Me entro un virus que encripta mis ficheros,

[tomasulo]

hola a todos,

Me entro un virus que encripta mis ficheros,

os dejo los ficheros, por si alguien puede dar con la clave de desencriptado:

Original:
U33-1.jpg
http://www19.zippyshare.com/v/81069327/file.html


Encriptado
U33-1.jpg(!! to decrypt email id 1010528132 to [email protected] !!).exe
http://www19.zippyshare.com/v/93136346/file.html



renombrado sin el exe
U33-1-encriptado-.jpg
http://www19.zippyshare.com/v/41867397/file.html

[crios69]

buenas....

tengo un win2003ser infectado y esperando una solucion a la encriptacion.
si alguien conoce la solucion, se agradeceria que la publicase.
(antichild porn spam protection) con el mail [email protected]

me he puesto en contacto con kaspersky y ESET nod32 y estan buscado soluciones
en cuanto las conozca las publicare.

[pgstar87]

yo estoy en el mismo problema, que vosotros habia visto este tipo de encriptaciones en virus anteriores como el de la policia pero al utilizar la utilidad de rannoh decrypter o cualquier otra el tamaño de los archivos original y encriptado era el mismo pero en esta encriptacion el tamaño del archivo encriptado supera al original y la utilidad de desencriptacion detecta que son diferentes y da error.

si encuentro una solucion la expondre, haber si me dais algunas pistas y pequeña ayuda y entre todos buscamos la solucion.

[pgstar87]

lo que he podido averiguar hasta ahora es que como ya imaginaba algo el fichero encriptado en si no esta encriptado si no comprimido en un rar con contraseña y dentro el fichero encriptado por eso las utilidades que habia hasta ahora que desencriptaban los archivos del virus de la policia no son utiles para esta variante.

os dejo un enlace donde se explica mejor:

me temo que hasta el momento no tenemos solución:

http://www.forosdelweb.com/f66/entro-virus-que-encripta-mis-ficheros-1041443/

[tomasulo]

Por lo que he visto, el virus entra por terminal server reventando contraseñas a fuerza bruta.

se ceba en sistemas Windows 2003,

por lo que he visto los datos se encriptan muy rápido, así que me decanto que el fichero esta comprimido.


yo he podido restaurar mis datos en otro servidor, y he dejado el equipo infectado intacto, y lo tengo disponible si alguien precisa investigarlo a fondo.

[crios69]

BUENAS TARDES FAMILIA,

YA TENEMOS SOLUCION O POR LO MENOS YO LA HE TENIDO.
TODO HA SIDO GRACIAS AL EQUIPO ESET (NOD32)

HA FABRICADO UNA HERRAMIENTA DE DESEMCRIPTACION LO UNICO QUE NO CONTROLO ES QUE POSIBLEMENTA LA CLAVE DE DESEMCRIPTACION VA CON LA ID DEL SUPESTO CORREO DE LOS FICHEROS ENCRIPTADOS.

NO OSBTANTE OS DEJO EL FICHERO PARA QUE LO INTENTEIS Y PROBEMOS SUERTE.

(DROPBOX)

INSTRUCCIONES: DESCOMPRIMIR LOS DÓS FICHEROS .RAR EN UNA MISMA CARPETA. Y Ejecutar el programa ESETFilecoderNacCleaner.exe indicando la ruta de una de las carpetas con archivos cifrados. (desde ms-dos --> INICIO-EJECUTAR-CMD).

EJEMPLO: SI LO COPIAMOS EN UNA "NUEVA CARPETA" Y LO PONEMOS EN RAIZ DE C:\ Y LOS FICHEROS ENCRIPTADOS LOS PONEMOS EN "NUEVA CARPETA 2" EN RAIZ DE C:\ .

SERIA.....
C:\NUEVA CARPETA>ESETFilecoderNacCleaner C:\NUEVA CARPETA 2
(PULSAMOS INTRO Y DEBERIA DESEMCRIPTAR)


IMPORTANTE: PROBARLO SOLO ALGUNOS FICHEROS PARA VER SI FUNIONA.

PUES NADA A PROBAR. POSTEEN Y COMENTEN COMO LES HA IDO
Y PREGUNTEN DUDAS.

[crios69]

DISCULPEN EL ENLACE:

https://www.dropbox.com/s/plfgvchfmk5e6i7/Solucion%20a%20troyano%20antichild%20porn%20spam%2 0protection.rar

[notarinez]

Saludos, lo primero de todo muchísimas gracias. Tengo el dedo quemado de darle al F5 en varios foros siguiendo este problema ya que me ha fastidiado muchísimo en el servidor de mi trabajo ( el virus borró tambien la copia de seguridad que hacía en un usb extraible, y solo he podido recuperar una de hace varios meses que tenía en otro usb no conectado. )

Acabo de hacer una prueba con el ESETFilecoderNacCleaner y probando, pero con archivos infectados pero no me funciona (supongo que porque me lo tengan que personalizar con la clave de desencriptacion de mi ID del virus , este es el log que me da :

info: --------------------------------------------------------------------------------
info: ESET Win32/Filecoder.NAC cleaner v1.0.0.1 (Nov 27 2012 15:09:26)
info: --------------------------------------------------------------------------------
info: OS: 6.1.7601 SP1
info: Product type: workstation
info: WoW64: 1
info: --------------------------------------------------------------------------------
debug: debug mode self-test
debug: arg: C:\b
debug: o01: [C:\b]
debug: o02: [C:\b]
debug: i01: [C:\b\*]
debug: i03: [C:\b]
debug: deref: [C:\b] [.] [C:\b\.]
debug: deref: [C:\b] [..] [C:\b\..]
debug: deref: [C:\b] [.DS_Store(!! to decrypt email id 1408717299 to [email protected] !!).exe] [C:\b\.DS_Store(!! to decrypt email id 1408717299 to [email protected] !!).exe]
debug: deref: [C:\b] [.DS_Store(!! to decrypt email id 1408717299 to [email protected] !!).exe] [C:\b\.DS_Store(!! to decrypt email id 1408717299 to [email protected] !!).exe]
info: processing file: C:\b\.DS_Store(!! to decrypt email id 1408717299 to [email protected] !!).exe
error: problem when decoding 1

[crios69]

Iniciado por notarinez

saludos, lo primero de todo muchísimas gracias. Tengo el dedo quemado de darle al f5 en varios foros siguiendo este problema ya que me ha fastidiado muchísimo en el servidor de mi trabajo ( el virus borró tambien la copia de seguridad que hacía en un usb extraible, y solo he podido recuperar una de hace varios meses que tenía en otro usb no conectado. )

acabo de hacer una prueba con el esetfilecodernaccleaner y probando, pero con archivos infectados pero no me funciona (supongo que porque me lo tengan que personalizar con la clave de desencriptacion de mi id del virus , este es el log que me da :

Info: --------------------------------------------------------------------------------
info: Eset win32/filecoder.nac cleaner v1.0.0.1 (nov 27 2012 15:09:26)
info: --------------------------------------------------------------------------------
info: Os: 6.1.7601 sp1
info: Product type: Workstation
info: Wow64: 1
info: --------------------------------------------------------------------------------
debug: Debug mode self-test
debug: Arg: C:\b
debug: O01: [c:\b]
debug: O02: [c:\b]
debug: I01: [c:\b\*]
debug: I03: [c:\b]
debug: Deref: [c:\b] [.] [c:\b\.]
debug: Deref: [c:\b] [..] [c:\b\..]
debug: Deref: [c:\b] [.ds_store(!! To decrypt email id 1408717299 to [email protected] !!).exe] [c:\b\.ds_store(!! To decrypt email id 1408717299 to [email protected] !!).exe]
debug: Deref: [c:\b] [.ds_store(!! To decrypt email id 1408717299 to [email protected] !!).exe] [c:\b\.ds_store(!! To decrypt email id 1408717299 to [email protected] !!).exe]
info: Processing file: C:\b\.ds_store(!! To decrypt email id 1408717299 to [email protected] !!).exe
error: Problem when decoding 1

correcto a mi las copias de seguridad en un hdd (con cobian) externo me las puso en un fichero que se llama "dsdelete.na" (o algo asin) oculto y de peso 30gb con lo que no se pudo hacer nada y no teniamos copias ni atrasadas. Pero gracias a esta familia hemos recuperado la contabilidad, gestion (software) y documentos.
En total unos 20.000 archivos "mucha tela" la recuperacion ha sido del 100% y muy larga ya que debes ir carpeta por carpeta

pues lo siento compañero, pero me temia que cada ataque lleva una encriptacion diferente.

Lo que te recomiendo es que te pongas en contacto con el proveedor de software antivirus que tengas adquirdo y comentes tu situacion
(yo le tuve que enviar varios archivos infectados y el troyano) y que intenten solucionarlo. O esperar a una solcuion más generica.

Pues compañeros siento que mi informacion no os sea de ayuda y que tengais suerte....

P.d. Si tubiera noticias del algo posteare por aqui

ahh y yo estube desde el lunes en la mañana quemando tambien la tecla f5 en los foros!!!!

Putada que ataque donde hace daño en win.server donde estan las contabilidades y gestiones.

Saludos.....

[tomasulo]

crios69 me me va el enlace,

[crios69]

Iniciado por tomasulo

crios69 me me va el enlace,

https://www.dropbox.com/s/plfgvchfmk5e6i7/Solucion%20a%20troyano%20antichild%20porn%20spam%2 0protection.rar

en principio creo que no te va a funcionar, pero no pasa nada por probar

SUERTE!!!!

[crios69]

%2 0protection.rar

cuando peges en enlace elimina ese espacio (20spam%2(este)0protection.rar)

[tomasulo]

tengo este otro,
http://www.eset.com/ch-en/download/u...il/family/203/

voy a ver si uno de los dos funciona.

[crios69]

Iniciado por tomasulo

tengo este otro,
[url]http://www.eset.com/ch-en/download/utilities/detail/family/203/[/url]

voy a ver si uno de los dos funciona.

pues SUERTE AMIGO !!!

[tomasulo]

parece q tendre q esperar la key es personalizada:

ESET Win32/Filecoder.NAC cleaner v1.0.0.1 (Nov 27 2012 15:09:26)
Copyright (c) ESET, spol. s r.o. 1992-2012. All rights reserved.

OS: 6.1.7601 SP1

Looking for infected files
Cleaning c:/temp\U33-1.jpg(!! to decrypt email id 1010528132 to spainsec1@gmail.
com !!).exe ERROR
-
Cleaning finished.
1 infected files found
0 successfully cleaned

[tomasulo]

SOLUCIONADO:


Dr. Web me envío la clave de desencriptado.

ver: http://www.forospyware.com/t455248-4.html#post2140497

[pericof11]

He encontrado una posible solución al problema.

Trabajo en una empresa de backup remoto de Huesca y, aunque no es mi cometido le desencriptar archivos ya que lo que hacemos es guardar la información de nuestros clientes para evitar que les pasen estas cosas, he indagado en el tema porque algún conocido ha sufrido el ataque, no tenía copias con nosotros y quería ayudarle.

La cosa es que esta variación, por lo que veo, es un poco diferente a las anteriores. Muchas empresas de antivirus (panda, kaspersky) tienen herramientas para descifrar el famoso virus. Te piden un archivo original (en claro) y el mismo encriptado. Comparando los dos con una operación matemática te sacan la clave de cifrado.

Para esta última versión no sirve este sistema (o a mí no me ha servido) porque te pide la clave a la hora de abrir el archivo. Os cuento lo que he hecho.

Tras buscar por muchos foros y páginas en Internet he encontrado la página del “DrWeb”, dejo enlace: https://vms.drweb.com/sendvirus/?lng=en
En dicha página me han pedido lo siguiente:

1- Fichero codificado y fichero original (yo los mandé en un rar). En este punto nos pide que le pongamos también la opción que deseamos (marcar opción "petición de cura") y en las observaciones comentarle el correo al cual nos pide el archivo cifrado que enviemos el dinero para que nos den la clave. En este caso es "[email protected]" (Sale en el nombre del fichero). Tras esto nos contestarán en un correo con el número de la incidencia y otro posterior (varias horas con el paso 2 que explico a continuación).

2- Acceso al sistema operativo infectado y ejecución de los siguientes comandos:

- dir C:\/s/a>"%userprofile%\dirc.log" (Genera un log informativo de los directorios del sistema)
- explorer.exe /select,"%userprofile%\dirc.log" (Busca, encuentra y marca el log en cuestión)

- Envío del log por medio de correo electrónico a la dirección "[email protected]".

Tras todos estos pasos, si hay suerte y todo está correcto, nos enviarán unas claves de restauración únicamente válidas para nuestro sistema infectado. Cada sistema infecado tiene su propia clave.

Me han comentado que si no tienes acceso al Sistema Operativo infectado para ejecutar este comando es prácticamente imposible recuperar la información y si se puede recuperar, será un proceso muy lento (en tiempo) y costoso (en €).

Espero que os sirva la información. A mí me ha permitido desencriptar los archivos.

Cualquier duda que tengáis podéis contactar conmigo en la dirección de correo electrónico “[email protected]”.

Un saludo.

Javier

[genoud]

Ante todo disculpen la molestia.
Este es el post con informacion mas completa que encotre sobre tema.
Me acaba de suceder lo mismo y no encuentro el soft al que hacen
referencia con el link

https://www.dropbox.com/s/plfgvchfmk5e6i7/Solucion%20a%20troyano%20antichild%20porn%20spam%2 0protection.rar

ya que el mismo esta muerto.
Si alquien aun lo tiene, seria tan amable de subirlo?

Muchas gracias !!!

[wilson2001]

hola antess que nada en una computadora no infectada pueden tener el archivo o programa usv show que muestra todos los archivos ocultos, en otras intancias lo halla borrado podremos utilizar el progama recuba ambos son free