0

Зараженная система Windows 7. Этот троян шифровальщик, который сегодня поразил множество почти никак не связанных сетей, предлагает перезагрузить комп и при загрузке шифрует всякие пользовательские данные. Вероятно ключ генерируется для компа один. Хотя сам exe файл вируса есть в каждой папке. Хотят в биткоинах 300 баксов, чтобы те как то связались и выслали ключ. Возможно при шифровке ключ как то отправляется им. В сети пишут, что снифер мог бы помочь. Какие можно придумать способы узнать ключ? Если создать тестовый файл например, после перезагрузки можно его уже обнаружить зашифрованным. Оригинал файла скорее всего удаляется. Вирус чистит теневые файлы, точек восстановления нет. Сам вирус можно удалить но это не поможет расшифровке. Пытаться сканировать жесткий диск чтобы восстановить оригинальные файлы можно если диск был не сильно заполнен и вероятность того, что шифрованные файлы не записались сверху, низкая.

9
  • Я полагаю во время шифрования ключ получить практически невозможно, если даже сканировать работу шифровальщика. Но возможно во время расшифровки. На эти мысли наталкиваюсь читая статьи про акустический анализ ключей или электромагнитный анализ. Но факт того что троян по окончанию шифровки пытается отправить ключ, дает пока мне надежду
    – Turalllb
    12 мая 2017 в 21:04
  • Если он не отправил ключ в самом начале. было бы логично. сгенерил пару ключей, приватный сразу отправил и забыл, а публичным шифруешь ключи от какого нибудь симметричного шифра каждого файла. Собственно что вам даст ключ. для начала надо выяснить используемый алгоритм(ы) шифрования, а потом исходя из этого думать о ключах. Если шифр симметричный, то значит ключ есть в момент выполнения шифровщика в его данных, загонять под отладку, изучать алгоритм, искать ключ.
    – Mike
    12 мая 2017 в 21:19
  • Чем отлаживать? Не занимался этим.
    – Turalllb
    13 мая 2017 в 13:02
  • Тогда вряд ли у вас что то выйдет. требуются хорошие знания ассемблера. Так что можете попробовать расшифровщики от каспеского и drweb. правда на данный момент они скорее всего еще не умеют работать с этой версией вируса. по крайней мере позавчера один комп пытались лечить, они не помогли.
    – Mike
    13 мая 2017 в 14:15
  • 2
    Какая разница как он создается. в момент шифрования готовый ключ лежит в оперативной памяти процесса, который шифрует. по алгоритму можно понять где именно он лежит и забрать его.
    – Mike
    13 мая 2017 в 17:59

1 ответ 1

0

Объясняю, WannaCry(вторая версия) через сеть Tor подключается к onion северу, а уже на сервере создаётся ключ для конкретного пользователя, соответственно ключ хранится на сервере и на клиенте жертвы никак ключ дешифровки не получить, к примеру у шифровальщика Jigsaw ключ создаётся, и сохраняется на стороне клиента и клиент может декомпилировать его и в отдельной подкатегории в файле хранится ключ его можно ввести и расшифровать свои файлы.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.