virus "maldito", howdecrypt...

Archivado
1, 2
Hace unos meses en una de las tiendas para las cuales trabajo, le cayó un virus muy parecido a este al servidor.
El virus en cuestión se llama Anti-Child Porn Spam Protection 2.0.
Ataca a servidores, los fines de semana para no levantar sospechas.
Al parecer valiendose de vulnerabilidades en el sistema logran entrar (por eso se recomienda tener el server actualizado al dia).
Una vez adentro empiezan a cifrar los archivos con WinRAR utilizando 3 contraseñas alfanumericas muy largas, 2 de más de 100 caracteres (practicamente imposibles de descifrar).
El virus guarda las contraseñas en un archivo que es enviado a su creador, luego el archivo de las claves y todos los originales son borrados con Sdelete, usando un algoritmo de limpieza y desinfección del Departamento de Defensa. Lo que se borra desaparece para siempre.
En este caso lo importante eran las bases de datos, que las encriptó todas. Los archivos que encriptaba conservaban su nombre original y les anexaba los datos de contacto y el ID del caso.

El servidor tenia el disco en espejo y se respaldaba diario en un disco USB (automaticamente :(, así que estaba conectado, y todo se encriptó.
Los respaldos que teniamos a salvo eran de meses atrás, así que era recuperar lo encriptado o poner el respaldo viejo y capturar varios meses de movimientos.

Se consultó con varias empresas de seguridad y dijeron que, obtener las claves podría tomar días, meses o años (o nunca, eso no lo dijeron pero cabia la posibilidad).

Un experto en seguridad nos dijo que si estabamos dispuestos a pagar, pues que lo hicieramos ya. Porque la cuenta para contactar al ciberdelincuente podía ser bloqueada por la policía en cualquier momento.

En fin que se le pagó al ciberdelincuente el equivalente a 2100 euros.
El pago era por perfectmoney.is, que solo acepta dinero a traves de exchangers.
En fin que el dinero (comision del exchanger incluida) se les mandó a unos chinos por westernunion.
Los chinos hicieron el deposito a nuestra cuenta de perfectmoney.is.
Le avisamos al extorsionador, nos pasó su cuenta de perfectmoney e hicimos la tranferencia del dinero.
Le avisamos que ya estaba hecho y en menos de 5 minutos ya teniamos las claves.


Aquí les dejo el correo que recibimos con las claves.
Me sorprendió la formalidad, del correo. Quien lo leyera sin saber de que vá, pensaría que el delincuente nos está prestando un servicio.

Hello!

Desktop screenlocker: 6729795636199216

1st Decrypt password: 7D981E6CA91702A6A3CD253C9C2EFE6877EKE72A8qD67FD#C77kAS8KBm5OF&Af6(158r2j4J7UA
@EdCO114l6)9BDpDz9UCa7i3e8A8a517k6H0M
2st Decrypt password: 2F46FE2A5C57B6D8923EDE4D14DC2312A1FqAd9W6V3&BkDE7!9RAN9^4YC(4tAxD)DT5(F#
5X4u8s8G5VCw5VEcDc7D7G6D46EyC1FP7q45B9Cs0r
3st Decrypt password: FLurwuuArFLuV$Vr*VFLuV$Vr*V

Decryption tool (password to the archive: 123):
http://www.sendspace.com/file/wb234d

Download it and unpack to any folder. Also program require administrative rules (use administrator account).

Run decrypt.exe .

Copy paste 1st Decrypt password, 2st Decrypt password and 3st Decrypt passwords in decrypt tool 3 fields.

If you have not stop our software - use decryption tool, because the tool will stop our software before decrypting the files.

This is very important to stop our software service (and dont delete any files in ProgramData folder before stop) because your decryptedfiles may will be encrypted again.

p.s. when you will start decrypt tool it would seem as if the program hanging, but everything is fine, just wait for the message aboutsuccessful completion of decrypting and dont touch decrypt window with your mouse.

If you have any questions or troubles in decrypting feel free to contact me .

Please confirm receipt.

Thank You!
Puff... Espero que no se ponga de moda infectar PCs con este virus.
berez12 escribió:Puff... Espero que no se ponga de moda infectar PCs con este virus.


Si consiguen pasta con eso y mucha ademas, como no van a proliferar...
En softonic han publicado una guía bastante interesante, puede que sirva

http://articulos.softonic.com/como-derrotar-a-cryptolocker-el-virus-que-secuestra-tus-documentos
Behemot001 escribió:...

Hello!

Desktop screenlocker: 6729795636199216

1st Decrypt password: 7D981E6CA91702A6A3CD253C9C2EFE6877EKE72A8qD67FD#C77kAS8KBm5OF&Af6(158r2j4J7UA
@EdCO114l6)9BDpDz9UCa7i3e8A8a517k6H0M
2st Decrypt password: 2F46FE2A5C57B6D8923EDE4D14DC2312A1FqAd9W6V3&BkDE7!9RAN9^4YC(4tAxD)DT5(F#
5X4u8s8G5VCw5VEcDc7D7G6D46EyC1FP7q45B9Cs0r
3st Decrypt password: FLurwuuArFLuV$Vr*VFLuV$Vr*V

Decryption tool (password to the archive: 123):
http://www.sendspace.com/file/wb234d

Download it and unpack to any folder. Also program require administrative rules (use administrator account).

Run decrypt.exe .

Copy paste 1st Decrypt password, 2st Decrypt password and 3st Decrypt passwords in decrypt tool 3 fields.

If you have not stop our software - use decryption tool, because the tool will stop our software before decrypting the files.

This is very important to stop our software service (and dont delete any files in ProgramData folder before stop) because your decryptedfiles may will be encrypted again.

p.s. when you will start decrypt tool it would seem as if the program hanging, but everything is fine, just wait for the message aboutsuccessful completion of decrypting and dont touch decrypt window with your mouse.

If you have any questions or troubles in decrypting feel free to contact me .

Please confirm receipt.

Thank You!


Vamos, que incluso os hacia de servicio técnico si teniais problemas desencriptando con los datos que os habíadado.
kimikazio escribió:En softonic han publicado una guía bastante interesante, puede que sirva


Cómo recuperar los archivos infectados por Cryptolocker


eso esta desfasado, hace tiempo que el virus entre otras cosas, se cepilla las copias shadow. duro poco ese pequeño fleco.
Hola, estoy igual. [buuuaaaa] Menudo palo!!! Siempre había tenido antivirus (norman virus control), pero me caducó la licencia hace dos meses y no lo renovaba por pereza. Ahora se me ha metido el howdecrypt en las fotos y demás encriptandolo todo. La verdad es que dan ganas de llorar la mala idea con la que han hecho este virus, fastidiandote recuerdos, trabajos, etc.
Lo que sí he descubierto es que si vas a buscar archivos por su nombre en el buscador del menú de inicio, te muestra los resultados y puedes ver algunas de las fotos, muy pocas, cosa que, si vas a la carpeta directamente, no pasa.
He instalado de nuevo el antivirus, pagando la cuota. Y nada, detecta infecciones, se supone que las "trata o elimina, pero los archivos siguen encriptados.
Qué disgusto [buuuaaaa] [buuuaaaa] [buuuaaaa] [buuuaaaa]
Por favor, que alguien haga algoooooooooooo!!!!!!!!!!!
Por cierto, los desencriptadores que hay por ahí, en softonic, por ejemplo, sirven de algo o ni me molesto?
Quiero llorar yo también
A los que estáis a punto de pegaros un tiro os dejo esto:

http://support.kaspersky.com/viruses/disinfection/2911#block4

Le metes un archivo intacto y su equivalente encriptado y a desencriptar, al menos en forospyware esta obrándose el milagro.
Y ya que se sabe que está infectando, los antivirus al actualizar no lo detectan?? Hay alguna herramienta para detectarlo o algo? Lo digo porque no quiero que me infecte....
carniceroman escribió:A los que estáis a punto de pegaros un tiro os dejo esto:

http://support.kaspersky.com/viruses/disinfection/2911#block4

Le metes un archivo intacto y su equivalente encriptado y a desencriptar, al menos en forospyware esta obrándose el milagro.


El problema de una de las mutaciones de este virus es que modifica el tamaño del archivo una vez encriptado para que no se puedan usar este tipo de herramientas. Además, borra las copias sin encriptar. Si tienes copias limpias de los archivos es obvio que es tontería, porque ya los tienes.
carniceroman escribió:A los que estáis a punto de pegaros un tiro os dejo esto:http://support.kaspersky.com/viruses/disinfection/2911#block4Le metes un archivo intacto y su equivalente encriptado y a desencriptar, al menos en forospyware esta obrándose el milagro.


desfasadisimo, de noviembre. han pasado 4 meses y hay muchas versiones diferentes del virus.

lei ayer que llevan ganados con este método de extorsion varios millones de dólares, asi que creo qu etendremos virus de este para una temporada siendo tan rentable para los que lo estén manejando =(

Patagalana escribió:Por favor, que alguien haga algoooooooooooo!!!!!!!!!!!Por cierto, los desencriptadores que hay por ahí, en softonic, por ejemplo, sirven de algo o ni me molesto?Quiero llorar yo también


lee el hilo anda :P
Pues como la única solución sea tener a los de bleeping computer desencriptando a saco los archivos o pagar a los extorsionadores estamos en jaque mate a no ser que seas criptografo y tengas recursos y tiempo para reventar el código, parece que ahora las nuevas versiones del bicho si que se mete una encriptacion RSA 1024 y sin las claves es prácticamente imposible recuperar nada (y llegan a ser hasta 3).

Es increíble lo bien organizados que están, te asignan un usuario con una identificación única que es la que debes usar para recuperar las claves especificas para tu sistema, y por la forma en que atienden a la victima parecen poco menos que el mismísimo soporte técnico de una empresa.
Joder vaya bicho, alguien sabe exactamente cuales son sus vias de contagio, porque como para pillarlo, yo por si acaso voy haciendo copia de toda mi biblioteca multimedia a la particion de linux.

Salu2.
Ghandig escribió:Joder vaya bicho, alguien sabe exactamente cuales son sus vias de contagio, porque como para pillarlo, yo por si acaso voy haciendo copia de toda mi biblioteca multimedia a la particion de linux.

Salu2.


Joder me uno a la pregunta.

Hay algo que no pillo, porque no los crujen vivos? Osea eso es extorsión como mínimo¿no? Tengo que creerme que no pueden rastrearlos?

Saludos
Creo recordar que había una aplicación por ahí, muy simplona, que si bien no te protegía contra el maldito virus, te avisaba cuando detectaba su actividad.

La aplicación simplemente crea una serie de archivos y carpetas con símbolos en el nombre para que se coloquen los primeros en la lista de ficheros, de tal manera que cuando el virus ataca y confecciona la lista para empezar a cifrar los ficheros, estos archivos son cifrados primero. La magia del programa sucede cuando detecta que uno de sus archivos está cifrado, que te avisa para que apagues el ordenador inmediatamente.

Si la encuentro, la posteo por aquí.

EDIT: Ela aquí: http://www.securitybydefault.com/2013/0 ... om-10.html

Aun así, se pueden crear reglas y jugar con los permisos de NTFS para bloquear la ejecución de programas (y virus) desde las carpetas del usuario; en especial desde %APPDATA%.
http://www.paspartus.com/2013/11/window ... as-de.html
http://unaaldia.hispasec.com/2013/04/ul ... de-la.html
Ghandig escribió:Joder vaya bicho, alguien sabe exactamente cuales son sus vias de contagio (...)?
Salu2.


Eso es lo que me pregunto yo.

Saludos.
JuananBow escribió:Creo recordar que había una aplicación por ahí, muy simplona, que si bien no te protegía contra el maldito virus, te avisaba cuando detectaba su actividad.

La aplicación simplemente crea una serie de archivos y carpetas con símbolos en el nombre para que se coloquen los primeros en la lista de ficheros, de tal manera que cuando el virus ataca y confecciona la lista para empezar a cifrar los ficheros, estos archivos son cifrados primero. La magia del programa sucede cuando detecta que uno de sus archivos está cifrado, que te avisa para que apagues el ordenador inmediatamente.

Si la encuentro, la posteo por aquí.

EDIT: Ela aquí: http://www.securitybydefault.com/2013/0 ... om-10.html

Aun así, se pueden crear reglas y jugar con los permisos de NTFS para bloquear la ejecución de programas (y virus) desde las carpetas del usuario; en especial desde %APPDATA%.
http://www.paspartus.com/2013/11/window ... as-de.html
http://unaaldia.hispasec.com/2013/04/ul ... de-la.html



Muy interesante la informacion, yo sigo acojonado...

Sabeis si en mac tambien afecta? Se que es una pregunta tonta, pero mi hermana es fotografa, ya le ha cascado un HD por problema fisico y le va a tocar pagar una recuperacion de las gordas, para advertirla o no del virus, que ella usa Mac.
Muy interesante el hilo.
Me parece increíble que se extorsione así y no pase nada.

En el caso del virus de la poli aunque pagases no servia de nada. Lo se por un conocido que el muy burro pagó y luego le tuve que quitar yo el virus...
DS_impact escribió:Muy interesante el hilo.
Me parece increíble que se extorsione así y no pase nada.

En el caso del virus de la poli aunque pagases no servia de nada. Lo se por un conocido que el muy burro pagó y luego le tuve que quitar yo el virus...

Joder, al menos te pagaría ¿no? XD
dark_hunter escribió:
DS_impact escribió:Muy interesante el hilo.
Me parece increíble que se extorsione así y no pase nada.

En el caso del virus de la poli aunque pagases no servia de nada. Lo se por un conocido que el muy burro pagó y luego le tuve que quitar yo el virus...

Joder, al menos te pagaría ¿no? XD

Si, intento cobrar por mi trabajo (excepto a familiares directos XD)
eduy1985 escribió:Sabeis si en mac tambien afecta? Se que es una pregunta tonta, pero mi hermana es fotografa, ya le ha cascado un HD por problema fisico y le va a tocar pagar una recuperacion de las gordas, para advertirla o no del virus, que ella usa Mac.

A priori te diría que no. Los binarios de Windows no son compatibles con el sistema MacOS. Ahora bien, eso no quita que no pueda existir una mutación del virus específica para MacOS pero creo que no se tiene constancia del tal hecho.
eduy1985 escribió:Sabeis si en mac tambien afecta? Se que es una pregunta tonta, pero mi hermana es fotografa, ya le ha cascado un HD por problema fisico y le va a tocar pagar una recuperacion de las gordas, para advertirla o no del virus, que ella usa Mac.


Yo le recomendaría hacer copias en soportes ópticos bien almacenados (y buenillos) [jaja]
Buenas noticias:

Primero la Noticia sobre Cryptoloker y luego la medicina:

El Departamento de Justicia de Estados Unidos anunció que tras esfuerzos multinacionales de distintas organizaciones federales, se desbarató la botnet GameOver Zeus y el ransomware Cryptolocker.

Ambos se usaron para ejecutar una gran cantidad de ciberdelitos que le han robado millones de dólares a usuarios, compañías y organizaciones sin fines de lucro. GameOver Zeus (GOZ) creó una botnet que ayudó a propagar a Cryptolocker, código que cifra los archivos alojados en el disco duro de un equipo bloqueando el acceso a ellos, para luego pedir un rescate económico para descifrarlos, en una técnica conocida como ransomware. GameOver Zeus también se utilizó para robar información personal y dinero a través de operaciones bancarias fraudulentas utilizando las cuentas de las víctimas. Las soluciones de seguridad de ESET detectan este malware desde 2012 como Win32/Spy.Zbot.AAU.

Según información del CERT de Estados Unidos, GOZ es una variante peer-to-peer (P2P) del troyano Zbot, conocido como Zeus, una familia de malware que roba credenciales bancarias identificado en septiembre de 2011. GameOver Zeus usa una red descentralizada de computadoras y servidores comprometidos para ejecutar Comando y Control; se propaga a través de mensajes de spam y phishing, utilizados por los cibercriminales para recolectar información bancaria como credenciales de inicio de sesión. Los sistemas infectados se pueden comprometer en otras actividades maliciosas, como el envío de spam o la participación en ataques de Denegación de Servicio (DDoS).

Se estima que entre 500 mil y 1 millón de computadoras en todo el mundo están infectadas con GameOver Zeus, y que aproximadamente el 25% están en Estados Unidos. El FBI estima que es responsable de más de cien millones de dólares en pérdidas.

En cuanto a Cryptolocker, se cree que para abril de 2014 había infectado a más de 234 mil computadoras, y que más de 27 millones de dólares se habían invertido en pagos de rescate de archivos a tan sólo dos meses de la aparición del código malicioso.

Leslie R. Caldwell, Assistant Attorney General de la División Criminal del Departamento de Justicia de Estados Unidos, declaró en un comunicado de prensa: “Bajo el liderazgo del Departamento de Justicia, organizaciones de aplicación de la ley, socios extranjeros en más de 10 países y numerosos socios del sector privado se unieron para desbaratar estos sistemas. A través de estas operaciones autorizadas por la corte, empezamos a reparar el daño que los cibercriminales han causado durante los últimos años, estamos ayudando a las víctimas a recuperar el control de sus computadoras, y protegiendo futuras víctimas potenciales de ataques”.

Las acciones de las agencias federales involucradas, combinadas con la reciente investigación que desbarató a la red que utilizaba maliciosamente Blackshades, sugieren que se están tomando medidas en la lucha contra el cibercrimen, y deja el mensaje de que los responsables detrás de estos grandes fraudes no son intocables. Evgeniy Bogachev fue añadido a la lista de “Cibercriminales más buscados” del FBI, y está identificado como “el líder de una banda de cibercriminales basada en Rusia y Ucrania responsable del desarrollo y la operación de GameOver Zeus y Cryptolocker”.Recibió cargos por conspiración, delitos informáticos, fraude bancario y lavado de dinero.

Las víctimas de GameOver Zeus pueden acceder al sitio creado por el US-CERT y obtener asistencia para remover el malware.



Resumen y consejos con las medicinas correspondientes: http://www.us-cert.gov/ncas/alerts/TA14-150A

Que aproveche.

Salu2
Por si a alguno le pasa le recomiendo que nunca formatee. Si no que haga una imagen del HDD y la guarde en algún lado. Quizás salga la "medicina" en un futuro xD.

Y por dios , COPIAS DE SEGURIDAD [+furioso]
73 respuestas
Archivado
1, 2
Volver a General