Título: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: ramiro069 en 4 Diciembre 2014, 23:05 pm Buenas a todos,
Unos amigos míos que tienen una pequeña empresa, han recibido un e-mail en el que se hacían pasar por correos, este e-mail contenía un enlace a una web que tras rellenar un captcha infectaba el ordenador con una variación del CryptoLocker y como resultado se le han cifrado un montón de archivos, incluso ha llegado a un servidor de archivos que tienen montado. Cuando se han dado cuenta, han quitado Internet a ese ordenador y lo han apagado y al menos parte del servidor a quedado sin cifrar. He ido a ver si les podía echar una mano y tras estar toda la tarde no lo he conseguido, he probado la mayoría de programas que existen para descifrarlos, he intentado encontrar en el registro la clave sin éxito. al menos hemos localizado un archivo cifrado, del que tenían una copia sin cifrar... También he probado el shadowExplorer pero solo hay archivos de hace mas de 1 año... También me he reenviado el correo por si necesito infectar alguna máquina virtual y vigilar lo que hace. ¿Alguien me puede ayudar y decirme que pasos puedo seguir para intentar solucionarles el problema? Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: r32 en 5 Diciembre 2014, 00:09 am Hola, aunque el tema es algo complejo pues depende del cifrado utilizado, en algunos casos se puede extraer la clave RSA y descifrar esos archivos.
Te adjunto un link de un servicio online destinado a estas acciones, solo tienes que enviar algun archivo cifrado, rellena el formulario y recibirás la respuesta que puede incluir la clave para descifrar. https://www.decryptcryptolocker.com/ Es un servicio de SpyEye, es de confianza, puedes probarlo si n problemas. PD. No conectes ese pc a la red hasta eliminar la infección por copleto. Te importaría pasarme en este post o por MP el código y/o archivos involucrados, yasean log´s o lo que tenag que ver? Tw lo agradecería. Sería de ayuda para los demás, incluso se pueden denunciar dominio utlizados, aunque normalmente los alojan en la red Tor, pero bueno, no pierdes nada. Saludos. Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: ramiro069 en 5 Diciembre 2014, 01:07 am Ya he probado el servicio de esa web, pero al subir un archivo, me dice que no esta infectado con CryptoLocker, supongo que será debido a que es una modificación, ya que ademas de cifrar el archivo, su peso aumenta en 1kB...
PD: Te he enviado un privado Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: akrogonac en 5 Diciembre 2014, 12:46 pm Buenos dias.
A un cliente mio también le ha infectado el mismo virus. Hay alguna novedad para conseguir descifrar los archivos? un saludo y gracias! Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: FeR!__ en 5 Diciembre 2014, 13:19 pm Otro por aquí con un cliente infectado, parece difícil el bicho este >:(
Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: .:UND3R:. en 5 Diciembre 2014, 14:07 pm Si pones el malware que cifró los archivos sería más fácil intentar ayudarte
Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: ramiro069 en 5 Diciembre 2014, 14:30 pm Si alguien quiere le puedo reenviar el e-mail, es lo que tengo ahora mismo...
Es complicado porque por lo que he leído aunque pone que se han cifrado con cryptolocker en realidad es un torrentLocker y esta puesto para despistar. Aunque claro lees tantas cosas que en realidad no sabes cual creer (Cada uno escribe lo que cree cierto con animo de ayudar, pero como todavía no hay nada claro...). Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: r32 en 5 Diciembre 2014, 14:31 pm Ya he probado el servicio de esa web, pero al subir un archivo, me dice que no esta infectado con CryptoLocker, supongo que será debido a que es una modificación, ya que ademas de cifrar el archivo, su peso aumenta en 1kB... PD: Te he enviado un privado Vi el mail, pero el link al que hace referéncia esta OFF, lo probé en VM y en un pc gancho preparado como si fuese un user normal y el servidor está inaccesible. Como comenta UNDER subenos algun archivo, comentabas guradabas dos muestras subelas a algun servidor. Aunque no puedas subir el archivo a la página, hay formas de hacerselo llegar y que lo revisen, también sería bueno, porque evade el análisis, ya te comenté según la variante pueda dar más problemas. Saludos. Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: r32 en 5 Diciembre 2014, 14:38 pm Este es el código del mail:
Código:
En el Whois (http://whois.domaintools.com/correos24.net) sale esto: Código: Domain name: correos24.net IP Address 194.58.103.17 - 1 other site is hosted on this server IP Location Russian Federation - Moscow City - Moscow - Domain Names Registrar Reg.ru Ltd ASN Russian Federation AS39134 UNITEDNET United Network LLC,RU (registered Dec 16, 2005) Saludos. Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: EFEX en 5 Diciembre 2014, 15:14 pm En SBD han escrito un articulo.
Atención: Infecciones masivas de CryptoLocker con e-mails de un falso 'Correos' http://www.securitybydefault.com/2014/12/atencion-infecciones-masivas-de.html Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: el-brujo en 17 Diciembre 2014, 20:30 pm Los ficheros primero fueron cifrados con AES-256 con CTR (Counter) que consiguió ser descifrado:
http://digital-forensics.sans.org/blog/2014/09/09/torrentlocker-unlocked y ahora son cifrados con AES-256-CBC (Cipher-block chaining). Alerta por infecciones masivas por e-mail falso de un Aviso de "Correos" http://blog.elhacker.net/2014/12/alerta-por-infecciones-masivas-por-email-falso-aviso-correos-cryptolocker.html Análisis del ransomware TorrentLocker http://blog.elhacker.net/2014/12/analisis-del-ransomware-torrentlocker.html Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: Tairys en 22 Abril 2015, 15:07 pm Mi PC ha sido infectada por un virus Cryptolocker necesito ayuda para salvar toda mi información pues es importante para mi trabajo.
Título: Re: Ayuda para recuperar archivos después del ataque de @correos.net (CryptoLocker) Publicado por: r32 en 22 Abril 2015, 16:35 pm Hola Tairys sería conveniente habrieses un nuevo post y desde ahí te atendemos.
Hay ya varias variantes y cada una lo hace a su forma.... Podrias subirnos algun archivo infectado a cualquier servidor, mediafire mismo, que se yo :P. Te adjunto un link de un servicio online destinado a estas acciones, solo tienes que enviar algun archivo cifrado, rellena el formulario y recibirás la respuesta que puede incluir la clave para descifrar. https://www.decryptcryptolocker.com/ Saludos. |