Ransomware KUPIDON (Linux.Encryptor.1)

[fioler2]

Nevíte někdo jak dekódovat výše uvedený virus? Prý to nějak jde. Od roku 2007 můj 1. virus na linuxu síťovém disku. Je to masakr. Napadlo to server s restrikcí na IP adresy a dokázalo to zakódovat i soubory jen pro čtení. Změnilo to vlastníka souborů a oprávnění. Překonalo to clamav, co dodat.

P.S.: pozor - bude-li chtít zamčený soubor k otevření heslo - NEOTVÍRAT !!!

All your files have been encrypted with Kupidon Virus.
Your unique id: 11FE397D80B246919B61CBB1B73CDA4A

As a commercial person you can buy decryption for 1200$ in Bitcoins.
But before you pay, you can make sure that we can really decrypt any of your files.
The encryption key and ID are unique to your computer, so you are guaranteed to be able to return your files.

To do this:
1) Download and install Tor Browser ( https://www.torproject.org/download/ )
2) Open the http://oc3g3q5tznpubyasjgliqyykhxdfaqge4vciegjaapjchwtgz4apt6qd.onion/ web page in the Tor Browser and follow the instructions.

[juwa2]

1. To co si ti stalo je svého druhu "umění..".
2. Definitivně to vyřeší pouze záloha (jak zdravého OS, tak dat...). Tu ale předpokládám jaksi nemáš (však na co, že...).
3. Takže formát/reinstalace a příště buď chytřejší viz bod 2....

[fioler2]

No nějakou zálohu mám, ale ne aktuální. Četl jsem, že to jde dekódovat u CMS Magenta, mělo by to jít i na ubuntu. Vypadá to, že to na linuxu nežije, že to bylo provedený na dálku (zůstala tam stopa -nmap test), vir překonal několik ochran. Nepřál bych vám to.

Tam metoda zálohovat je funkční doma, když na to máte čas a nezálohujete 3TB. Tady se nakazila záloha. To bych pak musel automaticky zálohovat zálohu a zálohu zálohy. Jediný spolehlivý postup je zálohovat na usb disk a zamknout do skříně.

[Petr Merlin Vaněček]

Na rootu je o tom povídání:
https://www.root.cz/clanky/analyza-crypto-ransomware-linux-encoder-1/

[juwa2]

No nějakou zálohu mám, ale ne aktuální. Četl jsem, že to jde dekódovat u CMS Magenta, mělo by to jít i na ubuntu. Vypadá to, že to na linuxu nežije, že to bylo provedený na dálku (zůstala tam stopa -nmap test), vir překonal několik ochran. Nepřál bych vám to.

Tam metoda zálohovat je funkční doma, když na to máte čas a nezálohujete 3TB. Tady se nakazila záloha. To bych pak musel automaticky zálohovat zálohu a zálohu zálohy. Jediný spolehlivý postup je zálohovat na usb disk a zamknout do skříně.

Zálohuje se do btrfs snapshotů - k nim se to nedostane. Navíc se dá zálohovací dest. unmountnout.

[West]

Mňa a asi aj ostatných by skôr zaujímalo ako sa ti do Linuxu ten vír dostal. Snaď pod Windowsom na spoločné úložište s Linuxom, však?

[fioler2]

Ano, jde o společný disk na synology, ale na ext2 a sdílený přes https s cerifikátem, nfs s restrikcí IP address nebo ftp s dost složitým heslem. Přístup z widlí jsem ostatním zakázal, složky byly jen pro čtení. Neměl jsem pozapínané jen některé speciální ochrany např. proti útokům DoS (CSRF, CSP ano). Asi budete kroutit hlavou, ale podle logu jsem byl pod kybernetickým útokem. Výkupné chtějí asi milion, nejspíše si mne s někým spletli. Dost to ale člověka nakálí.

[fioler2]

Pro Juwa2. Máte pravdu zálohuju blbě. Má se to dělat jak to píšete. To mě mohlo napadnout dřív.

[fioler2]

Jak to tak anylizuji, ransomware mohl rozmnožit trojan Trojan.downloader.variant, Trojan.downloader.js, více informací zde: https://www.f-secure.com/v-descs/trojan-downloader.shtml

[fioler2]

Tak jsem našel jeden dekódovač ransomware v pythonu, viz: https://github.com/eugenekolo/linux-ransomware-decrypter. Neporadil byste mi někdo jak to rozchodit na ubuntu 18.04?

[juwa2]

Tak jsem našel jeden dekódovač ransomware v pythonu, viz: https://github.com/eugenekolo/linux-ransomware-decrypter. Neporadil byste mi někdo jak to rozchodit na ubuntu 18.04?

A co na tom chceš "rozcházet" ?   
Zkrátka si stáhni (Clone > Download zip) a použij ty dva skripty (spustit skript z terminálu snad umíš).  A podrobný návod tam přeci máš i s příkladem, nic jiného/dalšího ti k tomu nikdo nepoví...
Ale hlavně, ransomwaru je spousta druhů, jak můžeš vědět, že zrovna tenhle skript na ten tvůj platí?  Vyzkoušet to nicméně můžeš.
A zkus se inspirovat třeba zde.