Обнаружен новый вирус-вымогатель (ransomware) XData. Скорость распространения выше WannaCry

В прошлый четверг исследователи MalwareHunter, которые стоят за сервисом ID-Ransomware, обнаружили новый вирус-вымогатель (ransomware) XData.
Активность этого крипто-вымогателя пришлась на середину мая 2017 г.
Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Из 135 случаев инфицирования, которые были обнаружены на 19 мая текущего года, 95% случаев пришлось на украинских пользователей. (в реальности массштабы заражения намного выше)

Если сравнивать темпы распространения вымогателя XData с нашумевшим WannaCry, то окажется, что в Украине он распространяется вчетверо быстрее (в ID-Ransomware зафиксировали только 30 пострадавших от WannaCry украинцев из 200 тыс. жертв по всему миру). WannaCry уже заразила сотни тысяч систем по всему миру, но если учесть текущий уровень распространения XData-инфекции в Украине, России и Германии, глобальное влияние XData значительно превосходит WannaCry.

Зловред-вымогатель XData шифрует все файлы с помощью алгоритма AES, при этом рабочего способа расшифровки без оплаты выкупа пока не найдено. Злоумышленники запрашивают от 0,1 до 1 биткоина в зависимости от объема зашифрованных данных и того, пострадал отдельный компьютер или сеть компании. На данный момент курс биткоина составляет более $2100.

После шифрования все файлы имеют расширение .~xdata~
Вирус не меняет фон рабочего стола, не показывает уведомления, а лишь располагает в основных директориях текстовый файл How Can I Decrypt My Files.txt, объясняется, что чтобы расшифровать файлы необходимо отправить специальный ключ по одному из email-адресов. «Не волнуйтесь, если вы не можете найти файл ключи. В любом случае свяжитесь с поддержкой», — заботливо пишут злоумышленники.

Цитата:

Your IMPORTANT FILES WERE ENCRYPTED on this computer: documents, databases, photos, videos, etc.

Encryption was prodused using unique public key for this computer.
To decrypt files, you need to obtain private key and special tool.

To retrieve the private key and tool find your pc key file with '.key.~xdata~' extension.
Depending on your operation system version and personal settings, you can find it in:
'C:/',
'C:/ProgramData',
'C:/Documents and Settings/All Users/Application Data',
'Your Desktop'
folders (eg. 'C:/PC-TTT54M#45CD.key.~xdata~').

Then send it to one of following email addresses:

begins@colocasia.org
bilbo@colocasia.org
frodo@colocasia.org
trevor@thwonderfulday.com
bob@thwonderfulday.com
bil@thwonderfulday.com

Your ID: [PC-NAME]#[VICTIM_ID]

Do not worry if you did not find key file, anyway contact for support.

Отметим, что способ распространения и заражения компьютеров зловредом XData пока неизвестен, но скорее всего он попадает на компьютеры жертв путем фишинговых атак через электронные письма с зараженными вложениями, использование эксплойтов ОС, веб-инжектов, фальшивых рекламных ссылок, зараженных инсталляторов и т.д.
Среди украинских пострадавших в основном компьютерные сети компаний. Источники: BleepingComputer, ain.ua, itc.ua, id-ransomware.blogspot.com, blog.emsisoft.com
Полезные ссылки: ID Ransomware

А вообще, не плохие новости. Деструкция должна быть, так никакого прогресса не будет. Надеюсь в скором времени появится надежное лечение от этой заразы не на уровне фаги.
А ведь совсем недавно, бредящий дядька из Гугл говорил что антивирусы это ЗЛО)))). Интересно было бы его сейчас послушать.

comtdk писал(а):

Kali Linux forever!
Ставим вайн 2.0, цапаем вирусню, реверс-иженерим, дебажим, меняем номер биткоин-кошелька, собираем, распространяем.... Профит! :крутой:

дада, именно так теперь и будет , кто хочет подзаработать, так и поступят

lilolil писал(а):

А вообще, не плохие новости. Деструкция должна быть, так никакого прогресса не будет. Надеюсь в скором времени появится надежное лечение от этой заразы не на уровне фаги.

Я тебя разочарую, но это криптоустойчивый вирус. У тебя есть заражённый файл, есть здоровый он же, есть сам вирус и есть дешифратор. И фига 2 ты с этим арсеналом, что-то сродни лечению придумаешь. Я лично располагаю заархивированым дешифратором и файлами здоровый/больной, так же у меня имеется ключ к дешифратору. Ключ состоит из пары тысяч символов, к слову.

Единственное, что можно сделать это опередить заражение вирусов на этапе заражения системы, до того как он зашифрует данные. Но это как спид, его адаптируют очень быстро, не так же быстро конечно, но версий вирусни настолько много и каждый следующий крепче и лучше.

Так вот ещё кое-что, у каждого вируса существует не один, а множество(возможно рандомно сгенерированых) ключей. Если и есть способ расшифровать их, то нужно подобрать правильный ключ.

Вот мой ключ

Это позапрошлое поколение вируса, его сейчас ещё не лечат, название не вспомню

Очевидно, что при нынешней мощности железа, вашей жизни и жизни ваших родственников на пару поколений вперёд не хватит перебрать комбинации

И по поводу антивируса, ему пофиг на ваш антивирус

lilolil писал(а):

А ведь совсем недавно, бредящий дядька из Гугл говорил что антивирусы это ЗЛО)))). Интересно было бы его сейчас послушать.

В ряде смыслов это может быть так.
Во-первых, сами антивирусы являются низкоуровневыми дырами.
Во-вторых, существование антивирусов спасает убогие и плохозащищённые ОС от праведного гнева и пользователей и государств. Титаники с чужими заплатками. Плохой sandboxing, дырявый дизайн программного стека, ляпы и тп Вместо работы над ОС (не в смысле красивостей) - вешают поверх АВ и типа всё ок.

HackBlack писал(а):

Касперский от всех спасёт)))

Спасут ребята из Ставрополя... :смех:

Если, конечно, это как раз не ихнее... новое увлечение. :задумался:

Кстати, пользуясь случаем напоминаю, что есть такая штука Amazon Drive (не путать с amazon services EC2 и прочими профессиональными). $59.99/year анлимитед.
rclone, или чем то ещё (уже довольно много бэкапных программ поддерживающих ACD), копируйте туда свалкой, кому есть что терять и не жалко вышеозвученной суммы.
Т.к. unlimited - не нужно запариваться с вопросом, что копировать=что удалять-чтобы-освободить место.
Ну и собственно всё.
Бэкап - вот что важно. Есть другие облака конечно, этот нашёл самым удобным для бэкапа.
Бэкап. Бэкап. Ещё раз - бэкап.

Disclosure: к Amazon никакого отношения не имею.

Chypachyps13 писал(а):

Просмотр доступен только для зарегистрированных пользователей

И по поводу антивируса, ему пофиг на ваш антивирус

Не спорю..
Но. 3 года назад недошифровальщик положил всю рабочую сеть у меня работе. Это была жесть, именно в день печати, когда выходит газета (верстаются последние полосы, проверяются все полосы на орфографию, вносится правка в последний момент и в путь на ftp типографии). Так вот, на всех системах стоял EsetNod32 (лицензия, на контрактной основе) и заражение прошло моментально по всей сети (14 рабочих компа и датацентр).... Мент принес на флешечке со сводкой для печати в сми... И все это за час до отправки в печать. Как Вы думаете))) Какие глаза были у всех, когда все файлы пропали и создавались дубляжи (папок, файлов). Газета в тот день не вышла, убыток в 68к руб. за опоздание на 2 дня (логистика, очередь в печать и т.д). Вылечили банально. Касперским, вероятно Ноду было пофиг что вообще происходит, он был в очках. Итак, найдено, если мне память не изменяет, около 3 миллиардов зараженных файлов. Больше в редакции никогда не было Нода и не будет. Но конечно это не такой шифровальщик, но все равно, бед может доставить и такой нубовирус. Уже давненько на всех системах bitdefender. Тфу.. тфу.. тфу, никаких проблем.

Woktor56
Вот как бы так сказать.... что такое антивирус...
Это каска. Одинаково что ходить в загруженный день под крышами цеха цементного завода в каске. Вроде и ничего не может такого случиться, да и каска мешает, создает дискомфорт и неудобства, да и вид придурковатый, но вот и порыв ветра... может просто увесистый болт с крыши упасть, который валялся там фиг знает сколько, а может и труба или хуже того, оборвется 3 тонный бэк с козлового крана, с высоты 4-х этажей, а может и вообще ничего. Так нужна ли каска?

Что такое вирус?Я с 95 года ни разу не встречал! Вот когда антивирус ставил ради интереса он чото писал и пищал пришлось его снести и больше никогда не ставить!Проблема решена!

Извиняюсь возможно за нубский вопрос, но что будет если попробовать восстановить удаленные файлы акронисом. Понятно, что какая-то часть файлов будет утеряна из-за перезаписи, но какую-то все же удастся восстановить.

diversant писал(а):

Я уже запустил Каспера!!!
Так что можно быть спокойным, я прав?!

После заражения wanna cry в начале мая и сноса винды не стал никакой антивирь ставить. Не вижу больше в них смысла. До этого стоял авира с последними обновами. Но без обнов на винду. Теперь лишь обновы+ маленькая прога(проактивная защита). Несколько месяцев до этого на работе шифровальщика словил - стоял последний Каспер.

mnimm писал(а):

Извиняюсь возможно за нубский вопрос, но что будет если попробовать восстановить удаленные файлы акронисом. Понятно, что какая-то часть файлов будет утеряна из-за перезаписи, но какую-то все же удастся восстановить.

Если включено теневое копирование можно восстановить 100 процентов инфы, или почти 100 процентов. Для этого годится даже простая служба Защиты системы.

з.ы. тут только вопрос в "свежести" восстановленного..

mesergal писал(а):

Сегодня на работе это чудо похе...л все данные. Даже антивируску. Комп находился в корпоративной сети.

А что находилось именно на этом компе? (для статистики).

Chypachyps13 писал(а):

Работу я храню на облачных дисках, при том не на одном, а на 3 сразу параллельно.

Мониторинг изменений и синхронизация по умолчанию? Автоматическая? Или руками каждый файл забрасываете?
Если автоматом, то намек ведь понят?

Kalex писал(а):

Chypachyps13 писал(а):

Работу я храню на облачных дисках, при том не на одном, а на 3 сразу параллельно.

Мониторинг изменений и синхронизация по умолчанию? Автоматическая? Или руками каждый файл забрасываете?
Если автоматом, то намек ведь понят?

в гугле есть восстановление предыдущей версии файла

и вообще xdata меняет расширение файла, т.е. создает новый файл, так что копии файлов в облаке могут остаться. Но не проверял

Tets писал(а):

Пингвиноводов спасает исключительно крайне низкая популярность их ОСей и ничего более, а байки про неуязвимость быстро развеются после того, как линуксы перешагнут порог хотябы 10%..

Истина. Для авторов зловредов не существует каких либо ограничений. Наивно полагать что линукс - неуязвимая ОС. В планы зловреда пока не входят атаки на домашние компьютеры. Цели другие. Масштабнее.