Virus kriptovao fajlove

Juce na poslu kolega je negde "nahvatao" virus (ne znam kako se bese zove) sa kojim se srecem prvi put. Naime, kako mi on kaze, upalio je masinu, logovao se i na desktopu mu se pojavile neke bube koje grickaju desktop. On od straha iscupa racunar iz zida i pozove mene. Upalim ti ja masinu ali sipak, posle logovanja (XP) masina ni da bekne. Resetujem i pokrenem je u Safe modu sa Networking-om i to mi uspe. E sad ide ono glavno...svi xls, doc, txt, jpg...fajlovi su kriptovani ?!? sa ekstenzijom tipa dokument.doc.encrypted i u svaki folder gde se nalaze doticni fajlovi ubacen je ReadMe.txt (ili sl.) u kojem pise da neki baja trazi pare (odn. da se kupi) za programcic koji ce skinuti virus i dekriptovati sve fajlove ... Na toj masini je bio instaliran AVG koji se stalno update-uje ali je nekim cudom nestao (uninstall) ?!? Nema ga kao da nije ni postojao, ni logovi ni folder nista. Pokuso sam da ga instaliram ali njegov servis ne moze da se startuje jer je XP u safe modu.

Danas sam sa Kasperskim uspeo da skinem virus ali fajlovi su ostali kriptovani.
U onom ReadMe-u pise :

Your files are encrypted with RSA-1024 algorithm.
To recovery your files you need to buy our decryptor.
To buy decrypting tool contact us at: [email protected]

=== BEGIN ===
AD7D6889
010200000168000000A4000048C0ED1799507399
845D3BC55DC617A8C6287213E06159C70ED8C7C6
391990B4698E6C84784BAF12035C8CFB7A8AE756
D9A86768C9487F0E9C2DB51BB6F8BF9428839EC9
12E04A724D6092B68821964AE9FC05E25817C9BC
09BFB23629E52F8ED2637680664602A377B27468
D47FA7BAAD868E69717E9ABCC2E568F0302D18A6
=== END ===

E sad, zanima me da li se neko sretao sa ovim virusom (ako je potrebno provericu koji je) i da li je uspeo da vrati kriptovane fajlove koji su mi prioritet XP cu instalirati ponovo.

Prvo proveri kako se zove pa onda instaliraj neki Anti-spyware pa mi reci šta je našao i kako se zove ta napast.

Obican virus ti to nije mogao napraviti, na sistemu sigurno imas rootkita koji prikriva backdoora, crypto-program i ko zna sta jos.

Skinuo sam ga vec sa Kasperskim preko mreze (skenirao sam njegov racunar sa mog) i nasao je gomilu (preko 170) fajlova zarazenih sa jako mnogo virusa, trojanaca i sl. Covek mi je priznao da je isao na neki porno sajt, kao hteo da downloaduje neki klip i posle toga veselje...koliko se secam (od kuce pisem pa ne mogu da vidim log Kasperskog) jedan od virusa se zove nesto tipa PE.Crypt.Generic videcu sutra tacan naziv. Kriptovao je doslovce sve xls, doc, jpg i slicne fajlove, secam se da je na root-u C particije pravio porn.exe, updater.exe, zarazen je svchost.exe, mnogo dll-ova XP-ovih da ih ne nabrajam medju kojima je i kernel32.dll, znaci skoro potpuni pad XP-a, uspeo sam da pokrenem masinu u Safe modu sa Networkingom jedino...

Ja sam mu vec rekao da verovatno nema spasa tim dokumentima ali ajde da probam da pomognem coveku...

Moguce je da ima spasa, ali za sada ne bi trebalo nista dirati. Ako zaista postoji i moze da se kupi dekriptor, program je morao negde ostaviti kljuc za dekriptovanje. AV kompnije ce pronaci kako se do njega dolazi, samo im daj vremena...

Koliko sam ja razumeo kljuc je :

AD7D6889
010200000168000000A4000048C0ED1799507399
845D3BC55DC617A8C6287213E06159C70ED8C7C6
391990B4698E6C84784BAF12035C8CFB7A8AE756
D9A86768C9487F0E9C2DB51BB6F8BF9428839EC9
12E04A724D6092B68821964AE9FC05E25817C9BC
09BFB23629E52F8ED2637680664602A377B27468
D47FA7BAAD868E69717E9ABCC2E568F0302D18A6

jer sam pretrazio net u vezi RSA-1024 algoritma za kriptovanje, jos samo da nadjem dekripter :)....

Evo par virusa : RootKit.Win32.Qandr.bs, Backdoor.Win32.SdBot.eek, Trojan-Downloader.Win32.Small.iyr, PE-Crypt.UPX

Moj savet:
Svakoj antivirusnoj kompaniji biće u interesu da baš ona zakrpi svoje
korisnke od napasti. Daj neki od dokumenata nekoj ozbiljnoj laboratoriji,
Kaspersky Lab, F-secure response lab, ili avira response lab, neko od njih
će ti vrlo brzo odgovoriti šta da radiš. Tih trojanaca koji kriptuju ima
jako dosta na virusnom nebu.

Hello!
My name is Vitaly, I am virus analyst from Kaspersky Lab. Unfortunately I don't speak your language, so I hope you understand English.

Dear Ptosic, could you be so kind to contact us and let us try to help you. Please do not reinstall/clean your system until we found the source of infection.

Please contact me via email: Vitaly.Kamluk [~at~] kaspersky.com

Thank you.

Hello Vitaly and welcome to our forum!
Thank you for your competition in solving our problems..
If mister Ptosic not speaking English, somebody of members will translate
problem and will contact you via e-mail.
Thank you more once!

Poslao sam coveku mail sa objasnjenjima, na engleskom naravno. Bas me iznenadilo to da se neko interesuje za nase probleme a nije iz Srbije :). Nadam se da ce mi pomoci oko ovoga.

Pozdrav

Ptosic, super! Javi rezultate.

Potpuno isto se dogodilo kod mene. Isto kolega zeznio firmin kompjuter. Jedina razlika što se normalno logirao, t.j. nije trebalo ići u safe mode, i dodan nastavak na svakom fajlu je "_CRYPT". Očito su bili na istoj stranici. Kako imamo sistem inžinjera proslijediću mu ovaj fajl pa neka proba riješiti u suradnji s Mr. Vitaly.
Kad neko iz Kasperskog zaviruje na ovaj forum, je priznanje samom forumu.

Potpis

loxy

To je to care. Ista stvar samo sto je ovaj nahvatao i jos nesto pride pa je zarazen i svchost.exe cak i kernel32.dll. XP je puk'o skroz posle pokusaja ciscenja ali sam sacuvao kriptovane fajlove za slucaj da se nadje alatka za dekripciju.

Vi o vuku, on na vrata eto zanima me bas sta ce da se desi i da li ce covek moci da pomogne

Interesantno je da nije dirao "zip" fajlove. Tako da kod nas postoje neki kriptirani i nekriptirani identični fajlovi, a to bi već moglo da pomogne. Onaj ključ koji se navodi čisto sumnjam da nečemu služi.

Potpis

loxy

Vidis...to nisam ni proveravao.


Elem...covek je nasao koji je virus kriptovao fajlove, updateovao bazu AV, ja ga pronasao (sa jos par nekih propratnih trojanaca), zipovao mu virus i poslao onako kako je trazio sa sve AV scan log-om da bi napravio dekripter. Ako nemate updateovan AV proverite da li na c:\Documents And Settings\LocalServices\LocalSettings\Temporary Internet
Files\Content.IE5\O1MJKP2R\ ima gpc.exe ili gpc[1].exe.

Evo ga i poslednji AV scan log doticnog racunara, mozda nekome pomogne :

Scan : completed
----------------
Scanned: 34997
Detected: 11
Untreated: 10
Start time: 6/5/2008 8:15:13 AM
Duration: 00:21:28
Finish time: 6/5/2008 8:36:41 AM


Detected
--------
Status Object
------ ------
deleted: Trojan program Trojan-Dropper.Win32.NSIS.f File: \\Ilija\c$\Documents and Settings\Ilija\Local Settings\Temp\.tt1A.tmp
detected: Trojan program Trojan-Dropper.Win32.NSIS.f File: \\Ilija\c$\Documents and Settings\Ilija\Local Settings\Temp\.tt5.tmp
detected: Trojan program Trojan-Downloader.Win32.Injecter.ss File: \\Ilija\c$\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WT7N4OGI\notepad32[2].exe
detected: Trojan program Trojan.Win32.Vapsup.gcg File: \\Ilija\c$\WINDOWS\vregfwlx.dll
detected: virus Heur.Trojan.Generic (modification) File: \\Ilija\c$\WINDOWS\system32\svchost.exe:exe.exe
detected: Trojan program Trojan-Downloader.Win32.Mutant.acm File: \\Ilija\c$\WINDOWS\system32\WinNt32.dll
detected: Trojan program Trojan-Downloader.Win32.Mutant.acm File: \\Ilija\c$\WINDOWS\system32\WinNt32.dl_
detected: Trojan program Trojan-Downloader.Win32.Mutant.acl File: \\Ilija\c$\WINDOWS\system32\drivers\djN15.sys
detected: Trojan program Trojan-Downloader.Win32.Mutant.acl File: \\Ilija\c$\WINDOWS\system32\drivers\yeJ84.sys
detected: virus Virus.Win32.Gpcode.ak File: \\Ilija\c$\WINDOWS\Temp\13.tmp
detected: virus Virus.Win32.Gpcode.ak File: \\Ilija\c$\WINDOWS\Temp\14.tmp

Za sad trenutno nema leka za ovo s*****. Postojao je sličan cryptvirus pre par godina. Medjutim njegov kod je bio loše uradjen i samo nekih 667 bit odprilike, tako da je bio provaljen u dogledno vreme. Ovaj sadašnji je nažalost mnogo bolje uradjen. Čitao sam negde da je Kaspersky Labs tražio od ostalih AV kompanija da se udruže i da zajedno pokušaju da ga provale. Naime kod je prilično dobro napisan, dok sama dužina crypta od 1024 bit je manje više nemoguće razbiti. U svakom slučaju će biti vrlo interesantno pratiti šta će da se desi.

Znam da sa ovim nisam nikom pomogao i iskreno mi je žao. Ali sam smatrao da je informacija sama po sebi bitna.

Potpis

Arguing on the internet is a bit like competing in the para-olympics, even if you win, your still a fucking retard!

Pa dobro ljudi sta se desava sa ovim problemom, niko nista ne kaze, da li je sredjeno ili ne??

kaspersky je izdao neki program za uklanjanje virusa i delimično vraćanje fajlova.Nisam još imao prilike da ga isprobam, ali voleo bih da čujem da li radi?

Evo odgovora koji sam dobio :

Hello,
I am happy to announce you that we have published the first approach of
restoring your files after Gpcode.ak attack.

Please check our web blog post:
http://www.viruslist.com/en/weblog?weblogid=208187531

Detailed instructions can be found on virus description webpage:
http://www.viruslist.com/en/vi...cyclopedia?virusid=313444#doc2

Additionally I want to let you know that we will continue working on
other approaches to help you recovering files.

Have a good luck!

Regards,
Vitaly Kamluk <[email protected]>
Senior Virus Analyst
Kaspersky Lab