Trojan.Gpcoder.G

Res nihče? :-( Potem pa sem v riti...

tudi jaz sem se obrnil na F-secure...en mi je predlagal F-secure rescue CD. Bom probal...Restore point si že probal?

microsoft:

Files corrupted by this malware will NOT be restored by detecting and removing this threat. To restore functionality to the computer, the corrupted file(s) must be restored from backup.

Datoteke enkriptane z nekaterimi starejšimi verzijami trojanca je bilo še možno dekodirati, za Gpcoder.G pa bo najbrž težka :\

Špekuliranje kaj če, dokler ne pogledaš v hexeditorju ne veš kako je stanje.

Jaz bi se vprašal kako vam uspeva dobiti to to svinjarijo v sistem (zanjo ni lepšega kot admin privilegiji in butast uporabnik) ??

Žal so naše stranke tiste, ki jim to uspeva dobiti v sistem, mi pa potem rešujemo kar se rešiti da.
V hex-editorju se ne vidi nič določljivega. Začetek datoteke je OK (cca. 70 začetnih bytov pusti nedotaknjenih), ostalo pa je zmešnjava. Če bi šlo za kakšen enostaven algoritem kodiranja, bi se ga na podlagi primerjanja z nezakodirano vsebino (če seveda originalna datoteka še nekje obstaja) mogoče še dalo ugotoviti, tako pa :-(

Ja, a pa misliš, da če pošlješ 50 EUR, res dobiš nekakšen magično kodo, ki zadeve odkodira?

Ponavadi takšni lumpi samo poberejo denar, saj se ne želijo še dodatno izpostavljati preko dodatne, za njih nepotrebne komunikacije. Glede brute force pa se bojim, da imaš prav.

Ene verzije GPCoderja so imele bug, da si lahko obnovil nazaj vse fajle. Sam ne vem točno do katere verzije je to veljalo...

Še vedno nisem probal restore pointa...je na tej točki sploh smiselno, saj so podatki že kriptirani?

Preden karkoli spreminjaš naredi popolno kopijo diska na eksterni disk.

Če je tako kot piše na tistem linku se mogoče da dobiti nekaj podatkov nazaj s kakim recovery data softwarjem(recuva ipd.). Tam piše, da virus najprej ustvari novo kriptirano datoteko in nato staro izbriše, zato je mogoče da se da dobiti kaj kar ni bilo še prepisano na disku nazaj.

Mi smo tudi dobili ta virus na dve različni mašini na dveh različnih lokacijah. Na njih sta delala (popravljala) dva različna fanta, in prvi odziv je bil brisanje spyware.
Verjetno je brisanje spyware v tem primeru napaka, ker sedaj tudi če bi plačali zahtevanih 50€ ne bi morali dekriptirati (če bi dobili kodo), se kdo strinja??

Pazite ker kriptira tudi na mapiranih pogonih (v našem primeru strežnik), če imate strežnik preverite podatke in restorajte iz backupa preden si ga prepišete.

Če so komu podatki toliko pomembni da bo plačal, naj prosim objavi če je dobil podatke nazaj.
Ali je za vse nas enak key za dekripcijo??? Ali ima vsak unikatnega (malo dvomim).
Če plača 50 ljudi pa je key enak, damo po 1€, najraje ne bi dal nič.
Priznam pa da je ideja za tem 'virusom' boleče dobra :(

Odlično če je vsak key unikaten, potem če plačam 50€ on kar iz zraka ve ker key mi poslat :)
Zelo lepo, se pravi ne plačevat...

To bi bilo logično, sicer je nisem nikjer opazil, mogoče tudi zato ker sem čistil rač.
Se strinjam, ni za plačevat, čeprav bo verjetno vseeno dovolj zaslužil...

mitfif je 11. apr 2012 ob 22:02 izjavil:

Ravnokar preizkušam spodnjo rešitev:

Rešitev

Mislim, da pomaga.

misliš? ali pomaga ali pa ne....preveri in povej. :-)

Pozdravljeni.

Tudi nama s fantom se je v nedeljo pojavil isti trojanc.
Če je že komu uspelo dekodirati datotke, prosim za navodila.
Ob enem prosim še za napotek, kako se v bodoče izogniti takim "smotanim" trojancem?
Ali je morda problem v neoriginalnih Windovsih, ker antivirusni program imava, ravno tako požarni zid?

Hvala in lp.

1. kloniraj disk
2. igraj se na kloniranem disku
3. gor je že en link na majorgeeks.
4. zakaj so te viruse dobile samo punce? Howtogetahotguy.exe???

To deluje:
http://forums.majorgeeks.com/showthread...

Hvala bogu. Vso srečo ostalim.

zaženi cmd in vpiši:
winXP:
"pot do programa v narekovajih (priporočam, da ga kar not potegneš)" -k 85

Če pa delaš na win 7 pa vpiši v cmd to:
start pot do programa -k 85


bo šlo?

Pri XP greš na start, ter v zagonsko vrstico (zaženi) vpiši cmd, ter potrdiš, nakar se ti odpre črno okno in vneseš podatke, ki so vneseni v prvi vrstici:

V drugi vrstici so podatki ki jih vnese uporabnik win 7.

Pritisneš vredu in program se ti požene, še poženeš tega in je to to. Pazi da imaš na disku dovolj prostora, ker se ti bodo podatki podvojili. Program kriptiranih ne pobriše, jih moraš ročno, ker zasedajo prostor.

hehehehehehe....

pot do programa sem mislo, da boš sama napisala dejansko pot do programa. :-)

Najbolje je da si odpreš cmd, pa potem programček, ki si si ga shranila na rač. potegneš z miško v cmd, kjer ti bo sam izpisal pot, nato še ročno pripiši -k 85.

bo šlo...?

Jaz vsekakor bi še enkrat inštaliral.

Sporočam, da je zadeva uspešno zaključena :)
Sem si res oddahnila, da sem dobila nazaj svoje dokumente.
Bom za vsak slučaj še enkrat vse inštalirala.
Kepica, še enkrat najlepša hvala za vse napotke. Brez tebe in tvoje potrpežljivosti ne bi šlo.
connel, hvala tudi tebi za odgovor.

Lep večer še naprej.

Odlično deluje in hvala za info !
Najhitreje je, da kar desno klikneš na ta decrypt te94decrypt.exe programček, ustvariš na namizju bližnjico in v lastnostih te bližnjice v vrstici Cilj: kjer se že nahaja te94decrypt.exe na koncu vrstice dopišeš -k 85 ,shraniš in poženeš program.