidiado, todos iconos de inexistente y en el escritorio un bonito icono de please read.txt Basicamente me dice que me ha bloqueado los dos discos con el bitlocker y que para que me envíe la password que le mande 1 bitcoin.
Aparte de toda la gracia de la cosa y como se han desarrollado al final los acontecimientos, quería consultaros dos aspectos, primero si el bitlocker, que irónicamente está ahí como protección contra piratas, puede eliminarse, se que puede desactivarse, pero no se si la desactivación por sí sola impediría unos hechos tan delictivos, tampoco creo que en la carpeta system haya un fichero bitlocker.exe, obviamente no iba a ser tan fácil como borrar ese archivo
Y la segunda cosa es si el tener activado el acceso remoto (lo activé para usar jump, un servidor del escritorio del pc al ipad) es lo que ha permitido el acceso del pirata, o no se sabe, o puede ser.
Saludos y ya sabeis a cuidarse y a guardar copia en un disco duro no conectado a la web.
La entrada, habitualmente, es por lanzar un ejecutable que te habrá llegado por correo electrónico o similar. Además, creo que confundes los nombres, no es bitlocker, es cryptolocker lo que tú tienes.

Leo mucho que si no hace falta antivirus, que si el sentido común y que si esto o lo otro... Han salido ya unas cuantas variantes de este ramson, y como se ve, siguen funcionando, por más avisos y más cuidado que se tenga.

Mi consejo: un antivirus nunca está de más, por muy listo que uno se crea, una ayudita no viene mal. Y, por supuesto, copias (no copia, COPIAS) de tus datos más sensibles, en discos duros sin conexión. Los discos de 1Tb en los centros comerciales los hay por poco más de 40€, y yo creo que perder todas las fotos y documentos que tengas, por ahorrarte ese dinero... es del género tonto.

Debes pensar que vas a perder los datos. No "por si acaso", es "seguro". No sólo por esto, por cualquier cosa: tu fuente de alimentación decide putearte, el disco es viejo y casca, el S.O. se corrompe y se carga ficheros, o incluso tú mismo borras las cosas por error. Ante eso: copias de seguridad.

Yo ahora mismo tengo un NAS, con acceso por contraseña y usuarios individuales, donde hago copia de todo. Además, para ir haciendo copias más a menudo, tengo un disco externo de 1Tb. Y de vez en cuando (según lo que haya hecho, no hay fechas fijas) hago copia en ambos. Y si vuelco la SD del móvil para hacer una copia, directo a los dos también. Y no le quito el cable de red al PC porque si no, no me iría el NAS ;-)

Hay que ser paranoico con las cosas que nos estimamos, y dar por hecho que petará. Y cuando lo haga, debes tener un plan de contingencia. Pensar que eres "el" informático, que eres intocable, es una tontería. Y no lo digo por ti, lo digo en general, que hay mucho experto por todos lados, y luego... pasa lo que pasa ;-)

Un saludo.
El virus lo puedes eliminar más o menos fácilmente, lo que no vas a poder conseguir, salvo que sea una de las primeras versiones del cryptolocker, es recuperar tus archivos encriptados. Ni se te ocurra conectarle pendrives, discos duros externos ni nada hasta haberlo desinfectado, te invadirá todas las unidades que encuentre. Y si te diste cuenta rápido de que algo pasaba y apagaste el ordenador a toda ostia (al virus le cuesta bastante encriptar todos los archivos con formatos conocidos), NO LO ENCIENDAS hasta que consultes cómo eliminarlo en internet y te bajes los discos de arranque que recomiendan para la desinfección.
no yo creo que estáis equivocados, yo estoy protegido en teoría con el nod32 de pago contra el cryptolocker, en estos discos duros para acceder a ellos me salía un mensaje de introducer contraseña y en el texto de la ventana, Bitlocker bien claro. Según he leído en la wikipedia, con el cryptolocker se hacía bien clara la mención de que se tenía un virus en el mensaje del pirata al afectado. En mi caso se muy bien que no se debe abrir nada que te llegue al mail, y en el fichero de texto read me, me decía que había utilizado el bitlocker, que es un programa del propio microsoft, y que por lo tanto yo no tenía ningún virus. Parece que debe ser algo bastante reciente.

el bitlocker bloquea la unidad con contraseña. Yo tengo dos discos duros y tres particiones, una para el sistema con tamaño pequeño. Puesto que el pirata te tiene que dejar acceso a ordenador, la c no te la puede bloquear, así que supongo que lo aconsejable es unir las dos particiones en una c gigante, como primera medida y dejar el otro como copia y deshabilitado.
A ver... tienes todos los ficheros de datos encriptados, tienes un readme diciendo que si los quieres tienes que pagar un bitcoin, y aun así, ¿es un programa de Microsoft?

Te ha entrado un crypto, a pesar del nod32 de pago. No le des más vueltas. Si el crypto ha usado bitlocker o no, dependerá de lo de siempre: estás usando tu PC con una cuenta administrador (otro gran error de base). Me da igual si ha usado su propio sistema de encriptación o no (que es que si), el caso es que tienes un ramsonware y que tus datos han volado.

Y el que ponga o no en grande o en pequeño "bitlocker" no significa absolutamente nada. Es como cuando te sale la pantalla de la "policia" diciendo que pagues 100€ para recuperar tu PC. Anda que un cabroncete de estos se va a cortar en poner los logotipos que le de la gana... es un delincuente, al fin y al cabo.

Un saludo.
El nombre es lo de menos. Si tienes los archivos encriptados y una nota pidiendo rescate es que te han secuestrado el ordenador con un ramsonware, no le des más vueltas. No uses más ese ordenador y consulta en internet cómo desinfectar el ordenador, no es difícil, pero me temo que recuperar tus archivos encriptados es prácticamente imposible (a menos que pagues, y aun en ese caso nadie te garantiza que te vayan a enviar la clave de desencriptación)
Deja el ordenador apagado y desde otro ordenador hecha un vistazo a esto.

https://www.nomoreransom.org/index.html


Tienes instrucciones de como descriptar alguna de las versiones y medidas de prevencion. Copias, copias, copias.

Ningun antivirus que se sepa detecta este tipo de virus, solo sirven los famosos honey files. (un programa monotoriza un monton de ficheros creados por el; cuando uno cambia salta una alarma para poder parar el proceso)

http://muyseguridad.net/2016/04/06/mejo ... ansomware/
Como ya te han dicho has sido infectado de rasomware. Salvo que tuvieses archivos superimportantes en el ordenador yo no te recomiendo pagar los 300-400 € que te piden.
Para desinfectarlo e intentar desencriptar los archivos primero tienes que saber que rasomware te ha infectado. Si mandas una foto del mensaje a lo mejor te puedo ayudar a saber cual es.
Esto te puede ayudar a ver cual es: https://www.nomoreransom.org/crypto-sheriff.php

Lo segundo es saber si existe herramienta para quitarlo. https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#

Si no intenta tirar de puntos de restauración dle sistema, shadow copies, copias de seguridad....

Aquí tienes más herramientas: https://noransom.kaspersky.com/# https://support.kaspersky.com/sp/viruse ... ction/8005
Creo q no mencionas que sistema operativo, fijate esto

https://technet.microsoft.com/es-es/library/jj649833%28v=wps.630%29.aspx

Alguna vez he tenido que desencriptar un disco, pero fue en Windows server, imagino en desktop sera similar



Y no, a los demas, bitlocker es una funcionalidad de windows real, no ningun virus
theelf escribió:Creo q no mencionas que sistema operativo, fijate esto

https://technet.microsoft.com/es-es/library/jj649833%28v=wps.630%29.aspx

Alguna vez he tenido que desencriptar un disco, pero fue en Windows server, imagino en desktop sera similar



Y no, a los demas, bitlocker es una funcionalidad de windows real, no ningun virus


Bitlocker no es un virus ya lo sabemos. Pero bitlocker no te encripta los archivos y luego te chantajea con devolverte la contraseña si le pagas ~350€. Esto lo hace un rasomware, no sé cual, hay decenas. Muchas veces los rasomwares utilizan utilidades de windows u otros programas (vease winrar, 7zip...) para encriptar archivos. En este caso el rasomware ha utilizado bitlocker (o eso dice).
En cuanto suba una foto de la nota de "rescate" podremos saber cual es.
Bueno será quizás una precaución excesiva, pero no quiero dar pié a que hayan más revanchas por parte del amigo y una foto podría quizás enfadarle...
El caso es que por ahora estoy haciendo lo que puedo en mi pc y estoy liado con particiones y demás y sin conexión, pero sólo para evitar que suceda otra vez, todo parece estar normal.
De todas maneras, yo sigo en lo mío por una parte puede que conociérais algunos el bitlocker, pero esta es la primera noticia que os llega relacionándolo con un posible virus, y nunca se habían juntado las palabras cryptolocker y bitlocker. El ataque ha sucedido a los pocos días de instalar el windows 10. Como pensaba que Nod32 tenía funciones de firewall suficientes, y en windows 7 así era, no tenía activado el firewall de Windows, y también por ahí puede estar la cosa.
También he leído que no suele tratarse de un hacker en concreto, sino de ataques en masa, en mi caso yo he mantenido un diálogo fluido mediante gmail con él durante todo el día, ya que tuve problemas con el *adjetivo prohibido* bitcoin.
Le he pagado una cantidad, que tampoco voy a decir si al final ha sido la que él quería u otra, con el mismo objeto de evitar represalias, me ha mandado la clave, y sólo he tenido que darle clic al icono del disco duro en el explorer, y me ha salido un mensaje con el texto (caption) de la ventana bien claro: Bitlocker y: introduzca la contraseña. Debajo había una casilla: Vea opciones adicionales, al darle, ponía que también se podía introducir otro tipo de clave, y ahora todo está como estaba, aparentemente ningún problema.
Cuando pueda copio y pego el readme del hacker, si es que es eso en lo que estabais interesados.
lagunero escribió:Bueno será quizás una precaución excesiva, pero no quiero dar pié a que hayan más revanchas por parte del amigo y una foto podría quizás enfadarle...
El caso es que por ahora estoy haciendo lo que puedo en mi pc y estoy liado con particiones y demás y sin conexión, pero sólo para evitar que suceda otra vez, todo parece estar normal.
De todas maneras, yo sigo en lo mío por una parte puede que conociérais algunos el bitlocker, pero esta es la primera noticia que os llega relacionándolo con un posible virus, y nunca se habían juntado las palabras cryptolocker y bitlocker. El ataque ha sucedido a los pocos días de instalar el windows 10. Como pensaba que Nod32 tenía funciones de firewall suficientes, y en windows 7 así era, no tenía activado el firewall de Windows, y también por ahí puede estar la cosa.
También he leído que no suele tratarse de un hacker en concreto, sino de ataques en masa, en mi caso yo he mantenido un diálogo fluido mediante gmail con él durante todo el día, ya que tuve problemas con el *adjetivo prohibido* bitcoin.
Le he pagado una cantidad, que tampoco voy a decir si al final ha sido la que él quería u otra, con el mismo objeto de evitar represalias, me ha mandado la clave, y sólo he tenido que darle clic al icono del disco duro en el explorer, y me ha salido un mensaje con el texto (caption) de la ventana bien claro: Bitlocker y: introduzca la contraseña. Debajo había una casilla: Vea opciones adicionales, al darle, ponía que también se podía introducir otro tipo de clave, y ahora todo está como estaba, aparentemente ningún problema.
Cuando pueda copio y pego el readme del hacker, si es que es eso en lo que estabais interesados.


No, el antivirus y el firewall no van a proteger. Es posible simplemente el randoware en vez de utilizar su propio encriptador a utlizado diretamente el bitlocker.

Algunas de las versiones entraban por el teamviewr.

Si al final como has puesto has pagado, has un copia de seguridad de los ficheros ya en buen estado y despues pasa al disco para borrar el virus.
Has hablado con él con gmail?
Ve a la policía y denuncialo, a lo mejor a este lo pillan.
A los chantajistas de mierda no hay que pagarles.
Ahora estás en la lista premium de objetivos que pagan y dentro de X tiempo volverán a intentarlo.
Yo se que es una putada, pero si la gente sigue pagando a estos, lo único que conseguirán es que lo sigan haciendo y sigan mejorando el ramsonware todavía mas.
Salvo que sea un caso de vida o muerte (por ejemplo que haya documentos imprescindibles para el funcionamiento de una empresa... aunque en ese caso lo lógico es tener copias de todo, porque si se muere el disco duro por viejo o una sobretensión o lo que sea, el resultado es el mismo), no hay que pagar jamás. Formateo y fuera. Y para otra vez tener más cuidado y copias de todo lo que no se quiera perder por un accidente o un ataque.

¿Y le has pagado un bitcoin de rescate? Acabo de mirar la cotización del bitcoin ahora mismo y está a casi 600 dólares. ¿Le has pagado lo que cuesta un pc nuevo para desencriptar tus archivos? Me parece una locura.
No sólo una locura, si no una muy, muy mala idea.

Como te han dicho, acabas de ser "marcado" como "panoli que paga", por lo que acabarás sufriendo más ataques. Y no sólo eso, si no que gracias a estas actuaciones, han encontrado un modelo de negocio que funciona, por lo que ¿por qué parar?

En fin, es tu dinero, pero en el futuro pueden ser nuestros datos, gracias a gente como tú, que paga. Luego nos quejamos de que existen virus como estos, si luego les hacemos la cama.

Muy mal, muy mal.
En mi empresa, llevamos una racha hasta los cojones de los putos ramsonware, al principio , sólo picaban los usuarios un poco panolis, que abrían los adjuntos en el correo con remitentes extraños y demás.

Desde el mes pasado , hemos tenido 4 equipos infectados de gente bastante seria y competente, la cual jura y perjura que no abrió ningún correo ni ningún adjunto extraño.

Alfinal hemos cambio de proveedor de correo y podremos capar a gusto en envío e zip , rae y exes.

También hemos instalado una utilidad de malwarebytes que combate los ramsom, tengo entendido que es un honey file como el que ha comentado el compañero antes.

Usamos nod32 endpoint y cuentas de usuario aparte y todo lo demás pero sinceramente, ni aun con todo esto, creo que estemos seguros.
Wolfoo escribió:En mi empresa, llevamos una racha hasta los cojones de los putos ramsonware, al principio , sólo picaban los usuarios un poco panolis, que abrían los adjuntos en el correo con remitentes extraños y demás.

Desde el mes pasado , hemos tenido 4 equipos infectados de gente bastante seria y competente, la cual jura y perjura que no abrió ningún correo ni ningún adjunto extraño.

Alfinal hemos cambio de proveedor de correo y podremos capar a gusto en envío e zip , rae y exes.

También hemos instalado una utilidad de malwarebytes que combate los ramsom, tengo entendido que es un honey file como el que ha comentado el compañero antes.

Usamos nod32 endpoint y cuentas de usuario aparte y todo lo demás pero sinceramente, ni aun con todo esto, creo que estemos seguros.


Pues haced copias de seguridad. Es facil, es barato y lo puedes automatizar. Puedes usar soluciones comerciales o ponerlo en marcha vosotros (con un servidor).
Esog Enaug escribió:
Wolfoo escribió:En mi empresa, llevamos una racha hasta los cojones de los putos ramsonware, al principio , sólo picaban los usuarios un poco panolis, que abrían los adjuntos en el correo con remitentes extraños y demás.

Desde el mes pasado , hemos tenido 4 equipos infectados de gente bastante seria y competente, la cual jura y perjura que no abrió ningún correo ni ningún adjunto extraño.

Alfinal hemos cambio de proveedor de correo y podremos capar a gusto en envío e zip , rae y exes.

También hemos instalado una utilidad de malwarebytes que combate los ramsom, tengo entendido que es un honey file como el que ha comentado el compañero antes.

Usamos nod32 endpoint y cuentas de usuario aparte y todo lo demás pero sinceramente, ni aun con todo esto, creo que estemos seguros.


Pues haced copias de seguridad. Es facil, es barato y lo puedes automatizar. Puedes usar soluciones comerciales o ponerlo en marcha vosotros (con un servidor).


Tenemos copias de seguridad, se trabaja con mucho recurso compartido que está en copia de seguridad, pero aun así el usuario a veces no las usa o por ejemplo al trabajar con el correo en local, nos supone una problemática.

Las primeras versiones de estos ramsom no encriptaban los archivos pst pero las últimas ya lo están haciendo...
Wolfoo escribió:
Tenemos copias de seguridad, se trabaja con mucho recurso compartido que está en copia de seguridad, pero aun así el usuario a veces no las usa o por ejemplo al trabajar con el correo en local, nos supone una problemática.

Las primeras versiones de estos ramsom no encriptaban los archivos pst pero las últimas ya lo están haciendo...


Automatiza las copias de seguridad. Pon una tarea programada que haga esa copia. Tan simple como "montar FTP (o lo que sea)/ hacer copia / desmontar FTP" y que se haga al apagar o a cierta hora. Y si mantienes los correos en el servidor durante 2 o 3 días te cubres por completo.

Hay mil formas de hacerlo de forma transparente con solo un servidor con linux (quizas tambien con win XD )
Wolfoo escribió:
Esog Enaug escribió:
Wolfoo escribió:En mi empresa, llevamos una racha hasta los cojones de los putos ramsonware, al principio , sólo picaban los usuarios un poco panolis, que abrían los adjuntos en el correo con remitentes extraños y demás.

Desde el mes pasado , hemos tenido 4 equipos infectados de gente bastante seria y competente, la cual jura y perjura que no abrió ningún correo ni ningún adjunto extraño.

Alfinal hemos cambio de proveedor de correo y podremos capar a gusto en envío e zip , rae y exes.

También hemos instalado una utilidad de malwarebytes que combate los ramsom, tengo entendido que es un honey file como el que ha comentado el compañero antes.

Usamos nod32 endpoint y cuentas de usuario aparte y todo lo demás pero sinceramente, ni aun con todo esto, creo que estemos seguros.


Pues haced copias de seguridad. Es facil, es barato y lo puedes automatizar. Puedes usar soluciones comerciales o ponerlo en marcha vosotros (con un servidor).


Tenemos copias de seguridad, se trabaja con mucho recurso compartido que está en copia de seguridad, pero aun así el usuario a veces no las usa o por ejemplo al trabajar con el correo en local, nos supone una problemática.

Las primeras versiones de estos ramsom no encriptaban los archivos pst pero las últimas ya lo están haciendo...

Por aquí lo decimos bien claro, porque también hemos tenido ataques, si trabajáis en local no vais a tener copias de seguridad. Les compensa tenerlo todo en el servidor.
A mi lo que me flipa es como entrando gente que sabe de lo que está hablando aún tienes los huevos de discutirles que si el bitlocker esto o el bitlocker lo otro. Y encima le pagas, madre mía, menos mal que al menos ha sido por bitcoin y no por transferencia...
Por cierto ya puedes ir formateando el disco donde tengas Windows y pegarle un buen repaso a los demás, mucha gente que paga luego "misteriosamente" sufren otro ataque...

Vaya telita... ¬_¬
wason12 escribió:Como ya te han dicho has sido infectado de rasomware. Salvo que tuvieses archivos superimportantes en el ordenador yo no te recomiendo pagar los 300-400 € que te piden.
Para desinfectarlo e intentar desencriptar los archivos primero tienes que saber que rasomware te ha infectado. Si mandas una foto del mensaje a lo mejor te puedo ayudar a saber cual es.
Esto te puede ayudar a ver cual es: https://www.nomoreransom.org/crypto-sheriff.php

Lo segundo es saber si existe herramienta para quitarlo. https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#

Si no intenta tirar de puntos de restauración dle sistema, shadow copies, copias de seguridad....

Aquí tienes más herramientas: https://noransom.kaspersky.com/# https://support.kaspersky.com/sp/viruse ... ction/8005


Nunca hay que pagarlos
@NewDump Ya. Eso me lo dices cuando tengas infornación de valor e irrecuperable en el pc. (Fotos y videos de tu familia...) o cosas de valor tipo trabajos importantes, documentos....

Que sí, que hay que tener copias de seguridad etc etc. Pero si no las tienes o te lo encriptan también... la mejor opción si tienes dinero es pagar.
wason12 escribió:@NewDump Ya. Eso me lo dices cuando tengas infornación de valor e irrecuperable en el pc. (Fotos y videos de tu familia...) o cosas de valor tipo trabajos importantes, documentos....

Que sí, que hay que tener copias de seguridad etc etc. Pero si no las tienes o te lo encriptan también... la mejor opción si tienes dinero es pagar.

Nunca la mejor opción es pagar. Ya te han dado opciones mejores.
wason12 escribió:@NewDump Ya. Eso me lo dices cuando tengas infornación de valor e irrecuperable en el pc. (Fotos y videos de tu familia...) o cosas de valor tipo trabajos importantes, documentos....

Que sí, que hay que tener copias de seguridad etc etc. Pero si no las tienes o te lo encriptan también... la mejor opción si tienes dinero es pagar.


Falta mucha cultura de copia de seguirdad. No solo por este tipo de virus, sino por las cosas se extropean, los discos duros se rompen, las tarjeta se caen, etc.

Windows tampoco ayuda, cuando se instala windows solo se crea una cuenta de usuario que tiene permisos de administrador. (Cuando debian de crearse por lo menos 2,una de admin y otra de usuario limitado).

En una empresa esto no es aceptable. Si hay datos locales simpllemente un programa de copias de seguiriad y un server ftp con linux (estos virus no infectan los servidores ftp).
alex120 escribió:
wason12 escribió:@NewDump Ya. Eso me lo dices cuando tengas infornación de valor e irrecuperable en el pc. (Fotos y videos de tu familia...) o cosas de valor tipo trabajos importantes, documentos....

Que sí, que hay que tener copias de seguridad etc etc. Pero si no las tienes o te lo encriptan también... la mejor opción si tienes dinero es pagar.


Falta mucha cultura de copia de seguirdad. No solo por este tipo de virus, sino por las cosas se extropean, los discos duros se rompen, las tarjeta se caen, etc.

Windows tampoco ayuda, cuando se instala windows solo se crea una cuenta de usuario que tiene permisos de administrador. (Cuando debian de crearse por lo menos 2,una de admin y otra de usuario limitado).

En una empresa esto no es aceptable. Si hay datos locales simpllemente un programa de copias de seguiriad y un server ftp con linux (estos virus no infectan los servidores ftp).


Mil veces lo he dicho yo, y mil veces ha caído en saco roto. SIEMPRE hay que hacer copias de seguridad, hasta del móvil.

En casa: disco duro externo, y copiar regularmente (cada semana o cada dos, dependiendo de la importancia que le des a tus datos). Fotos importantes: copia de sguridad y copia en DVD.

En una empresa, tener los datos locales en una carpeta compartida y hacer copias de seguridad DESDE el servidor remoto con linux o FreeBSD, siempre acumulativas (yo hacía una diaria, en carpetas separadas por fecha, y luego una semanal par y otra semanal impar), de manera que si algo se pierde, hay copias de al menos los últimos 15 días. Puede que el servidor haga copias ya encriptadas si te ha entrado el ramson, pero... habiendo 15 copias, siempre puedes volver a alguna "sana".

Pagar NO es una opción. Pagar es el motivo por el que salen cada día nuevos ramson. Gracias a la gente que paga, cada día hay más infecciones, y cada día habrá más. Pero, por más que lo digas... es increible. Y más sabiendo que quizá mañana, al ser un "blanco reconocido", te vuelva a pasar misteriosamente.

Un saludo.
27 respuestas