Вернуться   Форум Рубцовска > Городской Интернет > Операционные системы
+16°Давление 749
Влажность 31%
Ветер 3 м/с В
Комфорт +16°

Ответ
 
Опции темы Опции просмотра
  #1  
Старый 16.04.2012, 18:26
Аватар для Hex
Hex Hex вне форума
Подполковник
 
Регистрация: 24.08.2006
Адрес: Новосибирск
Сообщений: 3,540
Спасибо: 3,689
По умолчанию Патница 13-е или головняк на выходные

Конец рабочего дня. Сижу на работе, попивая кофеек почитываю хабр. Ничего не предвещало беды. Вдруг милая девушка-пользователь жалуется, что у нее в общих документах (подключена папка с файл-сервера как сетевой диск) файлы документов стали какие-то непонятные. Ну, думаю что-то снова натыкалось как всегда. Встаю, лениво смотрю и челюсть начинает сползать под стол... Файлы док, эксель, пдф, архивы и пикчи сменили свою иконку, а в конец файлов дописалось расширение .EnCiPhErEd
Мозг начинает что-то усиленно соображать, руки автоматом стирают расширение и... НИЧЕГО! файлы повреждены. Сажусь за свой комп, начинаю качать свежего CureIT'а, а в это время девушка сообщает что у нее в компе на рабочем столе файлы стали такими же! Подхожу снова к ней и наблюдаю что ВСЕ ФАЙЛЫ в общей папке на файл-сервере (а там папки многих сотрудников) медленно но верно зашифровываются неведомой х%ней. Добегаю до свитча, выдергиваю ее из сети, но уже поздно. Вся папка с документами зашифрована. Время до конца рабочего дня остается полчаса. Курейт ничего не находит. AVZ тоже. Радом с файлами лежит текстовый файл, в которм на пендосском написано заплатить 50 евро для получения расшифровки перейдя по ссылке. Настроение ниже нуля. Медленно прощаюсь с мыслями о предстоящих выходных, водке и шашлыках. Усиленное гугление практически ничего не дало. Наткнулся на утилитку от доктора веба. Пробую на машине пользователя, вроде расшифровывает.. Иду домой.. Из дома проверяю по удаленке, файлы повреждены и по-прежнему не открываются...
Незнаю что мня натолкнуло, но пришла в голову идея написать в саппорт доктора веба. Перехожу на страничку поддержки и создаю новую заявку. Описываю вкратце проблему и прилагаю зашифрованый файл. Ложусь спать.. Спал плохо, снилась всякая херня с файлами))))
Суббота. Проверяю почту и вижу что вечером пришел ответ:
Утилита для расшифровки ftp://ftp.drweb.com/pub/drweb/tools/te94decrypt.exe
Запускать нужно с параметрами командной строки -k 90
Обратитесь в полицию.
В каком городе вы находитесь? Что вы делали непосредственно перед шифрованием файлов? Скачивали что-нибудь? Посещали иностранные сайт?

Отвечаю что с Новосиба, что делал пользователь незнаю.

Лезу по тимвьюверу на машину пользователя, захожу на фтп доктора и вижу туже самую утилиту которой я пытался расшифровать, только обновленную по дате моего обращения. Качаю, запускаю, жду... Смотрю, файлы расшифровываются, пробую открыть и.. PROFIT! Все успешно открывается. С чувством облегчения закрываю тим, после обеда идем с любимой гулять с пивом, немного успокаиваюсь.
Воскресенье. Шашлыки, водка и свежий воздух за городом. Поздно вечером захожу по RDP на сервак, кидаю утилиту на файлсервер, запускаю. процесс пошел. Ложусь спать
Понедельник. Седня прихожу на работу на полчаса раньше, проверяю результат работы. Половина файлов на сервере расшифровалась. А половина потомучто Место на диске кончилось, ибо кроме документов у пользователей в папках лежали и музыка, и фильмы и пикчи. Чищу хлам от уже расщифрованых файлов, запускаю повторную расшифровку, минут 20 и все расшифровано, чищу хлам снова. Ибо утилита расшифровывает файлы а зашифрованую копию оставляет.
Винду у пользователя пришщлоесь всетаки переустановить. Получаю письмо от доктор-веба:

Новосибирск - странно. Это первый случай этой версии трояна в России. Остальные были в Европе.

Ничего не осталось ответить как:

Спасибо вам огромное за оперативную работу! За выходные удалось восстановить все данные на файл-сервере и на машине пользователя. А вот ось у пользователя пришлось переустановить. Еще раз спасибо!

Остался очень доволен поддержкой ДокторВеба, хотя к нему ни емеем никакого отношения

Вот такая история, а вы говорите суеверия Сегодня будет много пива..)))
__________________
В человеческой натуре заложено доверять, особенно когда просьба кажется обоснованной. (K.Mitnick)

Религия это, прежде всего, технология вербальной интоксикации, когда перегрузка коммуникационных каналов повторяющейся информацией (псалмы, мантры, сутры) приводит к эйфории и сужению сознания.

"Есть 5-7 дорог по которым можно ездить" © hjj

Ответить с цитированием
  #2  
Старый 16.04.2012, 18:47
Аватар для MaSteRk
MaSteRk MaSteRk вне форума
Полковник
 
Регистрация: 17.05.2006
Адрес: Поспелиха
Сообщений: 4,308
Спасибо: 1,550
Отправить сообщение для MaSteRk с помощью ICQ
По умолчанию

так то удачно поддержка ответила и имелась прога расшифровывыния, иначе пришлось бы туго
__________________
http://rub.altai.su/image.php?type=sigpic&userid=254&dateline=1339222324
Ответить с цитированием
  #3  
Старый 16.04.2012, 19:01
Аватар для xpomuk
xpomuk xpomuk вне форума
Капитан
 
Регистрация: 31.03.2006
Сообщений: 1,486
Спасибо: 531
По умолчанию

Недавно Беляш прилетал, RSA1024 + AES256 тяжко расшифровать без ключа.
__________________
В последнее время все чаще хочется собрать всё в узелок и уп*?:%вать в туман.
Ответить с цитированием
  #4  
Старый 16.04.2012, 20:52
Аватар для DoS
DoS DoS вне форума
Майор
 
Регистрация: 12.04.2009
Сообщений: 2,841
Спасибо: 787
По умолчанию

Цитата:
Сообщение от xpomuk Посмотреть сообщение
Недавно Беляш прилетал, RSA1024 + AES256 тяжко расшифровать без ключа.
ёкарный бабай на работе что ли ? или дома ? тьфу мине не разу есчо не прилетали да и не ннадо!
__________________
Куплю Юбилейные монеты СССР МОНЕТЫ серебро, красная книга и другие, ФАРФОР, ЛЮБУЮ СТАРИНУ КОТОРАЯ МЕНЯ ЗАИНТЕРЕСУЕТ! Приму в дар старые комплектующие от древних компов, а также старые ПК!
Ответить с цитированием
  #5  
Старый 16.04.2012, 21:34
Аватар для Rus555
Rus555 Rus555 вне форума
Генерал-Лейтенант
 
Регистрация: 04.10.2009
Адрес: New Vasyuki, Russia
Сообщений: 6,952
Спасибо: 5,459
Отправить сообщение для Rus555 с помощью ICQ
По умолчанию

Цитата:
Сообщение от DoS Посмотреть сообщение
ёкарный бабай на работе что ли ? или дома ? тьфу мине не разу есчо не прилетали да и не ннадо!
У тя на нетбуке настройки скайпа слетят...смотри доиграешься...
__________________
Мужчина в жизни никогда не должен жаловаться на две вещи: на жену и на машину - сам выбирал.
Ответить с цитированием
  #6  
Старый 16.04.2012, 21:35
Аватар для xpomuk
xpomuk xpomuk вне форума
Капитан
 
Регистрация: 31.03.2006
Сообщений: 1,486
Спасибо: 531
По умолчанию

Цитата:
Сообщение от DoS Посмотреть сообщение
ёкарный бабай на работе что ли ? или дома ? тьфу мине не разу есчо не прилетали да и не ннадо!
Клиенты
__________________
В последнее время все чаще хочется собрать всё в узелок и уп*?:%вать в туман.
Ответить с цитированием
  #7  
Старый 16.04.2012, 21:40
Аватар для Claus
Claus Claus вне форума
Верховный Главнокомандующий
 
Регистрация: 14.05.2010
Адрес: Невзъебенная страна!!!
Сообщений: 18,358
Спасибо: 5,838
По умолчанию

Hex, нужно доктор веба в пятки целовать за помощь безвозмедную.

Кстати почему dr web, а не касперский, был выбран для решения данной какашки?
__________________
& Co





Монография <х..плета> Алексея Борисова "Я и мой друг Белка", легко гуглится (c) darovit
Ответить с цитированием
  #8  
Старый 16.04.2012, 22:50
Аватар для Hex
Hex Hex вне форума
Подполковник
 
Регистрация: 24.08.2006
Адрес: Новосибирск
Сообщений: 3,540
Спасибо: 3,689
По умолчанию

Потомучто у каспера даже намека не было на такую гадость, что они об этом знали. А порывшись на сайте и фтп доктора, я нашел таки нужные утилиты, правда модификация трояна не подошла, поэтому и написал им. Они успешно обновили утилитку
__________________
В человеческой натуре заложено доверять, особенно когда просьба кажется обоснованной. (K.Mitnick)

Религия это, прежде всего, технология вербальной интоксикации, когда перегрузка коммуникационных каналов повторяющейся информацией (псалмы, мантры, сутры) приводит к эйфории и сужению сознания.

"Есть 5-7 дорог по которым можно ездить" © hjj

Ответить с цитированием
  #9  
Старый 16.04.2012, 22:51
Аватар для DoS
DoS DoS вне форума
Майор
 
Регистрация: 12.04.2009
Сообщений: 2,841
Спасибо: 787
По умолчанию

Цитата:
Сообщение от Hex Посмотреть сообщение
Потомучто у каспера даже намека не было на такую гадость, что они об этом знали. А порывшись на сайте и фтп доктора, я нашел таки нужные утилиты, правда модификация трояна не подошла, поэтому и написал им. Они успешно обновили утилитку
А фалик остался в коде ?
__________________
Куплю Юбилейные монеты СССР МОНЕТЫ серебро, красная книга и другие, ФАРФОР, ЛЮБУЮ СТАРИНУ КОТОРАЯ МЕНЯ ЗАИНТЕРЕСУЕТ! Приму в дар старые комплектующие от древних компов, а также старые ПК!
Ответить с цитированием
  #10  
Старый 16.04.2012, 23:39
Аватар для Hex
Hex Hex вне форума
Подполковник
 
Регистрация: 24.08.2006
Адрес: Новосибирск
Сообщений: 3,540
Спасибо: 3,689
По умолчанию

К сожалению файлов зашифрованых не осталось, ибо некада было. Сегодня с утра наводил порядок в режиме электровеника До начала рабочего дня оставалось 10 минут. Тело трояна так же не удалось обнаружить. Ни один антивирь ничего не увидел на компе пользователя, с которого произошло заражение. Винда после трояна приказала долго жить, поэтому оперативно была переустановлена на чистую ось.
__________________
В человеческой натуре заложено доверять, особенно когда просьба кажется обоснованной. (K.Mitnick)

Религия это, прежде всего, технология вербальной интоксикации, когда перегрузка коммуникационных каналов повторяющейся информацией (псалмы, мантры, сутры) приводит к эйфории и сужению сознания.

"Есть 5-7 дорог по которым можно ездить" © hjj

Ответить с цитированием
  #11  
Старый 16.04.2012, 23:43
Аватар для DoS
DoS DoS вне форума
Майор
 
Регистрация: 12.04.2009
Сообщений: 2,841
Спасибо: 787
По умолчанию

На шлюзе логов с клиента энтого не осталось за день ?
__________________
Куплю Юбилейные монеты СССР МОНЕТЫ серебро, красная книга и другие, ФАРФОР, ЛЮБУЮ СТАРИНУ КОТОРАЯ МЕНЯ ЗАИНТЕРЕСУЕТ! Приму в дар старые комплектующие от древних компов, а также старые ПК!
Ответить с цитированием
  #12  
Старый 17.04.2012, 00:15
Аватар для Hex
Hex Hex вне форума
Подполковник
 
Регистрация: 24.08.2006
Адрес: Новосибирск
Сообщений: 3,540
Спасибо: 3,689
По умолчанию

а причом тут шлюз?? если только посмотреть в логах где был юзер...
__________________
В человеческой натуре заложено доверять, особенно когда просьба кажется обоснованной. (K.Mitnick)

Религия это, прежде всего, технология вербальной интоксикации, когда перегрузка коммуникационных каналов повторяющейся информацией (псалмы, мантры, сутры) приводит к эйфории и сужению сознания.

"Есть 5-7 дорог по которым можно ездить" © hjj

Ответить с цитированием
  #13  
Старый 17.04.2012, 00:21
Аватар для DoS
DoS DoS вне форума
Майор
 
Регистрация: 12.04.2009
Сообщений: 2,841
Спасибо: 787
По умолчанию

Цитата:
Сообщение от Hex Посмотреть сообщение
а причом тут шлюз?? если только посмотреть в логах где был юзер...
Ы так если он есть через него то прилетело. Я то думал в сибе во всех конторах уже немного есть хоть какой то уровень безопасности
__________________
Куплю Юбилейные монеты СССР МОНЕТЫ серебро, красная книга и другие, ФАРФОР, ЛЮБУЮ СТАРИНУ КОТОРАЯ МЕНЯ ЗАИНТЕРЕСУЕТ! Приму в дар старые комплектующие от древних компов, а также старые ПК!
Ответить с цитированием
  #14  
Старый 17.04.2012, 08:37
Аватар для Капитан Очевидность
Капитан Очевидность Капитан Очевидность вне форума
Сержант
 
Регистрация: 10.04.2011
Адрес: Там, где я живу
Сообщений: 149
Спасибо: 272
Отправить сообщение для Капитан Очевидность с помощью ICQ
По умолчанию

да куда им до твоего
__________________
Ваш Кэп.
Ответить с цитированием
  #15  
Старый 17.04.2012, 10:51
Аватар для ALFER
ALFER ALFER вне форума
Старший сержант
 
Регистрация: 05.03.2011
Сообщений: 178
Спасибо: 11
По умолчанию

то есть получается защиты от данной хрени пока нет(((
__________________
Район у нас тихий... Все с глушителями ходят.
Ответить с цитированием
Ответ

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход


Часовой пояс GMT +7, время: 15:55.


Powered by vBulletin® Version 3.8.4
Copyright ©2000 - 2018, Jelsoft Enterprises Ltd. Перевод: zCarot