841 ответов в этой теме

[usverg]

есть ли процесс отвечающий за исполнение скрипта

В случае BAT.Encoder это могут быть:

cmd.exe

wscript.exe

svchost.exe, spoolsv.exe, lsass.exe (эти вы вряд ли по названию отличите от вполне легальных сервисов)

ttl.exe

coherence.exe

[remandr]

Ну вот и еще один. Ключ без расшифровки, значит надежд нет. Пишу этим товарищам на paycrypt@gmail.com, а в ответ тишина. В общем, похоже, данным конец, а эти "бизнесмены" обычные вредители. Был призрачный шанс все вернуть. теперь и его нет. 

Сообщение было изменено remandr: 19 Август 2014 - 15:24

[usverg]

как убедиться в том что шифрование на компах в сети прекратится?

Файлы перестанут модифицироваться, проверить можете сортировкой по дате изменения, к примеру в Far Manager.

[om3n]

 

ID тут смотреть надо получается?

[member]

ну тогда такой вопрос..есть компA(зараженный шифрованием), в нем подключен сетевой диск компаB, который тоже шифруется. И есть компС, в котором тоже подключен сетевой диск компаB. Вопрос: будет ли происходить шифрование на компе C(с компомA прямой связи нет. у компаA и C подключен сетевой диск с компа?

Сообщение было изменено member: 19 Август 2014 - 15:34

[usverg]

ну тогда такой вопрос..есть компA(зараженный шифрованием), в нем подключен сетевой диск компаB, который тоже шифруется. И есть компС, в котором тоже подключен сетевой диск компаB. Вопрос: будет ли происходить шифрование на компе C(с компомA прямой связи нет. у компаA и C подключен сетевой диск с компа ?

Комп "С" шифроваться не будет. Малварь по почте распространяется, и шифроваться может только то на что есть права записи.

[JoraTmb]

 

файлы каких типов шифруются?

*.xls *.xlsx *.doc *.docx *.xlsm *.jpg *.cdr *.pdf *.cd *.slddrw *.dwg *.accdb *.ai *.svg *.mdb *.1cd *.zip *.rar *.max

 

А тип по расширению определяется или по содержимому?

[member]

 

ну тогда такой вопрос..есть компA(зараженный шифрованием), в нем подключен сетевой диск компаB, который тоже шифруется. И есть компС, в котором тоже подключен сетевой диск компаB. Вопрос: будет ли происходить шифрование на компе C(с компомA прямой связи нет. у компаA и C подключен сетевой диск с компа ?

Комп "С" шифроваться не будет. Малварь по почте распространяется, и шифроваться может только то на что есть права записи.

 

не только, Шифрует все подряд в алфавитном порядке даже на то, на что нет прав, причем как заметил, шифрует only текстовые, включая базы данных, изображения живы. paycrypt@gmail_com

Сообщение было изменено member: 19 Август 2014 - 20:38

[usverg]

А тип по расширению определяется или по содержимому?

для BAT.Encoder - по расширению

[VVS]

 

 

ну тогда такой вопрос..есть компA(зараженный шифрованием), в нем подключен сетевой диск компаB, который тоже шифруется. И есть компС, в котором тоже подключен сетевой диск компаB. Вопрос: будет ли происходить шифрование на компе C(с компомA прямой связи нет. у компаA и C подключен сетевой диск с компа ?

Комп "С" шифроваться не будет. Малварь по почте распространяется, и шифроваться может только то на что есть права записи.

 

не только, Шифрует все подряд в алфавитном порядке даже на то, на что нет прав

На то, на что нет прав, прав нет ни на что, в том числе и на запись, так что зашифроваться оно не может по определению понятия прав.

[usverg]

На то, на что нет прав, прав нет ни на что, в том числе и на запись, так что зашифроваться оно не может по определению понятия прав.

Эк загнул-то 

[member]

 

 

 

ну тогда такой вопрос..есть компA(зараженный шифрованием), в нем подключен сетевой диск компаB, который тоже шифруется. И есть компС, в котором тоже подключен сетевой диск компаB. Вопрос: будет ли происходить шифрование на компе C(с компомA прямой связи нет. у компаA и C подключен сетевой диск с компа ?

Комп "С" шифроваться не будет. Малварь по почте распространяется, и шифроваться может только то на что есть права записи.

 

не только, Шифрует все подряд в алфавитном порядке даже на то, на что нет прав

На то, на что нет прав, прав нет ни на что, в том числе и на запись, так что зашифроваться оно не может по определению понятия прав.

 

недопонято. оно ест на сетевом диске папку, в которой права выданы только двум администраторам. а комп который шифрует пользовательский (и у него нет прав входа записи и каких либо действий в этой папке)..так что мне кажется тут имеет место какое то исключение

[Nescoffe]

недопонято. оно ест на сетевом диске папку, в которой права выданы только двум администраторам. а комп который шифрует пользовательский (и у него нет прав входа записи и каких либо действий в этой папке)..так что мне кажется тут имеет место какое то исключение

Тут два варианта: 

1. У Вас проблемы с правами и доступ к папкам был не только у двух администраторов.

2. Вирус был запущен с правами этих двух администраторов.

Сообщение было изменено Nescoffe: 20 Август 2014 - 05:27

[Ramm]

Надеюсь все-таки имея ограниченные права можно на сегодняшний день себя хоть как-то обезопасить. По идее эти засранцы не зная пароля не должны что-либо изменить. Поэтому наверно только новых версий осталось дождаться.

[usverg]

Надеюсь все-таки имея ограниченные права можно на сегодняшний день себя хоть как-то обезопасить. По идее эти засранцы не зная пароля не должны что-либо изменить. Поэтому наверно только новых версий осталось дождаться.

Ограниченные права - изначально хорошая идея. К сожалению, пользователи Windows обычно о них задумываются, когда уже поздно.

[Ramm]

 

Надеюсь все-таки имея ограниченные права можно на сегодняшний день себя хоть как-то обезопасить. По идее эти засранцы не зная пароля не должны что-либо изменить. Поэтому наверно только новых версий осталось дождаться.

Ограниченные права - изначально хорошая идея. К сожалению, пользователи Windows обычно о них задумываются, когда уже поздно.

 

Ну по крайней мере есть шанс сохранить бд на серверах когда еще не поздно.

Сообщение было изменено Ramm: 20 Август 2014 - 08:43

[Ramm]

Кстати читал выше есть маленький способ защиты мол создать "%temp%\paycrpt.bin" я так понимаю содержимое должно быть пустым?

[usverg]

Кстати читал выше есть маленький способ защиты мол создать "%temp%\paycrpt.bin" я так понимаю содержимое должно быть пустым?

Вообще говоря любым, и пустым тоже.

[v.martyanov]

Ну что ж вы о бэкапах не думаете?! Хорошие бэкапы спасают от кучи проблем!

[usverg]

Ну что ж вы о бэкапах не думаете?! Хорошие бэкапы спасают от кучи проблем!

Таки пока гром не грянет... Я вон давно инкременталкой пользуюсь... ещё и версии восстанавливать можно. А пользователи не реагируют на увещевания.