841 ответов в этой теме

[polino4ka]

Всем здравствуйте! 

С keybtc ключи по факту оплаты высылают?

 

В свое время сталкивалась с paycrypt. Тоже просила о помощи форумчан, но в конечном итоге пришлось заплатить. Ключ нам тогда выслали.

[SergM]

Ключ нам тогда выслали.

да чего уж там.... берите их на полное содержание. зачем платить меньше (за АВ), когда можно платить больше (за недальновидность).

[Denzo]

Вопрос к Гуру!

В Local\Temp найден фаил keybtc.cmd может он как-то помочь DrWeb в расшифровки моих файлов?

[Malina_alexander]

Подскажите как узнать ID ключа при помощи программы gpg4win?
При импорте файла private.key программа сообщает, что "ключи не обнаружены".

[usverg]

Некоторые результаты исследования BAT.Encoder (с почтой keybtc@gmail.com):

1) После шифрования при помощи Trojan.PWS.Stealer.13033 скрипт производит сбор Ваших паролей (рекомендация - после обнаружения шифровальщика немедленно поменять пароли на используемые службы и при этом использовать другой компьютер).

2) Собранные пароли отсылаются на почтовый ящик keybtc.receiver@yandex.com.

3) Для пересылки в данный момент используется сервер lima.rivalserver.com.

4) Все дополнительные модули шифровальщика в данный момент загружаются с сервера earthlingsfilm.com и первоначально имеют имена вида *.btc.

5) Данная версия не запускается и не осуществляет вредоносной деятельности при обнаружении файла "%temp%\crypti.bin".

6) Обнаружены следы персонализированных рассылок с использованием сервера mirohost.net (как обратный адрес значится php-sender-anchoys.tw1.ru@undeliver.mirohost.net, хотя адрес отправителя заменяется на знакомый получателю и увидеть это можно лишь просмотрев полный заголовок письма). По результатам общения с вымогателями можно уверенно заявить, что они производят набор людей (через сайты фриланса) для набивки персональных писем и последующей отсылки с использованием украденных данных.

7) К сожалению, загрузчик шифровальщика (js), обнаруженный во вложениях, до сих пор не определяется многими антивирусными продуктами.

P.S. Будьте осторожны. Не поддавайтесь вымогателям. Используйте почтовые фильтры.

[markas]

Всем привет.

поймал keybtc@gmail_com, но файлы с таким расширением не открывал и пока не просит ни кто денег у меня.

скачал dr web cureit проверил, он нашел его и излечил но файлы все остались с расширением keybtc@gmail_com, убираю с расширения keybtc@gmail_com, открываю там кракозябры.

Как быть?

[maxic]

markas, читать первое сообщение в теме пробовали?

[Dmitry_rus]

Тоже просила о помощи форумчан

Форумчане тут вряд ли могли вам помочь. Помощь по расшифровке оказывается исключительно в техподдержке, с учетом вашего конкретного случая.

[v.martyanov]

Вопрос к Гуру!

В Local\Temp найден фаил keybtc.cmd может он как-то помочь DrWeb в расшифровки моих файлов?

Нет. Он интересен если на нем нет детекта.

Подскажите как узнать ID ключа при помощи программы gpg4win?
При импорте файла private.key программа сообщает, что "ключи не обнаружены".

Вы почти на верном пути: прочитайте описание трояна. Ну или шлите нам файло :-)

[Denzo]

А что толку Вам их слать? после присланных файлов с маской secring.*  с нуливым содержанием, Вы безсильны. На этом Ваша поддержка заканчивается. На сколько я понял, файлы с этой маской у всех с нулевым размером.

[Malina_alexander]

 

Вопрос к Гуру!

В Local\Temp найден фаил keybtc.cmd может он как-то помочь DrWeb в расшифровки моих файлов?

Нет. Он интересен если на нем нет детекта.

Подскажите как узнать ID ключа при помощи программы gpg4win?
При импорте файла private.key программа сообщает, что "ключи не обнаружены".

Вы почти на верном пути: прочитайте описание трояна. Ну или шлите нам файло :-)

 

 

Был бы признателен, если поделитесь ссылкой на описание трояна, где рассказано кому куда и что указывать.
+ куда конкретно скидывать вам private.key и нужно ли что-то еще? 

Сообщение было изменено Malina_alexander: 13 Август 2014 - 11:07

[v.martyanov]

Описание - http://vms.drweb.com/virus/?i=4049648 Файло в техподдержку.

А что толку Вам их слать? после присланных файлов с маской secring.*  с нуливым содержанием, Вы безсильны. На этом Ваша поддержка заканчивается. На сколько я понял, файлы с этой маской у всех с нулевым размером.

Ну не шлите, если не хотите. 1 случай с целыми файлами есть.

[Denzo]

Являясь обладателем DrWeb, я воспользовался данным шансом. Но после отправки файлов secring.*, меня вежливо попросили закрыть данное обращение в службу поддержки. Помочь нечем.

[Denzo]

В каких случаях эти файлы остаются целыми? Шнур выдернули во время? Тем самым не до конца прошло шифрование?

[skip]

 

Нет. Он интересен если на нем нет детекта.

1. Копался в своём зверьке (~100Кбайт) - что это (детект), если не секрет?

2. Случай расшифровки для пары A3CE7DBE/AAB62875 - есть секретная часть или уцелел secring у жертвы?

Сообщение было изменено skip: 13 Август 2014 - 11:24

[v.martyanov]

 

 

Нет. Он интересен если на нем нет детекта.

1. Копался в своём зверьке (~100Кбайт) - что это (детект), если не секрет?

2. Случай расшифровки для пары A3CE7DBE/AAB62875 - есть секретная часть или уцелел secring у жертвы?

 

Dr.Web этого зверя определяет? Секретной части нет, только secring. Была бы секретная часть - уже была бы расшифровка для всех.

[usverg]

 

 

Нет. Он интересен если на нем нет детекта.

1. Копался в своём зверьке (~100Кбайт) - что это (детект), если не секрет?

2. Случай расшифровки для пары A3CE7DBE/AAB62875 - есть секретная часть или уцелел secring у жертвы?

 

Скорее всего cmd файл. Это не секретная часть, а уцелел файл.

[skip]

Dr.Web этого зверя определяет?

Батник определился как Bat.Encoder.23, а архив со скриптом, который его загружает - не определился.

[v.martyanov]

 

Dr.Web этого зверя определяет?

Батник определился как Bat.Encoder.23, а архив со скриптом, который его загружает - не определился.

 

А вот его можно и мне в личку тогда, раз нет детекта ;-) Лучше, конечно, в вирлаб и мне номер тикета в личку, но и так сойдет.

[evil@list.ru]

 

 

 

Про ПО написано на 2й странице, включая команды которые нужно выполнить.

 

 

После отправки сообщения дочитал и понял что по ID F05CF9EE не расшифровать.

ПО без ключа расшифровки так понимаю не поможет?

Готовы уже оплатить, ведём переговоры.

 

Не поможет. ПО просто способ не пользоваться декодером "мошенника"

 

подилитесь плиз, на evil@list.ru Uncrypt.key'ем - словил заразу