Трояны-шифровальщики. Как восстановить зашифрованные файлы?

[regist]

В сети появилось очень много обращений с жалобой на зашифрованные файлы вирусом семейства Trojan.Encoder (Trojan-Ransom). Признаком заражения являются:

• Привычные расширения файлов изменены. Наиболее часто меняют на расширения crypted, .encrypted, ENC, .BLOCK, LOCK, RN, EBF, arest, RIVDWI и т.д. На какое расширение было изменено, зависит от вариации вируса, и с новым версиями появляются новые расширения (в некоторых случаях остаётся старое).
• В автозагрузке появился файл КАК_РАСШИФРОВАТЬ_ФАЙЛЫ.txt (или наподобие), часто такой же файл лежит и в каждой папке с зашифрованными файлами.
• При попытке открыть фотографии, файлы офиса, базы 1С выходит сообщение об ошибке, хотя ещё вчера эти файлы открывались.

Trojan.Encoder - это класс вредоносных программ, которые попав в систему, попросту выходят за привычные рамки. Сделать что-либо с ними штатными средствами антивирусной программы невозможно, нужны специальные средства восстановления, утилиты, коды разблокировки и ключи шифрования. Но даже в этом случае никакой гарантии нет, что же тогда делать ?

Если у Вас зашифрованы файлы, (рекомендации с сайта "Др.Веб")

Что не нужно делать:

- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- пытаться восстановить зашифрованные файлы самостоятельно;

Что необходимо сделать:

- немедленно отключите компьютер для остановки действия трояна, кнопка Reset/Включение на вашем компьютере может спасти значительную часть данных;
- без особой надобности не включайте компьютер с зашифрованными данными, так как во время включений и перезагрузок происходят изменения файловой системы;
- обратитесь с соответствующим заявлением в правоохранительные органы;
- обратитесь в антивирусную лабораторию компании, в которой есть подразделение вирусных аналитиков, занимающихся данной проблемой;
к тикету приложите зашифрованный троянцем файл;
дождитесь ответа вирусного аналитика. В связи с большим количеством запросов это может занять некоторое время.

Адреса с формами отправки зашифрованных файлов:

Др.Веб (необходимо выбрать "Запрос на лечение")
Лаборатория Касперского (необходимо выбрать "Запрос на исследование вредоносного файла")
ESET, LLC

-----------------------------

Для запроса о помощи надо:

1. Создать тему в разделе Лечение систем от вредоносных программ.
2. Указать расширение файлов на которое было изменено родное расширение (если оно было изменено).
3. Сообщить какой ID, код и т.д. просит указать вымогатель и как с ним связаться, а лучше привести сообщение вымогателя целиком.
4. Загрузить несколько зашифрованных и не зашифрованных файлов небольшого размера (желательно офисные документы) на файлообменник без капчи, например: http://rghost.ru и указать ссылку на скачивание в своём сообщение.
5. Ждать ответа от хелпера.

Для общего развития Методы шифрования:

Шифрование
Криптография
Симметричные криптосистемы
Алгоритм RSA
Алгоритм AES
Алгоритм Blowfish

Утилиты для расшифровки

RectorDecryptor
XoristDecryptor
RannohDecryptor

ps. перед тем как пытаться восстановить файлы, желательно сделать копии, чтобы в случае неудачи не потерять их окончательно.

Обратитесь в полицию
образцы заявления для обращения от компании Доктор Веб