Уже несколько дней вирус-вымогатель WannaCrypt (WannaCry, WCry, WNCRY) терроризирует компьютеры по всему миру. Вирус по всему миру, был на некоторое время специалистами, но сумел найти способ обойти ограничения и прокатился .
Что происходит при заражении
Вирус WannaCrypt (WannaCry, WCry, WNCRY) сканирует компьютерные диски и шифрует файлы на нем, добавляя к ним расширение WNCRY. Таким образом пользовательские данные и системные файлы становятся недоступными. Даже если антивирус заблокирует вредоносное ПО, то файлы все равно остаются зашифрованными.
На экране зараженного компьютера отображается сообщение с требованием выкупа за свои данные. Предлагается перевести определенную сумму в биткойнах на кошелек вымогателя.
Как защититься от вируса WannaCrypt
На данный момент компьютерный вирус WannaCrypt опасен только для ОС Windows и не затрагивает пользователей macOS.
Для защиты компьютера под управлением Windows от вируса WannaCrypt необходимо скачать с официального сайта Microsoft патч MS17-010 , которые устраняет уязвимость, используемую вирусом. Из-за масштабности заражения, компания Microsoft выпустила обновление для всех своих ОС , включая Windows XP, которая с 2004 года не поддерживается.
Смотри также еще один способ защиты от вируа WannaCrypt при помощи закрытия 445 порта:
По заверениям Microsoft, пользователи антивируса Windows Defender автоматически защищены от вируса. Для сторонних антивирусов стоит загрузить последнюю версию и включить мониторинг системы. После необходимо проверить систему и в случае обнаружения вредоносных атак (MEM:Trojan.Win64.EquationDrug.gen) - вновь перезагрузиться и убедиться, что патч MS17-010 установлен на вашем компьютере.
Что делать, если компьютер уже заражен вирусом WannaCrypt
Если ваш компьютер уже заразил вирус-вымогатель WannaCrypt (WannaCry, WCry, WNCRY), рекомендуют сделать следующие действия:
1 - Включить безопасный режим с загрузкой сетевых драйверов. В Windows 7 это делается при перезагрузке системы и нажатия клавиши F8. Также есть инструкции по выполнению этого шага для остальных версий, в том числе Windows 8 и Windows 10.
2 - Можно самостоятельно удалить нежелательные приложения через Удаление программ. Но для избежания ошибки и нанесения случайного ущерба системе, лучше воспользоваться антивирусными программами (например, SpyHunter Anti-Malware Tool, Malwarebytes Anti-malware или STOPZilla)
3 - Последний шаг - восстановление зашифрованных файлов, которое следует выполнять только после удаления Wncry. В противном случае можно нанести ущерб системным файлам и реестрам.
Для восстановления файлов можно использовать декрипторы, а также утилиту Shadow Explorer (вернет теневые копии файлов и исходное состояние зашифрованных файлов) или Stellar Phoenix Windows Data Recovery. Для жителей стран бывшего СССР есть бесплатное (для некоммерческого использования) решение R.saver от русскоязычных разработчиков.
Смотри инструкцию по удалению вируса WannaCrypt:
К сожалению, все эти способы не гарантируют полного восстановления файлов, если вы заранее не сделали резервные копии данных.
Распространение вируса WannaCrypt (его также называют WCry) началось днем 12 мая. Одной из первых атаке подверглась Испания; там жертвами стали крупнейшая телекоммуникационная компания Telefónica, газовая компания Gas Natural, Iberdrola, занимающаяся поставками электричества, банк Santander и филиал консалтинговой компании KPMG. В Великобритании хакеры атаковали компьютеры системы здравоохранения. "Лаборатория Касперского" зафиксировала порядка 45 тысяч попыток атак в 74 странах по всему миру, большинство из них — в России, Украине и Тайване.
Как вымогают деньги
Программа-вымогатель WannaCry (она же WCry и WannaCryptor) шифрует файлы пользователя, в результате чего их больше нельзя использовать. Для расшифровки файлов программа требует оплату в биткойнах, эквивалентную $300, по другим данным — $600.
Злоумышленники обещают удвоить стоимость выкупа 15 мая и сделать изменения на компьютере безвозвратными 19 мая. Также они обещают "бесплатные мероприятия" для бедных пользователей. Связаться со злоумышленниками можно прямо через программу.
Для сбора средств злоумышленники используют по меньшей мере четыре кошелька для биткойнов (1, 2, 3, 4). Меньше чем за сутки пострадавшие перевели на них более 7 биткойнов, что равно $12 тыс. Учитывая, что пользователи обычно откладывают выкуп на последний день, "прибыль" может вырасти многократно.
Это, а также география заражений, позволяет говорить о самой масштабной атаке с использованием программы-вымогателя в истории.
Точками отмечены места заражения вирусом
Как работает вирус
Для атаки хакеры использовали модифицированную программу EternalBlue, изначально разработанную Агентством национальной безопасности США, сообщает BBC. Она была украдена хакерами The Shadow Brokers у хакеров Equation Group в августе 2016 года и опубликована в апреле 2017-го.
О связи Equation Group c Агентством национальной безопасности США писали в WikiLeaks.
Вирус использует уязвимость в операционной системе Windows, которую Microsoft закрыла еще в марте 2017 года. Всем, у кого система обновилась, вирус не угрожает. Однако многие пользователи и организации отключают автоматические обновления на своих компьютерах.
Программы-вымогатели обычно устанавливаются через документы, распространяемые по электронной почте. Как называется файл-переносчик в случае с WannaCry, пока также не ясно.
Windows подготовил , которое полностью исключает возможность заражения вирусом.
Последние несколько дней новости пугают нас заголовками о массовом заражении компьютеров по всему миру вирусом WannaCrypt (Wana Decrypt0r 2.0). Россия не стала исключением, были заражены компьютеры многих компаний и государственных организаций. Мы привыкли относиться к новостям, как к чему-то далекому, тому, что нас коснуться никак не может.
В этот раз все иначе, вирус WannaCrypt (Wana Decrypt0r 2.0) поражает любые компьютеры. Причем для заражения не надо ни скачивать и запускать подозрительные файлы, ни ходить по сомнительным сайтам. WannaCrypt (Wana Decrypt0r 2.0) использует ошибку в операционных системах Microsoft Windows, достаточно заразиться одному компьютеру в локальной сети и через час будут заражены все остальные, если на них не установлено специальное обновление.
Само обновление, дающее защиту от WannaCrypt (Wana Decrypt0r 2.0), было выпущено компанией Microsoft еще в марте, оно автоматически установилось на все лицензионные копии современных операционных систем семейства Windows по всему миру. Под ударом остались только пользователи старых или нелицензионных (пиратских) систем. В некоторых крупных компаниях компьютеры обновляются не автоматически, а по команде администратора. Если мартовские обновления все еще не были установлены, компьютеры таких компаний также попали под удар, как это случилось, например, с компанией Мегафон.
Как избежать заражения вирусом WannaCrypt (Wana Decrypt0r 2.0)
Если вы используете лицензионную Windows 10 и периодически видите, как система обновляется при выключении или включении компьютера, то вам беспокоиться не о чем. Ваша система была автоматически и своевременно обновлена, вы не входите в группу риска.
Если же вы используете устаревшую или пиратскую копию операционной системы Windows, вам необходимо срочно установить специальное обновление. Компания Microsoft выпустила обновления для всех версий Windows, даже для таких старых, как Windows XP. Выберите свою версию операционной системы, скачайте и запустите обновление. Оно будет установлено даже в том случае, если вы используете пиратскую версию Windows.
Список обновлений для всех версий Windows для защиты от вируса WannaCrypt:
Если вы не знаете, какая версия Windows у вас установлена, пожалуйста, ознакомьтесь с .
Размер обновления 200-600 мегабайт, в зависимости от версии. Скачайте и установите обновление для своей операционной системы как можно быстрее!
Если у вас медленное или ограниченное Интернет-соединение и вы не можете оперативно выполнить установку обновления, вы можете применить временное решение:
- Запустите командную строку cmd от имени администратора (инструкция: ).
- Скопируйте следующий текст: Netsh advfirewall firewall add rule dir=in action=block protocol=tcp localport=445 name="Block_TCP-445"
- Вставьте его в командную строку и нажмите клавишу Enter, в ответ система должна написать "OK".
- Как только будет возможность - установите обновление от Microsoft.
Как вылечить компьютер и расшифровать файлы, зашифрованные WannaCrypt
Мы подготовили отдельную статью о том, как вылечить компьютер после заражения вирусом WannaCrypt (Wana Decrypt0r 2.0):
Если у вас остались вопросы или нужны уточнения - пишите в комментариях. Мы все читаем и всем отвечаем!
Выкуп:Win32 С/WannaCrypt.А!РСМ является вредоносной вирус, выявленных несколькими антивирусами и анти-вредоносного программного обеспечения. Выкуп:Win32 С/WannaCrypt.А!эвристическое обнаружение РСМ классифицируется как вирус потому что это наносит и действует как вредоносного угрозы в Windows ХР, Windows Vista, Windows 7, Windows 8 или 10 Windows компьютерной системы.
Что такое выкуп:Win32 с/WannaCrypt.А!РСМ?
Выкуп:Win32 С/WannaCrypt.А!РСМ изменяет системные файлы, новые папки добавить, создает Windows задачи и добавляет файлы для заражения и взлома компьютерной системы. Выкуп:Win32 С/WannaCrypt.А!РСМ-это вирус, который загружается и упал на вашем компьютере во время серфинга в интернете.
Как же выкуп:Win32 с/WannaCrypt.А!РСМ заразить компьютер?
Большинство пользователей понятия не имеют, как этот выкуп:Win32 с/WannaCrypt.А!опасный РСМ установлена на их компьютере, пока их антивирусные программы определяют ее как вредоносную угрозу, вредоносных программ или вирусов.
Выкуп:Win32 С/WannaCrypt.А!удаление РСМ
Если ваша защита обнаруживает выкуп:Win32 с/WannaCrypt.А!вирус РСМ, не помеченных на удаление по умолчанию. Он определяется как вредоносный и советуют удалить ransom:Win32 с/WannaCrypt.А!РСМ с вашего компьютера.
Шаг 1: Остановите все Ransom:Win32/WannaCrypt.A!rsm процессы в диспетчере задач
Шаг 2: Удалите Ransom:Win32/WannaCrypt.A!rsm сопутствующие программы
Шаг 3: Удалите вредоносные Ransom:Win32/WannaCrypt.A!rsm записи в системе реестра
Шаг 4: Устранить вредоносные файлы и папки, связанные с Ransom:Win32/WannaCrypt.A!rsm
Шаг 5: Удаление Ransom:Win32/WannaCrypt.A!rsm из вашего браузера
Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. и .
Internet Explorer
Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. и .
Mozilla Firefox
Используйте средство удаления вредоносных программ Spyhunter только для целей обнаружения. и .
Google Chrome
* SpyHunter сканера, опубликованные на этом сайте, предназначен для использования только в качестве средства обнаружения. . Чтобы использовать функцию удаления, вам нужно будет приобрести полную версию SpyHunter. Если вы хотите удалить SpyHunter, .
Сбора информации.
12 мая началась эпидемия вредоносного ПО Wana Decryptor который шифрует данные на компьютере пользователя.
Как Wana Decryptor заражает компьютеры пользователей?
Wana Decrypt0r использует уязвимость в службе SMB операционной системы Windows. Эта уязвимость присутствует во всех современных версиях Windows, от Windows 7 до Windows 10.
Данная уязвимость закрывается патчем MS17-010
(Обновление безопасности для Windows SMB Server) который был еще выпущен 14 марта 2017
(если у вас отключено автоматическое обновление, то установите патч вручную)
Скачать исправление безопасности.
Как работает Wana Decryptor.
Free Automated Malware Analysis Service - powered by VxStream Sandbox - Viewing online file analysis results for "@[email protected]"
При первом запуске вредонос извлекает файл в ту же папку, что и установщик. Файл представляет собой запароленный архив 7zip
файлы из которого используются в работе вредоносного ПО
В сообщении об выкупе используется тот же язык, который использует пользователь компьютера. На настоящий момент Wana Decrypt0r поддерживает следующие языки:
Далее WanaCrypt0r скачивает TOR браузер (Download Tor) который используется для связи с серверами управления вируса-шифровальщика. Когда этот процесс выполнен, вирус выполняет команду, с помощью которой устанавливает полный доступ ко всем доступным каталогам и файлам.Bulgarian, Chinese (simplified), Chinese (traditional), Croatian, Czech, Danish, Dutch, English, Filipino, Finnish, French, German, Greek, Indonesian, Italian, Japanese, Korean, Latvian, Norwegian, Polish, Portuguese, Romanian, Russian, Slovak, Spanish, Swedish, Turkish, Vietnamese,
CMD/BATCH:
Icacls . /grant Everyone:F /T /C /Q
Это необходимо для того, чтобы зашифровать как можно больше файлов на зараженном компьютере.
А так же пытается завершить следующие процессы:
CMD/BATCH:
Taskkill.exe /f /im mysqld.exe taskkill.exe /f /im sqlwriter.exe taskkill.exe /f /im sqlserver.exe taskkill.exe /f /im MSExchange* taskkill.exe /f /im Microsoft.Exchange.*
Это позволит зашифровать базы данных.
Вымогатель шифрует файлы со следующими расширениями
Код:
Der, .pfx, .key, .crt, .csr, .pem, .odt, .ott, .sxw, .stw, .uot, .max, .ods, .ots, .sxc, .stc, .dif, .slk, .odp, .otp, .sxd, .std, .uop, .odg, .otg, .sxm, .mml, .lay, .lay6, .asc, .sqlite3, .sqlitedb, .sql, .accdb, .mdb, .dbf, .odb, .frm, .myd, .myi, .ibd, .mdf, .ldf, .sln, .suo, .cpp, .pas, .asm, .cmd, .bat, .vbs, .dip, .dch, .sch, .brd, .jsp, .php, .asp, .java, .jar, .class, .wav, .swf, .fla, .wmv, .mpg, .vob, .mpeg, .asf, .avi, .mov, .mkv, .flv, .wma, .mid, .djvu, .svg, .psd, .nef, .tiff, .tif, .cgm, .raw, .gif, .png, .bmp, .jpg, .jpeg, .vcd, .iso, .backup, .zip, .rar, .tgz, .tar, .bak, .tbk, .PAQ, .ARC, .aes, .gpg, .vmx, .vmdk, .vdi, .sldm, .sldx, .sti, .sxi, .hwp, .snt, .onetoc2, .dwg, .pdf, .wks, .rtf, .csv, .txt, .vsdx, .vsd, .edb, .eml, .msg, .ost, .pst, .potm, .potx, .ppam, .ppsx, .ppsm, .pps, .pot, .pptm, .pptx, .ppt, .xltm, .xltx, .xlc, .xlm, .xlt, .xlw, .xlsb, .xlsm, .xlsx, .xls, .dotx, .dotm, .dot, .docm, .docb, .docx, .doc
Зашифрованные файлы имеют дополнительное расширение WNCRY
после стандартного
После шифрования файлов каталоге добавляются два файла:
- @[email protected] - сообщение вымогателя
- @[email protected] - дешифровщик
CMD/BATCH:
C:\Windows\SysWOW64\cmd.exe /c vssadmin delete shadow /all /quiet & wmic shadowcopy delete & bcdedit /set {default} boostatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
!!При попытке выполнить команды очистки сработает запрос UAC и если ответить НЕТ, то команда выполнена не будет, что дает высокие шансы восстановить информацию. Если у вас отключен UAC (например, если у вас серверная OS), то примите мои соболезнования.
Когда пользователь нажал на кнопку проверить платеж, то вымогатель подключится серверам TOR C2, чтобы проверить, был ли произведен платеж. Если платеж был произведен, то файлы будут расшифрованы в автоматическом режиме, если платеж не был произведен, вы увидите ответ, аналогичный приведенному ниже.
Как расшифровать файлы после WanaCrypt0r?
Если в запросе UAC вы ответили нет, то поможет . Так же поможет программа ShadowExplorer.
На данный момент нет возможности расшифровать файлы без помощи злоумышленников если произведена очистка теневых копий.
Как предотвратить заражение шифровальщиком-вымогателем?
- Абсолютной защиты не существует.
- Не выключайте автоматическое обновление Windows, это позволит оперативно (более или менее) закрывать уязвимости OS.
- Используйте антивирус или будьте готовы к ликвидации последствий.
- Не доверяйте никому в сети, не открывайте непроверенные файлы которые вы получили без антивирусной проверки.
- Используйте резервное копирование, и чем важнее информация тем больше внимания уделяйте вопросу сохранности копий.