Инфицированный файл что это такое

Я научу вас ремонтировать свой компьютер!

Наверное, каждому из нас хотя бы раз в жизни приходило сообщение на электронный адрес, ICQ или в социальной сети сообщение от незнакомого человека, содержащее ссылку на фото друга или поздравление с каким-либо праздником.

И все вроде бы не предвещает беды, однако, при переходе по внешней ссылке на ваш компьютер попадает вредоносное программное обеспечение о котором вы даже не подозреваете. Позднее вы обнаруживаете, что все ваши файлы зашифрованы и вы не можете получить к ним доступ. Какие меры предпринимать в этой ситуации и есть ли способ вернуть себе то, что принадлежит по праву?

Стоит отметить, что абсолютно не важно, какая версия программного обеспечения установлена на ваш ПК, поскольку Critroni-вирус способен заражать любую современную ОС. Чтобы избавиться от вредоносной программы, необходимо иметь представление о том, что она из себя представляет и каким образом попадает на жесткий диск компьютера.

Определение и алгоритм работы шифровальных вирусов

В наши дни во всемирной сети все большее распространение получает так называемый CTB или Critroni вирусы. Это вредоносное ПО одна из разновидностей распространенных ранее троянов, получивших название CriptoLocker, направленных на проникновение на винчестер и шифрование хранимых на нем данных и вымогание оплаты за них. Инфицированные файлы можно определить по неизвестным для Windows расширениям файлов типа ctbl, xtbl, ctb2 и других, которые не может открыть ни одна программа. Прежде чем приступить к борьбе с вирусом, необходимо понять его алгоритм работы.

Еще одной распространенной категорией вредоносного программного обеспечения, распространенного на просторах интернет, являются трояны типа Ransom.Win32.Shade и Ransom.Win32.Onion. Алгоритм работы этих вирусов схож с принципом действия Critroni, своей областью локального заражения. Чтобы определить, что файлы инфицированы именно этими троянами, необходимо посмотреть какое расширение присвоено файлам. В случае с Ransom к имени файла добавляется приставка xtbl. Заражению подвергаются любые текстовые документы, фотографии, базы данных и другие документы.

При попытке открытия зараженных файлов пользователь получает уведомление о том, что они заражены и для восстановления доступа необходимо произвести оплату на указанный счет или номер телефона. Однако не следует спешить с оплатой, ведь для борьбы с этим видом трояна существует другой способ, который будет рассмотрен далее в этой статье.

Чего лучше не делать при заражении компьютера шифровальным вирусом

Большинство начинающих пользователей при обнаружении Critroni-вирусов устанавливают различные антивирусные программы, позволяющие избавиться от вредоносного ПО. Однако вместе с вирусом эти программы удаляют и инфицированные файлы, которые могут представлять большую ценность для их владельца. Ситуацию усугубляет еще и то, что восстановить потерянную информацию невозможно.

Другая категория юзеров пытается бороться с вирусом, изменяя расширение .xtbl на нормальное. Однако это не дает никаких результатов. Конечно, можно полностью избавиться от зловредной программы отформатировав жесткий диск и переустановив Windows, но это также приведет к потере всей хранимой документации на винчестере. Оказываются бесполезными и специальные программы-дешифраторы, поскольку в основе шифровальных вирусов лежит специальный программный код, нуждающийся в особом подходе.

Какую потенциальную угрозу представляют вирусы-вымогатели для компьютера

Ни для кого не секрет, что ни один из известных на сегодняшний день типов вирусов не принесет никакой пользы вашему компьютеру. Основным предназначением эти программ является заработок денег, путем вымогания их у неопытных пользователей. Помимо этого, в разработке вредоносного программного обеспечения заинтересованы и производители антивирусных программ, ведь именно за их помощью обращаются пользователи в случае столкновения с вирусами.

Так какую же потенциальную угрозу представляют Critroni-вируса для персонального компьютера? В их основе лежит нестандартный программный код, неизвестный большинству бесплатных антивирусных программ, поэтому вылечить файлы им не удастся. Удаление зараженных объектов также невыход, поскольку это приведет и к потере информации, как об этом писалось выше. Единственным выходом для локализации заражения является перемещение инфицированных файлов в специальный карантин.

Срок действия шифровальных вирусов

Если вредоносной программе удалось каким-либо способом пробраться на ваш компьютер и зашифровать ваши файлы, то ручная смена разрешения будет безрезультатной. Алгоритм работы Critroni-вирусов настроен таким образом, что в случае не поступления на счет вымогаемой оплаты, вы можете получать сообщения на электронную почту или различные программы-мессенджеры с угрозами о безвозвратном удалении ваших файлов.

На большинство пользователей такое психологическое давление оказывает существенное влияние и они с покорностью отправляют злоумышленникам необходимую сумму. Однако не многие пользователи задумываются о том, что будет после того, как киберпреступники получают эти деньги. Как правило, они попросту навсегда забывают о своих жертвах, а доверчивые юзеры остаются у разбитого корыта.

Когда указанное время ожидания в программном коде подходит к концу, вирус-вымогатель закрывается, после чего пользователю выводится всплывающее окно, в котором указано, что более подробная информация указана в текстовом файле DecryptAllFile, находящемся в папке документов. Однако не стоит расстраиваться, поскольку еще существует шанс вернуть свою информацию.

Как шифровальные вирусы проникают в операционную систему

Основным способом заражения ОС вредоносными программами являются зараженные сообщения, поступающие на email или другие сайты, часто посещаемые владельцем компьютера. Помимо этого очень часто можно поймать вирус через поддельные флеш-банеры или видеопроигрыватели, размещенные на различных интернет-сайтах.

Как только вирус попадает на жесткий диск компьютера, он активизируется и шифрует все попавшиеся на своем пути файлы. Если вы встретили на винчестере файлы с разрешением .cbf, .ctbl или .ctb2, то можете забыть о них, поскольку они не подлежат восстановлению. Также стоит отметить, что на сегодняшний день нет ни одной антивирусной программы, способной взломать программный код Critroni-вирусов. Если у вас нет специального ключа, то единственный выход — это перемещение инфицированных файлов в карантин или полное их удаление.

Как защитить себя от заражения шифровальным вирусом

На различных тематических интернет-ресурсах содержится большое количество информации по этому поводу, которая на практике оказывается бесполезной. Очень часто в процессе работы за компьютером с ним начинают происходить различные необъяснимые вещи: железо выходит из строя, операционная система выдает множество ошибок или операционную систему заражает вредоносное программное обеспечение. Как правило, это происходит при написании диплома или составлении квартальной отчетности на работе. Чтобы обезопасить себя от непредвиденных поворотов судьбы, желательно хранить резервную копию важной документации.

Однако не менее важным аспектом является и защита компьютера от вирусов. Для этого необходимо защитить свою операционную систему хорошим антивирусом, а также активирован и правильно настроен брандмауэр Windows, отвечающий за вашу безопасность во время работы в сети. Также необходимо соблюдать несколько главных правил: не скачивать подозрительные программы с сомнительных сайтов, не переходить по неизвестным ссылкам, прикрепленным в сообщении от неизвестных адресатов.

Помимо этого для защиты своей информации от вредоносного программного обеспечения рекомендуется производить периодическое резервное копирование всех данных, с помощью которых можно без особых проблем восстановить утерянные файлы.

Методы лечения инфицированных файлов от вирусов-вымогателей

Если вы по неосторожности стали жертвой вируса-вымогателя, зашифровавшего ваши персональные данные, необходимо попытаться вернуть доступ к ним. Для этого существует несколько простых способов лечения инфицированных вредоносным программным обеспечением объектов, которые мы рассмотрим далее в этой статье.

Одним из наиболее надежных в наши дни и проверенных временем методов является резервное копирование, позволяющее восстановить личную информацию в случае шифрования файлов.

Программное восстановление файлов. Принцип работы шифровальных вирусов основан на том, что вредоносная программа копирует файл, заражает его, внося свой программный код в код операционной системы, а оригинал удаляет. Таким образом, восстановить его нет никакой возможности. Однако при помощи некоторых утилит можно создать резервные копии еще не зараженных вирусом файлов. Стоит учитывать, что чем дольше на вашем компьютере орудует шифровальный вирус, тем больше информации впоследствии будет утеряно.

Восстановить зараженные файлы с расширением vault можно при помощи теневых томов копий. Иными словами, есть небольшая вероятность того, что некоторые оригиналы зараженных файлов все-таки останутся не удаленными и их впоследствии можно будет восстановить. Хоть вероятность этого и невелика, однако, она существует и может сыграть вам на руку.

Помимо этого, с развитием интернет-технологий и методов хранения данных, в наши дни существует множество файлообменников и облачных хранилищ данных, позволяющих хранить важные файлы и документы на виртуальных дисках. Система безопасности на них значительно выше и вероятность их инфицирования значительно снижается.

Программная защита персонального компьютера от заражения вредоносным ПО

Защитить свои файлы от инфицирования вирусами можно и при помощи встроенных в операционную систему Windows специальных редакторов локальной политики. Они позволяют ограничить доступ к файлам посторонних программ, в результате чего шифровальный вирус при попытке заражения документа не сможет получить к нему доступ и заразить его.

Восстановление инфицированных файлов

Если ваши файлы были зашифрованы Critroni-вирусом, то нет смысла пробовать восстановить их при помощи антивирусных программ, поскольку ни одному современному антивирусу это не под силу. Однако эти программы позволяют локализовать область заражения и полностью удалить вредоносное программное обеспечение с компьютера.

Если вы не создали резервную копию данных или не поместили ценные документы на виртуальный диск облачного хранилища, то остается только один выход: перечислить необходимую сумму денег на счет вымогателя. Тем не менее нет стопроцентной гарантии того, что киберпреступник пришлет вам ключ, с помощью которого можно деактивировать вредоносную программу и возобновить доступ к зашифрованным файлам.

Как искать инфицированные файлы

Как заблокировать Critroni-вирус

При малейшем подозрении о заражении компьютера вирусом, первым делом, необходимо перейти в безопасный режим работы в сети. Для этого в операционной системе Windows предусмотрена клавиша F10.

В том случае, если шифровальный вирус уже успел зашифровать часть ваших файлов в один из неизвестных операционной системе форматов, то расшифровать их будет практически невозможно. Однако если нанесенный вирусом ущерб не слишком велик, то его деятельность можно заблокировать при помощи политики ограничения доступа программ.

Запись опубликована 01.07.2015 автором katrinas11 в рубрике Антивирусы. Отблагодари меня, поделись ссылкой с друзьями в социальных сетях:

В этой статье рассказано о вирусах, заражающих ЕХЕ-файлы. Приведена классификация таких вирусов, подробно рассмотрены алгоритмы их работы, отличия между ними достоинства и недостатки.

Вирусы — это хорошая гимнастика для ума, хотя многие думают, что написать вирус на языке высокого уровня весьма трудно. Это не совсем так. Писать на языке Pascal довольно легко, правда величина полученного кода вызывает благоговейный трепет.

Для каждого типа вирусов представлены исходные тексты с подробными комментариями.Также приведены основные сведения о структуре и принципах работы ЕХЕ-программы.

Структура и процесс загрузки ЕХЕ-программы

В отличие от СОМ-программ, ЕХЕ-программы могут состоять из нескольких сегментов (кодов, данных, стека). Они могут занимать больше 64Кбайт.ЕХЕ-файл имеет заголовок, который используется при его загрузке.Заголовок состоит из форматированной части, содержащей сигнатуру и данные, необходимые для загрузки ЕХЕ-файла, и таблицы для настройки адресов (Relocation Table). Таблица состоит из значений в формате сегмент:смещение. К смещениям в загрузочном модуле, на которые указывают значения в таблице, после загрузки программы в память должен быть прибавлен сегментный адрес, с которого загружена программа.

При запуске ЕХЕ-программы системным загрузчиком (вызовом функции DOS 4Bh) выполняются следующие действия:

1. Определяется сегментный адрес свободного участка памяти,размер

которого достаточен для размещения программы.

2.Создается и заполняется блок памяти для переменных среды.

3.Создается блок памяти для PSP и программы (сегментЮОООЬ — PSP;

В поля PSP заносятся соответствующие значения.

4.Адрес DTA устанавливается равным PSP:0080h.

5.В рабочую область загрузчика считывается форматированная часть

заголовка ЕХЕ-файла.

6.Вычисляется длина загрузочного модуля по формуле:

7.Определяется смещение загрузочного модуля в файле, равное

8.Вычисляется сегментный адрес (START_SEG) для загрузки -обычно это PSP+lOh.

9.Считывается в память загрузочный модуль (начиная с адреса

10.Для каждого входа таблицы настройки:

a)читаются слова I_OFF и I_SEG;

c)читается слово по адресу RELO_SEG:I_OFF;

d)к прочитанному слову прибавляется START_SEG;

e)результат запоминается по тому же адресу (RELO_SEG:I_OFF).

11.Распределяется память для программы в соответствии с МахМет

12.Инициализируются регистры, выполняется программа:

b) АХ=результат проверки правильности идентификаторов драйверов, указанных в командной строке;

ЕХЕ-вирусы условно можно разделить на группы, используя в качестве признака для деления особенности алгоритма. Вирусы, замещающие программный код (Overwrite) Такие вирусы уже стали раритетом. Главный их недостаток — слишком грубая работа. Инфицированные программы не исполняются, так как вирус записывается поверх программного кода, не сохраняя его. При запуске вирус ищет очередную жертву (или жертвы), открывает найденный файл для редактирования и записывает свое тело в начало программы, не сохраняя оригинальный код. Инфицированные этими вирусами программы лечению не подлежат.

Эти вирусы получили свое название из-за алгоритма размножения:

к каждому инфицированному файлу создается файл-спутник. Рассмотрим более подробно два типа вирусов этой группы:

Вирусы первого типа размножается следующим образом. Для каждого инфицируемого ЕХЕ-файла в том же каталоге создается файл с вирусным кодом, имеющий такое же имя, что и ЕХЕ-файл, но с расширением СОМ. Вирус активируется, если при запуске программы в командной строке указано только имя исполняемого файла. Дело в том, что, если не указано расширение файла, DOS сначала ищет в текущем каталоге файл с заданным именем и расширением СОМ. Если СОМ-файл с таким именем не найден, ведется поиск одноименного ЕХЕ-файла. Если не найден и ЕХЕ-файл, DOS попробует обнаружить ВАТ (пакетный) файл. В случае отсутствия в текущем каталоге исполняемого файла с указанным именем поиск ведется во всех каталогах, доступных по переменной PATH. Другими словами, когда пользователь хочет запустить программу и набирает в командной строке только ее имя (в основном так все и делают), первым управление получает вирус,код которого находится в СОМ-файле. Он создает СОМ-файл еще к одному или нескольким ЕХЕ-файлам (распространяется), а затем исполняет ЕХЕ-файл с указанным в командной строке именем. Пользователь же думает, что работает только запущенная ЕХЕ-программа.

Вирус-спутник обезвредить довольно просто — достаточно удалить

СОМ-файл.

Вирусы второго типа действуют более тонко. Имя инфицируемого

ЕХЕ-файла остается прежним, а расширение заменяется каким-либо

другим, отличным от исполняемого (СОМ, ЕХЕ и ВАТ), Например,

файл может получить расширение DAT (файл данных) или OVL (про-

граммный оверлей). Затем на место ЕХЕ-файла копируется вирусный код. При запуске такой инфицированной программы управление получает вирусный код, находящийся в ЕХЕ-файле. Инфицировав еще один или несколько ЕХЕ-файлов таким же образом, вирус возвращает оригинальному файлу исполняемое расширение (но не EХЕ, а СОМ, поскольку ЕХЕ-файл с таким именем занят вирусом), после чего исполняет его. Когда работа инфицированной программы закончена, ее запускаемому файлу возвращается расширение неисполняемого. Лечение файлов, зараженных вирусом этого типа, может быть затруднено,если вирус-спутник шифрует часть или все тело инфицируемого файла,а перед исполнением его расшифровывает.

Вирусы, внедряющиеся в программу (Parasitic) Вирусы этого вида самые незаметные: их код записывается в инфицируемую программу, что существенно затрудняет лечение зараженных файлов. Рассмотрим методы внедрения ЕХЕ-вирусов в ЕХЕ-файл.

Способы заражения ЕХЕ-файлов

Самый распространенный способ заражения ЕХЕ-файлов такой: в конец файла дописывается тело вируса, а заголовок корректируется (с сохранением оригинального) так, чтобы при запуске инфицированного файла управление получал вирус. Похоже на заражение СОМ-файлов, но вместо задания в коде перехода в начало вируса корректируется собственно адрес точки запуска программы. После окончания работы вирус берет из сохраненного заголовка оригинальный адрес запуска программы, прибавляет к его сегментной компоненте значение регистра DS или ES (полученное при старте вируса) и передает управление на полученный адрес.

Следующий способ — внедрение вируса в начало файла со сдвигом кода

Вирусы, замещающие программный код ( Overwrite ) Как уже говорилось, этот вид вирусов уже давно мертв. Изредка появляются еще такие вирусы, созданные на языке Assembler, но это, скорее, соревнование в написании самого маленького overwrite-вируса. На данный момент самый маленький из известных overwrite-вирусов написан Reminder’ом (Death Virii Crew group) и занимает 22 байта.

Алгоритм работы overwrite-вируса следующий:

1. Открыть файл, из которого вирус получил управление.

2. Считать в буфер код вируса.

4. Искать по маске подходящий для заражения файл.

5. Если файлов больше не найдено, перейти к пункту 11.

6. Открыть найденный файл.

7. Проверить, не заражен ли найденный файл этим вирусом.

8. Если файл заражен, перейти к пункту 10.

9. Записать в начало файла код вируса.

10. Закрыть файл (по желанию можно заразить от одного до всех фай-

лов в каталоге или на диске).

12. Завершить программу.

Ниже приведен листинг программы, заражающей файлы таким способом.

Один из явных признаков, помогающих отличить опытного пользователя от начинающего, это их отношение к расширениям файлов. Первые с одного взгляда могут сказать, какой файл является картинкой, какой программой, а какой вообще лучше не открывать без предварительной проверки антивирусом. Вторые обычно просто не понимают о чем идет речь и как эти самые расширения файлов выглядят. Именно для них в этой статье мы хотим осветить тот необходимый минимум, который понадобится им для безопасной работы на компьютере под управлением Windows.

Что такое расширения?

Как говорит нам Wikipedia, и у нас нет совершенно никаких оснований спорить с ней в этом вопросе, расширение файла — это последовательность символов, добавляемых к имени файла и предназначенных для идентификации типа (формата) файла. Это один из распространённых способов, с помощью которых пользователь или программное обеспечение компьютера может определить тип данных, хранящихся в файле.

Как их увидеть?

По умолчанию отображение файлов в Windows отключено. Мне не совсем понятна логика разработчиков, кроме как оградить неокрепшие умы пользователей от лишних (с их точки зрения) знаний. Взамен получаем широчайшую дыру в безопасности и юзеров, которые ориентируются только на названия файлов и кликают на все подряд.

Для того, чтобы включить отображение расширений файлов, откройте Панель управления, найдите там иконку Параметры папок. В появившемся окошке на вкладке Вид снимите галку с опции Скрывать расширения для зарегистрированных типов файлов.

Не получается? Попросите своего продвинутого компьютерного товарища.

Каких расширений файлов следует опасаться?

Теоретически, исправная антивирусная программа со свежими базами может в значительной мере обезопасить вашу работу. Но любой, даже самый совершенный антивирус может ошибиться или не успеть внести заразу в свои фильтры. Поэтому дополнительным фактором защиты лучше включать свою голову вооруженную необходимыми знаниями.

Если вы получили файл из подозрительного источника, например по почте от незнакомого человека, то необходимо обратить внимание на его расширение и, если оно входит в предложенный нами список, то лучше его не открывать, а отослать на проверку в VirusTotal.

• .EXE — исполнимый программный файл. Большинство программ в Windows имеют именно такое расширение.
• .PIF — это специальный файл, содержащий информацию для DOS-программ. Несмотря на то, что не содержат исполнимого кода, могут быть потенциально опасны.
• .APPLICATION — установщик приложения, использующий технологию ClickOnce от Microsoft.
  
• .GADGET — гаджет для отображения на рабочем столе в Windows Vista и 7.
• .MSI — запускает процесс установки программы на вашем компьютере.
• .MSP — установка обновлений для уже установленных программ.
  
• .COM — программы для MS-DOS.
  
• .SCR — файл скринсейвера.
• .HTA — веб-приложение. В отличие от html приложений исполняемых в вашем браузере, могут быть опасны.
  
• .CPL — файл Панели управления. Все элементы в панели управления имеют это расширение.
• .MSC — файл консоли управления Microsoft. Такие приложения, как редактор групповых политик и инструмент управления дисками имеют расширение .MSC.
  
• .JAR — исполнимый код для среды Java.

• .BAT — пакетный файл, содержащий последовательность команд для вашего компьютера. Изначально использовался в MS-DOS.
  
• .CMD — пакетный файл наподобие .BAT, но это расширение файла было введено в Windows NT
• .VB, .VBS, .VBE — файл VBScript. Будет при запуске выполнять свой VBScript код.
• .JS, .JSE— файл JavaScript. При использовании на веб-страницах является относительно безопасными, если работать в веб-браузере. Тем не менее, Windows может открывать эти файлы вне браузера и это несет угрозу.
• .WS, .WSF, .WSC, .WSH — файлы Windows Script.
• .PS1, .PS1XML, .PS2, .PS2XML, .PSC1, .PSC2 — командный сценарий для Windows PowerShell.
  
• .MSH, .MSH1, .MSH2, .MSHXML, .MSH1XML, .MSH2XML — командный сценарий для Monad. Monad позже был переименован в PowerShell.
  

• .SCF — командный файл Windows Explorer. Может содержать потенциально опасные команды.
  
• .LNK — ссылка для запуска программы. Может содержать атрибуты командной строки, которые делают опасные вещи, такие как удаление файлов без спроса.
  
• .INF — текстовый файл, используемый для автоматического запуска с подключаемых носителей. Часто используется для заражения с флешек или дисков.
  

• .REG — файл реестра Windows. Эти файлы содержат список записей реестра, которые будут добавлены или удалены, если вы запустите их. Опасность заключается в том, что вы можете удалить важные сведения из реестра, внести в него нежелательные или вредоносные данные.
  

И это все мне надо запомнить?

Вообще желательно. Но можно распечатать и повесить на видном месте. Или сохранить ссылку и обращаться по мере необходимости. И не забудьте поделиться этой информацией со всеми своими бабушками, дедушками, девушками и другими начинающими пользователями, которые могут этого не знать.

Одна из самых проблемных вредоносных программ сегодня — это троян или вирус, шифрующий файлы на диске пользователя. Некоторые из этих файлов расшифровать возможно, а некоторые — пока нет. В руководстве приведены возможные алгоритмы действий в обоих ситуациях, способы определить конкретный тип шифрования на сервисах No More Ransom и ID Ransomware, а также краткий обзор программ для защиты от вирусов-шифровальщиков (ransomware).

Есть несколько модификаций таких вирусов или троянцев-вымогателей (и постоянно появляются новые), но общая суть работы сводится к тому, что после установки на компьютер ваши файлы документов, изображений и другие, потенциально являющиеся важными, шифруются с изменением расширения и удалением оригинальных файлов, после чего вы получаете сообщение в файле readme.txt о том, что все ваши файлы были зашифрованы, а для их расшифровки вам требуется отправить определенную сумму злоумышленнику. Примечание: в Windows 10 Fall Creators Update появилась встроенная защита от вирусов-шифровальщиков.

Что делать, если все важные данные зашифрованы

Для начала, некоторая общая информация для столкнувшихся с шифрованием важных файлов на своем компьютере. Если важные данные на вашем компьютере были зашифрованы, то прежде всего не стоит паниковать.

Если у вас есть такая возможность, с диска компьютера на котором появился вирус-шифровальщик (ransomware) скопируйте куда-то на внешний накопитель (флешку) пример файла с текстовым запросом злоумышленника по расшифровке, плюс какой-либо экземпляр зашифрованного файла, а потом, по возможности, выключите компьютер, чтобы вирус не мог продолжить шифрование данных, а остальные действия производите на другом компьютере.

Следующий этап — с помощью имеющихся зашифрованных файлов выяснить, какой именно тип вируса зашифровал ваши данные: для некоторых из них есть дешифраторы (некоторые я укажу здесь, некоторые указаны ближе к концу статьи), для некоторых — пока нет. Но даже в этом случае вы можете отправить примеры зашифрованных файлов в антивирусные лаборатории (Касперский, Dr. Web) для изучения.

Как именно выяснить? Сделать это можно с помощью Google, найдя обсуждения или тип шифровальщика по расширению файла. Также начали появляться сервисы для определения типа ransomware.

No More Ransom

No More Ransom — активно развивающийся ресурс, поддерживаемый разработчиками средств безопасности и доступный в версии на русском языке, направленный на борьбу с вирусами шифровальщиками (троянцами-вымогателями).

При удаче, No More Ransom может помочь расшифровать ваши документы, базы данных, фотографии и другую информацию, скачать необходимые программы для расшифровки, а также получить информацию, которая поможет избежать таких угроз в будущем.

На No More Ransom можно попробовать расшифровать ваши файлы и определить тип вируса-шифровальщика следующим образом:

• Декрипторы — почти все существующие на текущий момент времени утилиты для расшифровки зашифрованных вирусами файлов.
  
• Профилактика заражения — информация, направленная в первую очередь на начинающих пользователей, которая может помочь избежать заражения в дальнейшем.
• Вопросы и ответы — информация для тех, кто хочет лучше разобраться в работе вирусов шифровальщиков и действиях в случаях, когда вы столкнулись с тем, что файлы на компьютере были зашифрованы.

На сегодня, No More Ransom — наверное, самый актуальный и полезный ресурс, связанный с расшифровкой файлов для русскоязычного пользователя, рекомендую.

К сожалению, все это не всегда помогает и не всегда есть работающие расшифровщики файлов. В этом случае сценарии бывают разными: многие платят злоумышленникам, поощраяя их продолжать эту деятельность. Некоторым пользователям помогают программы для восстановления данных на компьютере (так как вирус, делая зашифрованный файл, удаляет обычный важный файл, который теоретически можно восстановить).

Файлы на компьютере зашифрованы в xtbl

Один из последних вариантов вируса-вымогателя шифрует файлы, заменяя их на файлы с расширением .xtbl и именем, состоящим из случайного набора символов.

К сожалению, способа расшифровать .xtbl на данный момент нет (как только он появится, инструкция будет обновлена). Некоторые пользователи, у которых на компьютере была действительно важная информация, сообщают на антивирусных форумах, что отправили авторам вируса 5000 рублей или другую требуемую сумму и получили дешифратор, однако это очень рискованно: вы можете ничего не получить.

Что делать, если файлы были зашифрованы в .xtbl? Мои рекомендации выглядят следующим образом (но они отличаются от тех, что есть на многих других тематических сайтах, где, например, рекомендуют немедленно выключить компьютер из электросети или не удалять вирус. На мой взгляд — это лишнее, а при некотором стечении обстоятельств может быть даже вредным, однако решать вам.):

Чего делать не следует:

• Переименовывать зашифрованные файлы, менять расширение и удалять их, если они вам важны.

Это, пожалуй, всё, что я могу сказать по поводу зашифрованных файлов с расширением .xtbl на данный момент времени.

Файлы зашифрованы better_call_saul

Из последних вирусов шифровальщиков — Better Call Saul (Trojan-Ransom.Win32.Shade), устанавливающий расширение .better_call_saul для шифруемых файлов. Как расшифровать такие файлы — пока непонятно. Те пользователи, которые связывались с лабораторией Касперского и Dr.Web получили информацию о том, что пока этого сделать нельзя (но все равно попробуйте отправить — больше образцов зашифрованных файлов у разработчиков = больше вероятность нахождения способа).

Если окажется, что вы нашли способ расшифровки (т.е. он был где-то выложен, а я не уследил), прошу поделиться в комментариях информацией.

Trojan-Ransom.Win32.Aura и Trojan-Ransom.Win32.Rakhni

Следующий троян, шифрующий файлы и устанавливающий им расширения из этого списка:

• .locked
• .crypto
• .kraken
• .AES256 (не обязательно этот троян, есть и другие, устанавливающие это же расширение).
• .codercsu@gmail_com
• .enc
• .oshit
• И другие.

Еще варианты вируса-шифровальщика

Реже, но также встречаются следующие трояны, шифрующие файлы и требующие деньги за расшифровку. По приведенным ссылкам есть не только утилиты для возврата ваших файлов, но и описание признаков, которые помогут определить, что у вас именно этот вирус. Хотя вообще, оптимальный путь: с помощью антивируса Касперского просканировать систему, узнать имя трояна по классификации этой компании, а потом искать утилиту по этому имени.

Ну и из последних новостей — Лаборатория Касперского, совместно с правоохранителями из Нидерландов, разработали Ransomware Decryptor (http://noransom.kaspersky.com) для расшифровки файлов после CoinVault, однако в наших широтах этот вымогатель пока не встречается.

Защита от вирусов шифровальщиков или ransomware

Но: эти программы не предназначены для расшифровки, а только лишь для предотвращения шифрования важных файлов на компьютере. Да и вообще, мне кажется, эти функции должны быть реализованы в антивирусных продуктах, иначе получается странная ситуация: пользователю необходимо держать на компьютере антивирус, средство борьбы с AdWare и Malware, а теперь еще и утилиту Anti-ransomware, плюс на всякий случай Anti-exploit.

Кстати, если вдруг окажется, что вам есть что добавить (потому как я могу не успевать мониторить то, что происходит со способами дешифровки), сообщайте в комментариях, эта информация будет полезна другим пользователям, столкнувшимся с проблемой.

А вдруг и это будет интересно:

Почему бы не подписаться?

Рассылка новых, иногда интересных и полезных, материалов сайта remontka.pro. Никакой рекламы и бесплатная компьютерная помощь подписчикам от автора. Другие способы подписки (ВК, Одноклассники, Телеграм, Facebook, Twitter, Youtube, Яндекс.Дзен)

11.11.2019 в 11:10

Здравствуйте, я оправил вам сообщение на той неделе и сегодня утром — но не увидел публикаций сообщений.

11.11.2019 в 13:02

Здравствуйте. Ничего от вас почему-то нет… Не знаю.
У меня некоторые (те, что с чем-то нецензурным) комментарии удаляются автоматически, но вроде ошибочно ничего такого не происходит.

21.11.2019 в 13:45

30.11.2019 в 08:38

Здравствуйте, может подскажите когда выводишь компьютер из сна — то экран монитора LG начинает моргать — появляется надпись монитора LG и так около минуты-после всё нормально.

30.11.2019 в 21:47

Здравствуйте.
Не знаю. В теории могут быть проблемы с драйверами управлением электропитанием материнки, но не очень похоже.
Если всегда так было — то, возможно особенности сочетания оборудования просто.

09.01.2020 в 18:05

У меня все наладилось, вот только один вопрос: стоит ли переустанавливать винду после всех ранее выполненных махинаций?

10.01.2020 в 09:25

Если точно излечили комп от заразы, то, наверное, не стоит.