NR1-PC TUTORIALE

Cryptolocker este un tip relativ nou de malware cunoscut sub denumirea de ransomware, detectat pentru prima data in luna septembrie a.c. Ransomware-ul cripteaza fisierele, astfel ca nu vor mai putea fi accesate de catre utilizator.

Cryptolocker este deosebit de periculos, folosind doua tipuri de chei pentru criptare, facand imposibila decriptarea unui fisier. Virusul afiseaza o notificare prin care i se solicita utilizatorului infectat sa plateasca o suma de bani (intre 100 si 300$) pentru a decripta fisierele. Daca aceasta cerinta nu este indeplinita intr-un termen de 72 sau 96 ore, fisierele vor fi pierdute definitiv.

Odata rulat, virusul se va instala sub o denumirea aleatorie in folderul %AppData% si de asemenea va crea urmatoarele chei registry:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "CryptoLocker”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce "*CryptoLocker”

Fisierele criptate vor fi doar cele cu urmatoarele extensii: *.odt, *.ods, *.odp, *.odm, *.odc, *.odb, *.doc, *.docx, *.docm, *.wps, *.xls, *.xlsx, *.xlsm, *.xlsb, *.xlk, *.ppt, *.pptx, *.pptm, *.mdb, *.accdb, *.pst, *.dwg, *.dxf, *.dxg, *.wpd, *.rtf, *.wb2, *.mdf, *.dbf, *.psd, *.pdd, *.eps, *.ai, *.indd, *.cdr, ????????.jpg, ????????.jpe, img_*.jpg, *.dng, *.3fr, *.arw, *.srf, *.sr2, *.bay, *.crw, *.cr2, *.dcr, *.kdc, *.erf, *.mef, *.mrw, *.nef, *.nrw, *.orf, *.raf, *.raw, *.rwl, *.rw2, *.r3d, *.ptx, *.pef, *.srw, *.x3f, *.der, *.cer, *.crt, *.pem, *.pfx, *.p12, *.p7b, *.p7cThe

Cum se propaga Cryptolocker?

prin atasamente infectate trimise cu email-uri ce pretind a proveni de la companii de curierat: FedEx, UPS, DHS etc.
descarcat de anumite infectii Zbot deghizandu-se ca atasamente PDF
prin exploit-uri aflate pe site-uri compromise si care se folosesc de vulnerabilitatile din sistemul victimei pentru a instala infectia
prin troieni care pretind a fi programe necesare rularii unor clipuri video online (intalnite de regula pe site-urile pornografice)

Cum poti preveni infectia?

Ruleaza unul din programele de securitate de top si asigura-te ca ai ultimele definitii instalate. Recomandam de asemenea si Malwarebytes Anti-Malware Pro sau COMODO Internet Security, primul pentru definitiile la zi, al doilea pentru blocarea eficienta pe baza comportamentului.

Cum poti recupera totusi fisierele criptate si sa-ti devirusezi astfel sistemul?

Singura metoda viabila este activarea System Restore pe calculator. Acesta va recupera versiunile anterioare ale fisierelor criptate. Acestea nu vor fi totusi neaparat si cea mai recenta versiune a fisierului respectiv. Aceasta functie este disponibila doar pe Windows XP Service Pack 2, Windows Vista, Windows 7, Windows 8.

Pentru a afla care fisiere sunt criptate, descarcati si rulati acest program:
http://download.bleepingcomputer.com/grinler/ListCrilock.exe

Pentru a restaura fisierele, dati click-dreapta pe fisierul criptat, apoi alegeti Properties -> Previous version.
Restaurarea manuala a fiecarui fisier poate dura o vesnicie, de aceea se poate utiliza un program care restaureaza un folder intreg. Acesta se numeste Shadow Explorer. Puteti folosi versiunea portabila a acestuia pentru usurinta si prevenirea infectarii kitului in sine.

Informatii in plus despre acest virus aflati din urmatoarele doua clipuri, dar si din aceasta postare: