В интернете появился вирус-шантажист

еще один повод перейти на линукс

 

Гыгы, а потом разработчик сделает финт ушами (если конечно касперыч и ко таки придумают как за приемлимое время дешифровать Rsa-1024) и будет шифровать всё ключом в 2048 бит. Классный пример изощрённого садизма )

 

What are they smoking at Kaspersky? (с) Брюс Шнайер

 

Дополнение

"Лаборатория Касперского" проинформировала пользователей о возможности восстановления файлов после атаки вируса Gpcode.ak. Как сообщалось ранее, зашифрованные Gpcode.ak файлы, не имея секретного ключа, в настоящее время расшифровать невозможно. Тем не менее, найдено оптимальное решение для их восстановления.

Дело в том, что при шифровании файлов Gpcode.ak сначала создает новый файл "рядом" с тем, который он собирается шифровать. В этот новый файл он записывает зашифрованные данные исходного файла, после чего удаляет исходный файл.

Как известно, существует возможность восстановить удаленные файлы, если данные на диске не были сильно изменены. Именно поэтому эксперты "Лаборатории Касперского" с самого начала рекомендовали пострадавшим пользователям не перезагружать компьютер и связаться с ними, а обратившимся советовали использовать различные утилиты для восстановления удаленных файлов с диска. К сожалению, почти все утилиты для восстановления удаленных файлов распространяются на основе shareware-лицензий. Вирусные аналитики "Лаборатории Касперского" искали лучшее с точки зрения эффективности и доступности для пользователей решение, которое могло бы помочь восстановить файлы, удаленные Gpcode.ak после шифрования. Таким решением оказалась бесплатная утилита PhotoRec (http://www.cgsecurity.org/wiki/PhotoRec),
созданная Кристофом Гренье (Christophe Grenier) и распространяющаяся на основе лицензии GPL.

Изначально утилита создавалась как средство для восстановления графических файлов. Затем её функционал был расширен (http://www.cgsecurity.org/wiki/File_Formats_Recovered_By_PhotoRec), и в настоящее время она может восстанавливать документы Microsoft Office, исполняемые файлы, PDF- и TXT-документы, а также различные файловые архивы.

Утилита PhotoRec поставляется в составе последней версии пакета TestDisk (http://www.cgsecurity.org/testdisk-6.10-WIP.win.zip).

Следует отметить, что утилита PhotoRec отлично справляется со своей задачей - восстановлением файлов на выбранном разделе. Однако затем возникает трудность восстановления точных имен и путей файлов. В "Лаборатории Касперского" для решения этой проблемы была разработана небольшая бесплатная программа StopGpcode (http://www.kaspersky.ru/downloads/tools/stopgpcode_tool.zip), которая позволяет вернуть оригинальные имена файлов и полные пути, по которым они находились.

16.06.2008
Источник: cybersecurity.ru

 

Лаборотории касперского однозначно + если конечно сам вирус не их рук дело!

 

Для шифрования файлов вирус использует встроенные в операционную систему Windows криптоалгоритмы (Microsoft Enhanced Cryptographic Provider v1.0). Файлы шифруются при помощи алгоритма RC4. Ключ шифрования затем шифруется открытым ключом RSA (длиной 1024 бит), содержащимся в теле вируса.

Алгоритм RSA основан на разделении ключей шифрования на секретный и открытый. Принцип шифрования при помощи RSA гласит: для того, чтобы зашифровать сообщение достаточно иметь один лишь открытый ключ. Расшифровать зашифрованное сообщение можно только располагая секретным ключом.

ps: если обьяснить на пальцах сначала файлы шифруются с помощью алгоритма RC4, так-как это быстрый алгоритм шифрования и можно быстрее все незаметно зашифровать. Потом ключ шифрования RC4 шифруется открытым ключом RSA .

Что это значит - "открытый ключ". Приведу пример: Вы купили сейф с ключами, с автозащелкой. Ключ оставляете себе, а открытый сейф даете другу. Чтобы другу что-либо спрятать в сейфе ему надо просто положить в него вещь и захлопнуть дверцу. А вот чтоб изьять - надо ваши ключи. Открытый сейф - это открытый ключ. А ключ к сейфу - это закрытый ключ, которые есть только у вирусописателя.

Возникают два вопроса: может стоить купить ключ, а потом распространить по всему инету и он подойдет ко всем файлам? хотя не думаю, вскорее всего у него в теле куча таких разных открытых ключей. И сам вирус просто рандомно из своей базы выбирает один из них.

И второе: стоит ли расшифровывать 1024-х битный rsa ключ? ведь файлы зашифрованны с помощью rc4 , который думаю не такой криптостойкий.

 

Еще один метод восстановления файлов после атаки Gpcode

Оказалось, что если у пользователя имеется некоторое количество незашифрованных файлов и эти же файлы, зашифрованные Gpcode, то данные пары файлов (зашифрованный и соответствующий ему незашифрованный) могут помочь в восстановлении других файлов на атакованном компьютере. Именно этот подход использован в работе утилиты StopGpcode2.



Откуда возьмутся незашифрованные файлы? Незашифрованные версии файлов могут появиться в результате использования утилиты PhotoRec. Кроме того, незашифрованные файлы могут оказаться в хранилище резервного копирования или на съемном носителе (например, при сохранении фотографий с фотокамеры на жёсткий диск компьютера, который был атакован Gpcode, на карте памяти в камере могут остаться исходные файлы фотографий). Незашифрованные файлы могут также храниться где-нибудь на сетевом ресурсе, до которого не добрался вирус Gpcode (например, фильмы и видеоклипы — на общедоступном сервере).

Однако гарантировать восстановления файлов мы не можем в силу специфики необходимых для применения метода требований, которые зависят от наличия у пользователя незашифрованных копий поражённых файлов и некоторых особенностей оборудования атакованной системы. Тем не менее, учитывая, что в ходе исследования нами были получены неплохие результаты (восстановление 80% зашифрованных файлов), мы предлагаем попробовать данный метод восстановления файлов отчаявшимся пользователям.

Чем больше пар файлов удастся найти, тем больше данных удастся восстановить.

(c) viruslist.com, 24.06.2008

 

PandoraBox, смотри предыдущую страницу, эту новость, датированную 16.06.08, до тебя уже отписал krypt3r, в более развернутом варианте..

 

Очевидно, в теле вируса хранится таблица открытых Rsa-ключей, которыми он шифрует, а за деньги выдает соответствующие закрытые для расшифровки. Значит, достаточно купить у автора все закрытые ключи )))
Подозреваю, автор запустил в инет тысячи разных билдов с разными таблицами с десятками ключей в каждой, так что Лаборатории Касперского придется выложить круглую сумму, чтобы выкупить всю базу )))

 

Интересно а где можно взять это чудо (Gpcode), никто не знает ???

 

аффтор виря определенно знал что делал......

 

Главное себе такую гадость не поймать.

 

https://forum.antichat.ru/showpost.php?p=726027&postcount=15 разве так сложно прочитать топик до того, как что-то в нем написать?