.locky ransomware virus - pomoc

Errici

Ahojte, potreboval by som pomôcť s riešením problému jednej známej, ktorá si cez email natiahla do PC Lockyho ransomware vírus, ktorý jej zašifroval a prepísal všetky známe súbory v PC. Vírus ako taký sa podarilo odstrániť, dokonca ho zachytil aj eset, ale až po zašifrovaní a prepísaní dát. Moja otázka znie, je možné odšifrovať nejakým spôsobom dáta? Totižto nemala nič zálohované a prišla od dosť dôležité projekty do práce a ... Prešiel som na internete plno stránok, kde bolo vysvetlené ako vírus odstrániť ale na samotné obnovenie som toho nenašiel veľa, ale nič nepomohlo a samozrejme zálohu ani nemá. V PC je ešte Win XP.
Poprosím vynechať komentáre typy, že je sprostá a musí si pravidelne zálohovať a píše sa o tom všade, že nemá klikať na všetko bez rozmyslu čo jej príde emailu. Už som jej za to vynadal dosť a je si vedomá svojej chyby.

hrban

nie, tie vírusy keď chytíš šifrujú dáta ako napr akýkoľvek iný šifrovací program a na odšifrovanie je potrebné heslo. Častokrát treba zaplatiť tvorcovi víru aby poslal heslo na odšifrovanie ale s tým už je častokrát problém...
dáta už z disku nevytiahneš.

Errici

Dik za info. Presne som niečo podobné čakal ako odpoveď. Skúšal som aj nejaké decryptovacie programy, ale samozrejme, že nepomohli. Čo sa týka platenia, nad tým som ani neuvažoval, lebo ako si písal, sú s tým problémy a aj keď tak to vôbec nie je isté.

hrban

ono ten vírus, neviem, či konkrétne tento, ale tieto typy víru, ak sú hotové so šifrovaním vyskočí okienno, že plať lebo ináč si prišiel o dáta. A následne možnosti paypal, kreditka, etc....
ináč som ešte nečítal nikde na internete, že by sa dali obnoviť takto stratené dáta.

btw tam na konci je niečo o restore súborov ak máš ešte shadow copies https://malwaretips.com/blogs/remove-yo ... ted-virus/
poprípade sa vraj dá použiť aj recuva, ale to treba čo najmenej používať disk.

Errici

jej ho pri sifrovaní zabíjal Eset, okrem šifrovania jej nezmenilo ani pozadie a ani nepýtalo platenie, ako to bolo pri iných.
na tejto stránke som našiel návod na odtránenie a možnosť decryptovania, ale samozrejme, že nemusí fungovať a ani nefungoval:
http://malwarefixes.com/remove-locky-ra ... ypt-files/

hrban

no ak nepomohol shadow explorer, môžeš skúsiť recuvu,

víry tohoto typu šifrujú dáta a následne zmažú originál, čiže možno je ešte originál dostupný na obnovenie. ale čím dlhšie sa disk používa, tým sú šance menšie na obnovu.

Errici

shadow explorer som skúšal, ale najnovšia verzia nie je kompatibilná s Win XP, skúsim staršiu. Dik za typ na recuvu to by mohlo pomôcť. PC ležal teraz týždeň mimo prevádzky a skúšal som len obnovu podľa toho návodu, tak možno niečo nájde. Napíšem sem ako to dopadlo.

//ešte som teraz pozeral do bodov obnovenia a našiel som, Obnovenie systému -> Kontrolny bod systymu, z dňa pred napadnutím
Možno bude moja otázka znieť ..., ale či pri obnovení obnoví aj všetky súbory alebo len systémové nastavenia?

hrban

skús najskôr recuvu ak by nenašla nič môžeš skúsiť obnovenie ale to moc asi nepomôže.
hlavne robiť recuvu čo najskôr, obnova systému znamená zas písanie na disk a to môže prepísať zmazané dáta.

Errici

Takže napíšem len čo sa podarilo a čo nie. Recuva obnovila nejaké súbory, ale nie to čo bolo treba. Bod obnovenia bol len uložené nastavenia systému. V podstate sa nepodarilo vrátiť skoro nič zo zašifrovaného. Ďakujem ešte raz za rady.

test · Príspevok od používateľa **test** » 29 feb 2016, 20:01

Virus, ktory sifruje data, tak ich potom maze s niekolkonasobnym prepisom, aby sa nedali obnovit cez Recuvu a podobne programy. Treba skusit googlit a googlit, mozno sa najde nieco na decryptovanie.

//autoeditácia príspevku (29 Feb 2016, 20:07)
http://nabzsoftware.com/types-of-threats/locky-file
http://sensorstechforum.com/remove-lock ... ted-files/

Leslie10

Ono tuším, že na Cryptolocker už boli zverejnené kľúče na dešifrovanie. Ale s týmto .lockym neviem...

Errici

test napísal:Virus, ktory sifruje data, tak ich potom maze s niekolkonasobnym prepisom, aby sa nedali obnovit cez Recuvu a podobne programy. Treba skusit googlit a googlit, mozno sa najde nieco na decryptovanie.

//autoeditácia príspevku (29 Feb 2016, 20:07)
http://nabzsoftware.com/types-of-threats/locky-file
http://sensorstechforum.com/remove-lock ... ted-files/

Skúšal som googlit, ako by sa to dalo decryptovať
skúšal som aj Shadow Eplorer, ale ten pod XP nepracuje
ďalej Pandaunramsom - nedokázalo to decryptovat
rovnako som pochodil aj s ostatnými decryptormi od kaspersky
recuva nieco obnovila, ale nie to čo mala

heker

Keby sa dal ten disk do pocitaca s Win7 a viac, nepohohol by the Shadow? Neviem ako to kryptuje, ze co aj do registrov nieco dava, ale za pokus to stoji.

Errici

Leslie10 napísal:Ono tuším, že na Cryptolocker už boli zverejnené kľúče na dešifrovanie. Ale s týmto .lockym neviem...

Nenašiel som žiadnu databázu kľúčov.
Jedine čo sa mi podarilo nájsť je tento článok, kde sú nefungujúce odkazy a fórum, na ktoré tiež už nereaguje
http://www.computerworlduk.com/security ... s-3614698/
http://www.bleepingcomputer.com/forums/ ... -released/

hrban

googli shadow copy winxp ale winxp zálohuje len dokuments, pictures, shared documents, a iné blbosti plus ten vírus maže tieto súbory tiež...

Errici

heker napísal:Keby sa dal ten disk do pocitaca s Win7 a viac, nepohohol by the Shadow? Neviem ako to kryptuje, ze co aj do registrov nieco dava, ale za pokus to stoji.

Prehodil som disk do PC s Win 7, naisntaloval shadow explorer, disk D našiel, ale žiadne súbory na disku nevedel nájsť. Videl len súbory na disku s Win 7.

dunno

Kamarat chytil takyto virus. Vzdy ked chce neico otvorit z dokumentov, tak ho to nepusti a pise mu, ze vsetky subory ma zasifrovane , a ze ma zaplatit ak ich chce desifrovat.

Da sa s tym nieco robit ? Alebo len naformatovat disk a potom skusit obnovit subory cez nejaku Recuvu ? Alebo nejaky iny sposob ?

Zlucil som temy, precitaj si co sa pise vyssie. Tu ti ziadna Recuva nepomoze.

Human.

Najprv to treba vycistit od toho ransomwaru a potom skusit najst nejaky nastroj na odsifrovanie dat. Format urcite nedavaj, pokial mas na tom disku/particii aj tie zasifrovane data. Cez Recuvu nic moc neobnovis, lebo povodne data sa uz prepisali tymi zasifrovanymi.

Ak je to naozaj Cryptolocker, tak by na to uz malo existovat viacero nastrojov. Skus napriklad: http://www.plumbytes.com/l/anti-malware ... 01_en05_en
Pripadne skus trial verziu Eset Smar Security.

.locky ransomware virus - pomoc

.locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Cryptolocker ?

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc

Re: .locky ransomware virus - pomoc