Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.Encoder.567

Добавлен в вирусную базу Dr.Web: 2014-04-25

Описание добавлено:

SHA1:

  • 883ee2b063bbc12d815fadaf20c9b31366869e05
  • b1a6b942a1f7027f7e744433eadf48a274a96819
  • 5f2160f9baf7dad89ab8b9a21a797be867294345
  • aff78db1ca229931acb45a9ffa5edb6ed1f810c6
  • 1a16c07527dc96951024514658da5653f2813325
  • cfd603cee2038f6667cb337fd9459422c5a2703a
  • 0c42b3b9d4e155db42e10887f58715244e1c17c8
  • 30a9a4e998e586e28ce40958d7e60c7747c9a1f7
  • 0028facdc4f4bb71b078f32bf87e4de38cb26641
  • c74a1605294d35d30eba5e6e09c765b6829a6428
  • ff6347734c9134ffa6d66cf746abf8ad68863354

Троянец-энкодер, шифрующий файлы на компьютере пользователя и требующий выкуп за их расшифровку. Распространяется в виде инсталлятора, созданного при помощи инструмента Smart Install Maker в качестве вложения в сообщение электронной почты, якобы отправленного от имени арбитражного суда или в виде ссылки на файл.

На сегодняшний день известны следующие адреса электронной почты злоумышленников:

vpupkin3@aol.com mserbinov@aol.com infohelp00@mail.ru marivanna1953@gmail.com systemsinfo32@gmail.com madeled@mail.ru trojan.encoder@gmail.com gruzinrussian@aol.com

Устанавливается в качестве системной службы Windows, в зависимости от разрядности операционной системы выбирает для своей установки папку %SYSTEMDRIVE%\Program Files\winrar_update или %SYSTEMDRIVE%\Program Files (x86)\winrar_update.

Если на атакуемом компьютере установлена ОС Microsoft Windows XP, троянец дополнительно проверяет, запущен ли он из указанных папок и запущена ли в системе служба WCS. Если нет, троянец создает свою копию в одной из этих папок побайтным чтением и записью, устанавливает для этого файла неверное время создания и запускает собственную копию с параметрами /install и /silent. В остальных версиях Windows шифровальщик запускает свою копию с запросом на повышение привилегий (runas).

Троянец отсылает на управляющий сервер три параметра: version — собственную версию, id – идентификатор машины пользователя, который генерируется из текущей даты и случайного числа, и pass – закодированный пароль.

Троянец шифрует файлы на всех дисках компьютера за исключением файлов в папке Windows. Для каждого диска вызывает рекурсивную функцию шифрования файлов. В процессе своей работы создает в папке winrar_update файлы update.bin (в нем хранится значение id и зашифрованный пароль) и checkdata.diff (этот файл предназначен для временного хранения имен шифруемых файлов).

Энкодер зашифровывает файлы, имеющие следующие расширения:

.r3d; .rwl; .rx2; .p12; .sbs; .sldasm; .wps; .sldprt; .odc; .odb; .old; .nbd; .nx1; .nrw; .orf; .ppt; .mov; .mpeg; .csv; .mdb; .cer; .arj; .ods; .mkv; .avi; .odt; .pdf; .docx; .gzip; .m2v; .cpt; .raw; .cdr; .cdx; .1cd; .3gp; .7z; .rar; .db3; .zip; .xlsx; .xls; .rtf; .doc; .jpeg; .jpg; .mp3; .zip; .ert; .bak; .xml; .cf; .mdf; .fil; .spr; .accdb; .abf; .a3d; .asm; .fbx; .fbw; .fbk; .fdb; .fbf; .max; .m3d; .dbf; .ldf; .keystore; .iv2i; .gbk; .gho; .sn1; .sna; .spf; .sr2; .srf; .srw; .tis; .tbl; .x3f; .ods; .pef; .pptm; .txt; .pst; .ptx; .pz3; .mp3; .odp; .qic; .wps

Известно несколько модификаций этого троянца-шифровальщика. В разных версиях троянец использует различные алгоритмы шифрования. Общим во всех версиях является то, что при шифровании энкодер выбирает из файла несколько фрагментов и шифрует по отдельности каждый из них. При этом в хвосте файла обычно записываются смещения зашифрованных фрагментов, а также хэш MD5 от оригинального файла (он впоследствии используется для проверки корректности расшифровки). Кроме этого, в зависимости от версии и используемого алгоритма шифрования в конце файла могут присутствовать другие данные. Эта информация, за исключением хэша MD5 шифруемого файла, представлена в десятичной системе счисления, а значение MD5 записывается в шестнадцатеричной. Имеются основания полагать, что в некоторых версиях трояна в конце файла перед информацией для расшифровки сохраняются случайные данные, которые при расшифровке файла отсекаются.

В большинстве случаев, за исключением самых ранних, версия троянца указывается в конце имени зашифрованного файла (например ver-4.0.0.0, ver-CL 0.0.1.0). Кроме того, имя зашифрованного файла содержит e-mail злоумышленника и идентификатор зараженного компьютера.

На данный момент полноценная расшифровка возможна только для первых версий. Для 4-й и 5-й версии возможен подбор ключа и расшифровка, но только в некоторых случаях. Начиная с 6-й версии расшифровка невозможна.

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке