Христофор Веблог <Лаборатории Касперского>Восстановление файлов после атаки Gpcode.ak Виталий Камлюк 11 июня 2008
Ратибор 18:46 MSK комментировать Зашифрованные Gpcode.ak файлы, не имея секретного ключа, в настоящее время расшифровать невозможно. Тем не менее, мы нашли оптимальное решение для их восстановления.Дело в том, что при шифровании файлов Gpcode.ak сначала создает новый файл <рядом> с тем, который он собирается шифровать. В этот новый файл он записывает зашифрованные данные исходного файла, после чего исходный файл удаляет.Как известно, существует возможность восстановить удаленные файлы, если данные на диске не были сильно изменены. Именно поэтому мы с самого начала рекомендовали пострадавшим пользователям не перезагружать компьютер и связаться с нами, а тем, кто к нам обратился, советовали использовать различные утилиты для восстановления удаленных файлов с диска. К сожалению, почти все утилиты для восстановления удаленных файлов распространяются на основе shareware-лицензий. Мы искали лучшее - с точки зрения эффективности и доступности для пользователей - решение, которое могло бы помочь им восстановить файлы, удаленные Gpcode.ak после шифрования. И нашли его.Это замечательная бесплатная утилита PhotoRec, созданная Christophe Grenier и распространяющаяся на основе лицензии GPL.Изначально утилита создавалась как средство для восстановления графических файлов (видимо, отсюда и её название PhotoRec - сокращение от Photo Recovery). Затем её функционал был расширен, и в настоящее время она может восстановить документы Microsoft Office, исполняемые файлы, PDF и TXT документы, а также различные файловые архивы.Утилита PhotoRec поставляется в составе последней версии пакета TestDisk.Следует отметить, что утилита PhotoRec отлично справляется со своей задачей - восстановлением файлов на выбранном разделе. Однако затем возникает трудность восстановления точных имен и путей файлов. Здесь мы решили помочь пользователям и разработали небольшую бесплатную программу StopGpcode, которая позволяет вернуть оригинальные имена файлов и полные пути, по которым они находились.Мы рекомендуем пострадавшим от действий Gpcode.ak пользователям, вместо того, чтобы платить злоумышленнику, внести свой вклад в добровольные пожертвования автору замечательной утилиты PhotoRec!Подробная инструкция для восстановления файлов ручным способом с использованием утилит PhotoRec и StopGpcode добавлена в описание Gpcode.ak.
Святослав бред
Мартьян нет еще, но про него слышал! на форумах подробности
Харлампий нее еще не ловил такого.
Корнил Бог миловал, Каспер защитил!)))
Измаил чёс
Светозар Есть еще забавный троян предлагающий за расшифровку прислать денежку на e-mail и модифицирующий политики системного реестра. Называется оный Trojan.Win32.Krotten.au Вот с ним очень интересно покопаться. В результате - надо подменить файлик c:\Program Files\Internet Explorer\iexplore.exe (единственный разрешенный политиками к запуску файл - для того чтобы в инете отправить письмо или купить webmoney) файликом plstfix.exe (кажется так) от drweb, который производит реанимацию реестра на предмет критических политик. :) После чего можно жить дальше :)В свое время клиент подкинул подобный зараженный комп. Весьма интересная задачка оказалась. Но, слава богу, файлы он не шифровал, а только манипулировал с локальными политиками безопасности, делая невозможным любые действия, кроме ребута, соединения с сетью и запуска explorer'а. А вот какая страничка ставилась в homepage в нем - не дай бог к ночи посмотреть....Ужас. Фото из морга вроде бы....В общем -не для слабой психики.
Ярослава Нет,у меня нет компьютера :) я сижу с телефона :)
