Ransomware με extension ygkz

[radiodj105]

Γειά χαρά σε όλους.

Δυστυχώς πριν 2 μέρες μολύνθηκα με Ranswomware.

Καθώς χρησιμοποιούσα τον υπολογιστή, είχε γίνει εξαιρετικά αργός, ώσπου ως δια μαγείας, είδα το ποντίκι να κουνιέται μόνο του, να ανοίγει μια εντολή DOS και να γίνεται Restart.

ΑΥΤΟ ΗΤΑΝ!

Όσα αρχεία υπήρχαν στον δίσκο του λειτουργικού έγιναν encrypted.

Όσοι δίσκοι ήταν συνδεδεμένοι στον υπολογιστή μου (εσωτερικοί και εξωτερικοί), όλοι μα όλοι μολύνθηκαν.

Τα αρχεία έγιναν encrypted με ένα extension YGKZ.

Φυσικά έφαγα αρκετές ώρες δοκιμάζοντας διάφορα tools που είδα στο ίντερνετ, αφού πρώτα έκανα φορμάτ και νέα εγκατάσταση στον δίσκο του λειτουργικού.

 

Σήμερα μίλησα με την Δίωξη Ηλεκτρονικού Εγκλήματος όπου μου πρότειναν να μην πληρώσω αλλά να περιμένω κάποια λύση στο μέλλον.

Φυσικά το Unicue ID της κρυπτογράφησης είναι On Line. Άρα σημαίνει πως μπορεί πρώτα να πεθάνω (φτου φτου φτου) και μετά να βρεθεί η λύση.

Γνωρίζοντας το ρίσκο να πληρώσω και να μην κάνω δουλειά, μου ξαναείπε ο αστυνομικός να ΜΗΝ πληρώσω γιατί έτσι θα συντηρήσω ένα τέτοιο κύκλωμα.

Μετά από πίεση δική μου, μου είπε πως κάποια θύματα όπως εγώ, αφού πλήρωσαν με Bitcoin τον χάκερ, ανέσυραν τα αρχεία τους (τους τα ξεκλείδωσαν).

Έτσι τους είπαν τα θύματα, τουλάχιστον.

 

Έχει κανείς να προτείνει κάτι;

'Εχει συμβεί σε κάποιον από εσάς κάτι ανάλογο;

Τα αρχεία αυτά είναι της δουλειάς μου και δεν έχω ακριβές Back Up.

[V.I.Smirnov]

Η ΔΗΕ μιλάει εκ του ασφαλούς, τι περιμένεις να πει; 
Δεν χρειάζεται αυτή τα αρχεία αλλά εσύ.
Αφού είναι σημαντικά, τα πληρώνεις και τέλος.

Στο συγκεκριμένο ranswomware, μπορείς να στείλεις ένα αρχείο και να στο ξεκλειδώσουν δοκιμαστικά,
ώστε να επιβεβαιώσεις ότι αποκρίνονται και θα σου ξεκλειδώσουν και τα άλλα.

Με τόσα μέσα που υπάρχουν πώς την έπαθες να μην έχεις αντίγραφο ;

-

Επεξ/σία 27 Φεβρουαρίου 2021 από V.I.Smirnov

[radiodj105]

Δεν πρόκειται για έναν δίσκο.

Για έναν δίσκο με μουσική έχω Back Up. Όχι ιδιαίτερα ενημερωμένο, αλλά θα έκανα δουλειά.

Δυστυχώς στους άλλους δίσκους υπάρχουν άπειρα πράγματα.

[micos000]

Καλά σου είπε η ΔΗΕ. Ως επί το πλείστον το μεγαλύτερο ποσοστό των ransomware βρίσκουν λύση μετά από λίγους μήνες. Ή ο ίδιος ο χάκερ θα δώσει το κλειδί decrypt ή θα βρεθεί κάποιος decrypter. Έχει διάφορα sites που κάνουν μόνο αυτό. Προσπαθούν να σπάσουν τον τρόπο κλειδώματος του κάθε ransomware. Επιπλέον, το ότι θα πληρώσεις δεν σημαίνει ότι θα σου στείλουν και το κλειδί (όπως σου είπαν). Κάποιοι πλήρωσαν και πήραν τα αρχεία τους, κάποιοι άλλοι όμως πλήρωσαν και πήραν... μην πω τι!

Το τι θα κάνεις όμως είναι καθαρά δικιά σου απόφαση.

[V.I.Smirnov]

Όποιος χρειάζεται πραγματικά τα αρχεία, και δεν μπορεί να τα ανακτήσει αλλιώς,
διακινδυεύει και τους πληρώνει. 
ΤΕΛΟΣ.
Τα υπόλοιπα είναι ηθικολογίες χωρίς πρακτικό αντίκρυσμα.

Στο txt του συγκεκριμένου ranswomware γράφει :
"You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information."

Μπορείς να δοκιμάσεις λοιπόν.
Η ειλικρίνεια από μέρος τους έχει μεγάλη πιθανότητα διότι ξέρουν αυτό συντηρεί την εμπιστοσύνη των θυμάτων στο να τους δώσουν τα χρήματα.

Υποτίθεται ότι τα αρχεία αξίζουν τα λεφτά, και ότι τα χρειάζεσαι τώρα.
Το να περιμένεις να δώσουν οι ίδιοι κάποτε το κλειδί.....ζήσε Μάιη να φας τριφύλλι.....
Στα ranswomware δεν υπάρχει θεραπεία παρά μόνον πρόληψη. Εκτός αν είσαι ΠΟΛΥ τυχερός.
Ή τους πληρώνεις ή ξεχνάς τα αρχεία σου.

-

Επεξ/σία 27 Φεβρουαρίου 2021 από V.I.Smirnov

[mphxths]

@V.I.Smirnov Καλα το οτι θα σου αποκρυπτογραφησουν ενα αρχειο για να δει το θυμα οτι οντως μπορουν , ειναι δεδομενο. Αυτο δεν σημαινει οτι οντως θα δωσουν το κλειδι απαξ και παρουν τα λεφτα. Ρισκο ειναι. Ειδικα αν ζητανε και πολλα λεφτα. Δεν ξερω ποσα ζητανε.

Εγω στην θεση τους θα το εδινα παντως το κλειδι. Αλλιως τι ? Πηρα το παραδακι και ? Θα ζητησω και αλλα ? Αν ειναι σχετικα μικρο το ποσο , δεν κερδισα κατι. Αν ζητανε ομως μεγαλο ποσο , εκει πολλα μπορουν να κανουν. Γιατι θα σκεφτουν αν καποιος δινει τα πολλα λεφτα που ζηταμε , αρα τα αρχεια ειναι σημαντικα. Αρα ας του ζητησουμε και αλλα ... κατι σαν να κρατανε τα αρχεια σου..ομηρο

Τεσπα , ας καταλαβουμε οτι οταν εχουμε σημαντικα αρχεια στο μηχανημα μας , δεν κατεβαζουμε τορρεντς , τσοντες και δεν ξερωγω τι αλλα. Εγω τοσα χρονια γιατι δεν εχω κολλησει τιποτα απλα με ενα avast να τρεχει ? Γιατι προσεχω τι κατεβαζω , ειδικα εκτελεσιμα απο torrents... συνηθως απο αγνωστους uploaders..

[V.I.Smirnov]

Δεν κατάλαβες καλά.
Αποκρυπτογραφούν ενδεικτικά ένα αρχείο για να επιβεβαιώσει ο παθών 
ότι όντως λειτουργεί η διαδικασία της πληρωμής και της αποκρυπτογράφης.
Το δοκιμαστικό αρχείο το αποκρυπτογραφούν τσάμπα αλλά δεν πρέπει να περιέχει χρήσιμη πληροφορία :
"File must not contain valuable information."

Αν πάρουν τα χρήματα χωρίς να δώσουν τα αρχεία, αυτό αποβαίνει σε βάρος τους 
διότι θα διαδοθεί η φήμη ότι χάνεις και τα αρχεία και τα λεφτά και κανένα θύμα δεν θα τους ξαναπληρώσει.
Γι αυτό όποιοι κάνουν συστηματικά τέτοιες απάτες είναι ειλικρινείς.

Τα χρήματα στο συγκεκριμένο ranswomware δεν είναι λίγα.
Κυμαίνονται από 480  - 980 € - και πάντα πληρώνονται δια μιας, όχι σε δόσεις...

-

Επεξ/σία 27 Φεβρουαρίου 2021 από V.I.Smirnov

[radiodj105]

Το κλειδί αποκρυπτογράφησης πλέον δεν είναι κάτι που υπάρχει και είναι στάνταρ
Δηλαδή στο παρελθόν, το κλειδί το είχαν βρει. (off line key).

Πλέον το κλειδί είναι "on line" και δεν υπάρχει κάπου διαθέσιμο (από άλλον), παρά μόνο από αυτόν που έκανε τη ζημιά.

Κάποιος επιτήδειος μέσω instagram μου είπε πως γίνεται μέσω android το decryption, αλλά το βρίσκω πολύ χαζό να κάνω android emulation στο PC και το PC να "δει" τους εξωτερικούς δίσκους.

 

Επεξ/σία 27 Φεβρουαρίου 2021 από radiodj105

[mphxths]

38 λεπτά πριν, V.I.Smirnov είπε

Αποκρυπτογραφούν ενδεικτικά ένα αρχείο για να επιβεβαιώσει ο παθών 
ότι όντως λειτουργεί η διαδικασία της πληρωμής και της αποκρυπτογράφης.

Oτι οντως λειτουργει η διαδικασια...της αποκρυπτογραφισης. Το "πληρωμης και αποκρυπτογραφισης" δεν προκυπτει απο πουθενα
 

39 λεπτά πριν, V.I.Smirnov είπε

Αν πάρουν τα χρήματα χωρίς να δώσουν τα αρχεία, αυτό αποβαίνει σε βάρος τους 
διότι θα διαδοθεί η φήμη ότι χάνεις και τα αρχεία και τα λεφτά και κανένα θύμα δεν θα τους ξαναπληρώσει.
Γι αυτό όποιοι κάνουν συστηματικά τέτοιες απάτες είναι ειλικρινείς.

Ναι ισχυει αυτο. Αλλα τι ? Αν εχεις πεσει θυμα και θες πασει θυσια τα αρχεια ? Τι κανεις ? Ρισκαρεις , ειτε εχεις ακουσει οτι δεν στα δινουν πισω ειτε οτι στα δινουν. Εισαι ομηρος απαξ και πεσεις θυμα...τιποτα δεν σου εγγυαται ...τιποτα. Αλλα αυτο που λες ναι..ειναι το πιο λογικο να κανουν.
 

[V.I.Smirnov]

1 ώρα πριν, mphxths είπε

Oτι οντως λειτουργει η διαδικασια...της αποκρυπτογραφισης. Το "πληρωμης και αποκρυπτογραφισης" δεν προκυπτει απο πουθενα

 

Πάλι δεν το πιασες .

Αν το ranswomware είναι παλιό, μπορεί να μην υπάρχει πλέον κανείς να στείλει το κλειδί 
και συνεπώς τα χρήματα θα πάνε στον γάμο του καραγκιόζη.
Αν π.χ. o υπολογιστής χτυπηθεί από τον Petya, αντίο για πάντα σε όλο τον δίσκο σου.
Ο ιός υπάρχει ακόμη και είναι πολύ επικίνδυνος αλλά στο site που δίνει τα κλειδιά δεν θα αποκριθεί κανείς.

Όσο για την εμπιστοσύνη στους εκβιαστές, συχνά το λένε οι ίδιοι στο μήνυμά τους :
"Μην ανησυχείτε, θα πάρετε τα αρχεία σας διότι αλλιώς κανείς δεν θα μας εμπιστευτεί στο μέλλον."

 

Επιπλέον, ο ts έπαθε τη ζημιά όχι διότι κατέβασε πειρατικό πρόγραμμα 
αλλά επειδή το δοκίμασε χωρίς προστασία.
Έπρεπε να το τρέξει σε sandbox ή με το shadow defender. Ένα κλικ είναι.
Για να μην πω για την απερισκεψία να μην έχει backup.
Ένας ιός μπορεί να περάσει, ακόμη κι από δικό σου λάθος ή απροσεξία. Μπορεί να συμβεί.
Αλλά το να μην έχεις αντίγραφα των σημαντικών αρχείων είναι μεγάλη απρονοησία - 
ειδικά όταν υπάρχουν τόσα μέσα σήμερα...

-

Επεξ/σία 27 Φεβρουαρίου 2021 από V.I.Smirnov

[radiodj105]

21 λεπτά πριν, V.I.Smirnov είπε

 

Back Up ειδικά για μουσικές έχω κάνει. Όμως πάει αρκετός καιρός και βεβαίως αρκετή δουλειά που έχω ρίξει, από το τελευταίο Back up (πριν 4-5 μήνες).

[V.I.Smirnov]

Ε, άρα ουσιαστικά δεν έχεις χρηστικό backup.
Xάθηκε ο κόσμος μια φορά την εβδομάδα να συγχρονίζεις τα αρχεία σου;
Τόσα utilities υπάρχουν.

Εκτός αυτού, το να έχεις μονίμως συνδεδεμένους τους εξωτερικούς δίσκους είναι λάθος πρακτική.
Π.χ., εγώ χρησιμοποιώ το googleDrive, αυτό που δίνει η google τσάμπα.
Έχω ένα προγραμματάκι που βλέπει το cloud ως έναν κοινό τοπικό δίσκο.
Όταν τελειώσω ένα αρχείο δουλειάς, κλικ στο πρόγραμμα --> συνδέεται στο cloud.
Πετάω μέσα το αρχείο. Mόλις γίνει upload,  ΑΜΕΣΩΣ ξανά κλικ στο πρόγραμμα --> αποσυνδέω το cloud.
Δεν το κρατώ online. Δυο κλικ δηλαδή, και είμαι ήσυχος. Αν χτυπηθεί από κάτι ο τοπικός δίσκος, το cloud μένει ανέγγιχτο.
Τόσο απλά...

-

Επεξ/σία 27 Φεβρουαρίου 2021 από V.I.Smirnov

[pirmen56]

17 ώρες πριν, V.I.Smirnov είπε

Επιπλέον, ο ts έπαθε τη ζημιά όχι διότι κατέβασε πειρατικό πρόγραμμα 
αλλά επειδή το δοκίμασε χωρίς προστασία.
Έπρεπε να το τρέξει σε sandbox ή με το shadow defender. Ένα κλικ είναι.
Για να μην πω για την απερισκεψία να μην έχει backup.
Ένας ιός μπορεί να περάσει, ακόμη κι από δικό σου λάθος ή απροσεξία. Μπορεί να συμβεί.
Αλλά το να μην έχεις αντίγραφα των σημαντικών αρχείων είναι μεγάλη απρονοησία - 
ειδικά όταν υπάρχουν τόσα μέσα σήμερα...

-

Το πρόβλημα έγκειται στο ότι πολλοί δεν γνωρίζουν ότι τα backups γίνονται και αυτόματα. Έτσι κάνουν μια φορά το χρόνο γιατί βαριούνται. Το sandbox επίσης δεν είναι λύση αν ο ιός εκδηλώνεται μετά από αρκετό καιρό και λειτουργεί με τρόπο που δεν είναι προφανής.

Λύσεις είναι:

1) Αυτοματοποιημένο backup σε 2 εξωτερικούς σκληρούς που θα συνδέεται μια μέρα ο ένας και μια ο άλλος. Με έναν ο κίνδυνος είναι σαφώς μεγαλύτερος. Κάποιοι ιοί ίσως λαμβάνουν υπόψη και το ενδεχόμενο εξωτερικού backup.

2)  Backup μόνο στα σημαντικά αρχεία. Συλλογή από ταινίες και μουσική(μιας και ο TS μιλάει για "άπειρα πράγματα¨) που ξαναβρίσκεις από τορεντάδικα δεν είναι και τόσο του θανατά αν χαθεί(στην τελική πάιρνεις έναν 12TB σκληρό για σιγουριά). Ενώ προσωπικά δεδομένα και προσωπικός κόπος είναι και παραείναι πρόβλημα αν χαθεί.

3) Κατεβάζεις από τον "θείο" μόνο εκδόσεις προγραμμάτων σχετικά παλιές( 6 μήνες και πίσω) που έχουν κίνηση και έχουν δοκιμαστεί από την κοινότητα. Ποτέ δωρεάν προγράμματα/utilities από διάφορες ιστοσελίδες. Οι περισσότεροι στο τελευταίο την πατάνε γιατί νομίζουν ότι site>>>torrent. Αντίθετα, η κοινότητα του "θείου" έχει σχεδόν ίδια αξιοπιστία με επίσημα καταστήματα(σαν το play store) λόγω των πλήθους των ανθρώπων που δοκιμάζουν το κάθε τι.

[DWinchester]

@V.I.Smirnovη bitdefender στις εκδοσεις total κλπ. εχει επιλογη "αποκαταστασης απο Ransomware" .  Σε γυρναει σε safe mode οταν μολυνθεις και σου κανει οπως λεει/ταζει και η ιδια αμεση αποκατασταση. Γνωριζεις αν ισχυει?

Ειμαι φαν της εταιριας αυτης γιατι ειναι οτι καλυτερο υπαρχει, αλλα το δεδομενο εγχείρημα δεν το εχω δοκιμασει(ουτε θελω :p ) απλα μου κανει πολυ καλο για να ειναι αληθινο !

 Επισης μια που σε βρηκα , ας σε ρωτησω και κατι ακομα.. Σε NAS υπαρχει κινδυνος να εκτεθουν οι δισκοι σου αν λχ γινει το κακο και στην "πεσουν" στο PC ?

Επεξ/σία 2 Μαρτίου 2021 από DWinchester

[V.I.Smirnov]

Κάποια antivirus προστατεύουν από ransomware ελέγχοντας για τυχόν ύποπτες διεργασίες που τροποποιούν αρχεία.
Ή το κάνουν αυτό απαγορεύοντας τις αλλαγές σε συγκεκριμένα αρχεία/φακέλους.
Και το ενσωματωμένο των Windows (Windows Defender) έχει αυτή τη δυνατότητα.

Ένας άλλος τρόπος είναι με χρήση snapshots.
Έτσι όπως το περιγράφεις πιθανόν χρησιμοποιεί κάποια snapshot μέθοδο  (παρεμπιπτόντως το RollBack Rx το έχεις ακουστά ; )
Oι snapshot τεχνικές δεν είναι ότι καλύτερο καθώς επιβαρύνουν τον δίσκο με ημιτελή αντίγραφα των αρχείων.

Δεν ξέρω τι κάνει το Bitdefender.
Εγώ ΔΕΝ χρησιμοποιώ antivirus εδώ και πολλά χρόνια.
Χρησιμοποιώ backup και το Shadow Defender, το οποίο όταν κάνεις restart καθαρίζει τα πάντα.

Στα ransomware η καλύτερη προστασία είναι η πρόληψη, 
δηλ. backup των δεδομένων σε εξωτερικό δίσκο, μη συνδεδεμένο στον υπολογιστή.
Μετά είναι η δυνατότητα να δοκιμάζεις ότι θέλεις σε προστατευμένο περιβάλλον - 
άρα η χρήση sandbox (όπως το SandBoxie ή το ενσωματωμένο των Windows pro).
Kάποια antivirus έχουν δικό τους sandbox, όπως το Comodo.

Η προστασία με antivirus είναι επισφαλής καθώς μπορεί να το κλείσεις ηθελημένα για να δοκιμάσεις κάτι, 
όπως ο ts  που την έπαθε.
Eξάλλου, υπάρχουν ransomware που αν τρέξουν --> ΤΕΛΟΣ. Η αποκατάσταση είναι αδύνατη.
Π.χ. αν ξεγελαστείς και τρέξεις τον Petya, κρυπτογραφείται όλος ο δίσκος (και το MBR) :
πλέον ο δίσκος είναι απροσπέλαστος και δεν έχεις καν λειτουργικό.
Τι αποκατάσταση να κάνει το Βitdefender εκεί...
Μόνον το backup σε σώζει σίγουρα, ξέρε το.

-

Επεξ/σία 3 Μαρτίου 2021 από V.I.Smirnov