С 2014 года в Сети появилось несколько новых разновидностей новейших вирусов-шифровальщиков, подобных их предку – вирусу под названием I Love You. К сожалению, CBF-вирус-шифровальщик расшифровать даже доступными способами, предлагаемыми ведущими разработчиками антивирусного, ПО сегодня не удается. Однако некоторые рекомендации по восстановлению зашифрованной информации все-таки есть.
Вирус CBF: одного поля ягоды
На сегодняшний день известно как минимум три вируса-вымогателя. Это вирус CBF, а также вирусы XTBL и VAULT. Ведут они себя практически одинаково, предлагая после зашифровки важных файлов и документов заплатить за получение кода, который бы смог произвести дешифрование данных (как правило, после возникновения сообщения на мониторе приходит письмо с требованием оплаты услуг по расшифровке).
Увы, наивные юзеры спешат заплатить n-ную сумму или даже отправляют примеры зараженных файлов злоумышленникам. А ведь если разобраться, такая информация для многих компаний является конфиденциальной, а при отправке становится достоянием общественности.
Чем чревато проникновение вируса в компьютерную систему или сеть?
Сам вирус в большинстве случаев проникает в систему через письма, получаемые посредством электронной почты, реже – при посещении сомнительных страниц в Сети.
Заметить появление угрозы может далеко не каждый, даже самый мощный антивирусный пакет. Более того, на самой ранней стадии он не определяется даже портативными утилитами вроде Dr. Web Cure It!. Поскольку вирус является самокопирующимся, со временем он своими щупальцами захватывает всю систему.
При первых симптомах может сразу же проявиться чрезмерная нагрузка на центральный процессор, а также несанкционированное использование оперативной памяти. В данном случае, например, при входе в тот же «Диспетчер задач» можно увидеть процесс под названием Build.exe. Кстати, в основной администраторской директории или папке текущего пользователя создается раздел программных файлов x86, в котором присутствует папка RarLab, содержащая искомый файл Build.exe, checkdata.dif и winrar.tmp. Кроме того, файл Build появляется и на «Рабочем столе». Затем в браузере, используемом для серфинга по Всемирной паутине, могут появиться картинки, содержащие порно или ссылки на сайты эротического содержания.
Далее следует заражение. Как правило, переименовываются файлы офисных приложений вроде Microsoft Excel, Access и Word. Также проблемы могут возникать с базами данных форматов .db и .dbf (чаще всего «1С: Бухгалтерия». К основному расширению добавляется .cbf, но прочитать (открыть) такие файлы возможным не представляется, поскольку сам CBF-вирус-шифровальщик расшифровать зараженные объекты не может (попросту не умеет). Как поступить в этом случае?
CBF-вирус-шифровальщик: как удалить и стоит ли это делать?
Во-первых, нужно четко понимать, что здесь нужно действовать максимально корректно. Если вирус определяется каким-либо программным обеспечением, его нельзя удалять!!! Нужно поместить угрозу в карантин, который присутствует практически во всех приложениях такого типа.
Удаление или очистка приведут только к тому, что основные исполняемые элементы исчезнут, но зашифрованная информация все равно будет нечитабельна. Зато из карантина можно будет отправить файл на проверку в онлайн-лабораторию производителя установленного антивируса в системе. Но и это работает далеко не всегда.
Как поступить в простейшем случае?
Итак, расширение .cbf вирус файлам уже присвоил. В зависимости от срока действия, может наблюдаться несколько ситуаций: либо файлы просто зашифрованы, либо блокируется вход в Windows (даже «Рабочий стол» недоступен).
Оговоримся сразу: ни о каких перечислениях денежных средств и речи быть не может. Для начала лучше поискать базы данных в интернете с другого компьютера, которые содержат большинство известных кодов для разблокирования доступа (воспользоваться можно хотя бы разделом Unlocker на официальном сайте Dr. Web). Правда, не факт, что такие коды подойдут. Придется лечить систему собственноручно.
Восстановление системы
CBF-вирус расшифровать (вернее, последствия его воздействия на файлы), каким-то стандартным способом не получится, ведь в нем применяется алгоритм 1024-битного шифрования. Если кто не знает, сегодня актуальной является 256-битная система AES. Можно попытаться восстановить исходные данные путем обращения к Windows Restore.
Если вход в систему возможен, найти данный раздел можно в «Панели управления» и сделать откат из контрольной точки, предшествующей заражению. Если вход в Windows блокируется сообщением с требованием перечисления денег, можно попробовать несколько раз принудительно перезагрузить компьютерный терминал или ноутбук. Делать это придется до тех пор, пока система «не созреет» для восстановления в автоматическом режиме. Естественно, можно попробовать использовать восстановительный диск, попытаться производить действия с командной строкой и полностью перезаписывать загрузочные секторы, хотя шансов на успех мало. Это работает только на ранних стадиях, когда вирус-шифровальщик CBF только проник в систему или сеть.
Восстановление прежних версий файлов
Если откат системы не помогает, следует воспользоваться специальными возможностями восстановления прежних версий файлов, которые заложены в самих ОС Windows.
Для этого нужно через «Проводник» зайти в свойства выбранного диска или раздела и использовать вкладку предыдущих версий файлов. После таких действий, опять же, потребуется выбрать контрольную точку, затем открыть и скопировать нужные файлы в другое место. Такой способ во многих случаях оказывается более действенным.
Использование дешифраторов
Если рассматривать методы, предлагаемые разработчиками антивирусного ПО, расширение CBF-вируса можно попытаться убрать при помощи специальных приложений-дешифраторов (но только официальных, а не пользовательских разработок вроде декодеров непонятного происхождения).
Однако сразу стоит отметить, что они работают только при условии наличия установленной официальной версии антивирусного сканера с соответствующим лицензионным ключом. В противном случае можно только навредить. Вирус попросту удалится, после чего даже возможности связаться со злоумышленниками не будет. Тут придется заниматься повторной инсталляцией всей системы.
Чего не стоит делать ни в коем случае?
Как уже понятно, CBF-вирус-шифровальщик расшифровать файлы, им же и зараженные, не может. Отдельно стоит обратить внимание на действия, которые выполнять не рекомендуется категорически. Отметим самые важные пункты:
- использование дешифраторов при установленной «крэкнутой» версии антивируса;
- переименование зараженных файлов с целью изменения расширения;
- очистка кэша и истории браузера до отправки подозрительных файлов на анализ разработчику антивирусного ПО;
- переустанавка операционки без форматирования дисков или логических разделов;
- отправка денег и файлов на расшифровку неизвестным или подозрительным источникам, например, на почтовые адреса вроде iizomer@aol.com с какой-то еще припиской.
В целом же нужно четко понимать, что CBF-вирус-шифровальщик расшифровать собственными силами просто не получится. Уж лучше обратиться к официальным сайтам антивирусных лабораторий вроде «Касперского», где в специальном разделе можно оставить проблемные файлы для анализа, или отправить карантинный файл непосредственно из программы.
Однако (это утверждается всеми разработчиками) лучше к зараженному файлу приложить оригинал, если таковой имеется, скажем, в виде копии на каком-то съемном носителе. В данном случае расшифровка станет намного проще, хотя далеко не факт, что нужные пользователю файлы буду восстановлены.
Как правило, и это подтверждает большинство отзывов пользователей, служба поддержка обычно молчит очень долго, а если и расшифровывает данные, это касается единичных файлов. А что делать с массивами в десятки или сотни гигабайт? Такой объем даже при помощи специальных «облачных» сервисов отправить, а тем более восстановить, просто нереально. Но будем надеяться, что разработчики все-таки найдут средство лечения зараженных файлов и способ противодействия проникновению угроз этого типа в компьютерные системы и сети.
