Newsgroup: it.comp.os.win.windows7
Titolo: CRYPTOLOKER

 
Porca troia, scusate il linguaggio non propriamente educato,
 
ho beccato il virus in oggetto e adesso sull'altro PC ho tutti i file 
criptati.
Che faccio?
Pago (non ho idea di quanto vogliano) oppure esiste un sistema affidabile 
per ripristinare il tutto in modo certo e in tempi brevissimi?
 
P.S. - non apro messaggi strani, non apro link strani, ecc. ecc. per cui non 
capisco come abbia fatto a beccare il virus. Bitdefender ufficiale (a 
pagamento) non lo ha rilevato.
 
Grazie in anticipo
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 


Se non hai un backup puoi dire addio ai tuoi file.
E' anche pagando (quanto?) non hai la certezza che ti mandino poi la chiave 
di decrittazione.

 ha scritto nel messaggio
news:XnsA55F83DE54194...@94.75.214.90
 

Vero, ma sembrerebbe che la somma che chiedono sia modesta. poche decine di 
euro. (almeno mi dicono, non li ho certamente contattati io).
Almeno per ora. :-( :-(
 
Però se ti mandano la chiave di decrittazione oltre all'incasso dei soldi si 
saprebbe che pagando il problema viene risolto, almeno per un po' di tempo. 
Insomma, potrebbe anche funzionare.
 
 
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 

 Insomma, potrebbe anche funzionare.
 
Dipende. Potrebbero anche mandarti una chiave farlocca...
Da un cliente mi è andata bene e hanno recuperato, ma non tutto. Alcuni 
file sono risultati comunque illeggibili dopo la decrittazione.
 
Un consiglio. Cerca di capire esattamente che versione di Cryptolocker 
ti sei beccato e metti da parte i file criptati. Presto o tardi 
qualcuno troverà le chiavi ed i tool giusti come avvenuto in passato, 
ma potrebbero volerci mesi.

 un po' di tempo. Insomma, potrebbe anche funzionare.
 
per favore, potresti fare uno sforzo sincero di memoria e 
concentrazione per ricordarti che cosa e quando esattamante è successo 
?
Sarebbe molto utile
per esempio se pensi di aver apertouna qualche mail, o girato in 
qualche sito, o chat, o non so che.
Sì, hai già detto, ma un piccolo sforzo...

 ha scritto nel messaggio
news:n39jq7$62v$
1...@speranza.aioe.org
 

-- 
 
Ho giusto giusto un HD nuovo di zecca da 1.63 terabyte.
Proverò a trasferire tutti i file criptati.
 
Come debbo fare per capire la versione di cryptoloker?
Confesso che mi è venuta una paura folle di fare passi sbagliati.
A prescindere, come elimino poi il maledetto virus?
Lo so che la sua eliminazione non mi decripterà i file criptati, ma almeno 
che non sia ripetuta l'operazione
 
 
 
 
Giampaolo Natali
giampaol...@alice.it
 
 
 


l'ho preso lo scorso agosto, per fortuna ce ne siamo accorti abbastanza 
in fretta ma aveva già iniziato a propagarsi per la LAN dell'ufficio e 
alcuni pc avevano archivi e documenti rovinati irrimediabilmente. tanto 
da impedire ad alcuni software di avviarsi.
nessuno dei tecnici di assistenza ai software (parlo da uno studio 
commercialista) ci aveva dato speranze, se non quella di formattare 
tutto e reinstallare recuperando gli archivi dai backup che avevamo ed 
erano integri. significava giornate di lavoro ed erano gli ultimi 
giorni prima delle ferie di agosto.
googlando sono finito su questo sito: 
http://www.decryptolocker.it/
 
una società di Firenze.
ho seguito le loro istruzioni e nel giro di mezza giornata mi hanno 
mandato un decrittatore che ha recuperato TUTTI i file corrotti, per la 
modica cifra di 70 euro, regolarmente fatturata. ho anche avuto una 
"chat" via mail con loro per alcuni chiarimenti sull'utilizzo e mi 
hanno sempre risposto, in italiano corretto, quindi non parlavo con un 
cinese o un russo.
può darsi benissimo che siano loro gli stessi colpevoli dell'infezione 
che gira, non lo so. a me è bastato recuperare tutto

 ha scritto nel messaggio
news:n39jq6$62u$
1...@speranza.aioe.org
 

Allora, stamattina ho girato per alcuni siti di belle bimbe, quelli soliti 
per me, ho aperto alcuni link promossi da partecipanti a NG, partecipanti 
che conosco da tempo, naturalmente via NG e non di  persona.
It.hbby.cucina, it.diritto, it.diritto.condominio, it.diritto.assicurazioni, 
it.hobby.fai.da.te, it,hobby.elettronica.
Non partecipo a chat o social network, quindi non entro in siti del genere. 
A proposito, spesso e volentieri vengo invitato ad aggiornare flash player o 
Java. Dall'indirizzo del sito mittente capisco che non è il caso e chiudo le 
finestre relative senza accedervi. Insomma, sarebbe il primo virus che mi 
entra dopo una decina d'anni e sarebbe il secondo della mia vita 
informatica.
 
P.S. - Circa i siti di belle bimbe, chiudo immediatamente siti ai quali 
vengo, non da me richiesto, indirizzato.
 
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 

 quali vengo, non da me richiesto, indirizzato.
 
grazie delle precisazioni, non so che dire.
Sembrerebbe che tu faccia cose che "sei invitato" a fare, piuttosto che 
farle di tua iniziativa, forse qui la risposta.
Io frequento moltiiii siti di bimbe, in questo caso il sito deve essere 
quello e solo quello, senza reindirizzamenti.
Dai vari NG uso diversi link, finora senza conseguenze.
anche io non partecipo a social network, forse ad una chat, dove 
comunque non esistono links.
Flash e Java: non sono MAI caduto in questo tipo, evidente, di 
trappole.
Posta, ne ricevo poca, di default va tutta in spam, tranne pochi 
indirizzi conosciuti.
Una nota casella email sto per abbandonarla per eccesso di cacca.
E infine ho un grosso file Hosts, più AdBlockPlus per ognuno dei 
browser che uso.
Tempo fa mi sembrò di trovarmi una strana pagina che recitava che io 
fossi stato criptato. Pazzesco, sarà stato vero ?
Bene, ma in questo caso io ero in Sandbox: tutto dissolto in polvere.

per me, 
 
Riguardo a questo ti posso ripetere quello che ho detto ad uno che mi portava
spesso il pc infetto da ripulire perchè faceva dei sextour, oltrettutto senza
nemmeno usare Firefox con plugins come Noscript e Adblock, che un minimo di
protezione la offrono.
 
Scarica e installa Virtualbox e crea una v.m. con una distro Linux, a me piace
Lubuntu ma puoi mettere su Mint o qualunque altra, poi puoi usare il browser
della distro (tipicamente Firefox) per navigare, in questo modo sei al sicuro
dai virus e da cose come Cryptolocker.
 
Se vuoi anche avere su Win dei files che scarichi mentre navighi, come ad
esempio delle immagini jpg, devi installare anche le Guest Additions di
Virtualbox, poi crei una cartella condivisa, la monti e puoi avere in win quello
che scarichi
 
Qui lo spiega meglio:
http://www.pcpercaso.com/software-download/sistema/127-virtualbox-3-cartelle-condivise-in-guest-linux.html
 
 
non è difficile, sempre meglio che pigliare delle bestiacce come quella che ti
sta dando dei problemi, e si impara anche qualcosa.
 
-- 
ciao
  Stefano

 che scarichi
 
Questo è rischioso con CryptoLocker, perché cifra anche i file in rete. 
In teoria, dovrebbe cifrare solo le cartelle montate come drive, ma 
viste le varianti in circolazione, io non rischierei.
Discorso diverso per le cartelle condivise in sola lettura, ma non 
servirebbero per lo scopo di cui parli.
 
Cristiano
 

Il giorno Fri, 27 Nov 2015 17:33:48 +0100, Cristiano <cris...@NSgmail.com> ha
scritto:

Mah, considera che CryptoLocker è per Windows e non si può eseguire su un Linux,
quindi dovrebbe prima salvare un file infetto, che una volta era un qualcosa
come "Fattura.doc.scr", e poi cliccarci su da Win.
 
Una cosa teoricamente possibile ma è un farsi male da solo, io consigliavo la
cartella condivisa per chi volesse salvare roba tipo immagini, ovvio che deve
prestare attenzione ai nomi e alle estensioni di quello che salva, ma direi che
siamo su un altro llivello.
 
 
-- 
ciao
  Stefano

 siamo su un altro llivello.
 
Senz'altro d'accordo.
 
Cristiano
 

 Insomma, potrebbe anche funzionare.
 
e chi si fida?
nel mio caso, fortunatamente, si trattava di files su dropbox che erano 
presenti anche su un altro pc. E' bastato disattivare la 
sincronizzazione per evitare di riscaricarsi i files crittografati, 
cancellare quelli compromessi e usare quelli buoni.

 che non sia ripetuta l'operazione
 
Consiglio: non scrivere sotto le due lineette "--" sennò molti 
newsreader lo considerano firma e in alcuni casi non fanno vedere il 
messaggio.
 
Detto questo, di base il bastardone deve essere stato pur acchiappato 
da qualche antivirus/antimalware. Controlla i log. Se così non fosse 
vuol dire che ce l'hai ancora a bordo e potrebbe saltar fuori in un 
secondo momento (da un mio cliente ha fatto così).
Una volta capito qual'è il file infetto, l'antivirus/antimalware ti 
dirà come si chiama la bestia (ogni prodotto assegna nomi suoi... è 
facile che alla stessa bestia vengano assegnati nomi diversi da diversi 
antivirus). A quel punto cerchi info in rete, magari sui siti dei vari 
produttori di antivirus, in particolare su quello che te l'ha 
individuato (so che Kasperksy ha sviluppato diversi tool specifici) e, 
se sei fortunato, qualcuno ha già la chiave e gli strumenti per 
decrittare i file compromessi.
 
Dal mio cliente, l'unico antimalware che è riuscito ad individuare il 
colpevole è stato l'Emsisoft Emergency Kit (ma per il recupero dei 
documenti criptati non c'è stato nulla da fare)

 ha scritto nel messaggio
news:n39qnf$mua$
1...@speranza.aioe.org
 

So di altra persona che ha pagato i 70 euro alla ditta di Firenze.
Lunedì mattina dovrei conoscere anche il risultato dell'operazione.
 
Aggiornamento di cryptoloker:
 
il maledetto si è messo all'opera ieri mattina alle ore 7:35 circa, e in 
pochissimi minuti ha completato l'opera :-(
I simpaticoni mi chiedono, come riferito qui da Skiwalker, 0,99 bitcoin, e, 
oltre a tutte le istruzioni dove acquistare il bitcoin in Italia,  mi danno 
tempo fino al 3 dicembre prossimo per pagarli.
Insomma, un po' di tempo ce l'ho.
Con manovra kamikaze, sono ri-entrato in uno dei siti di belle bimbe che, di 
norma, guardo di prima mattina. Ebbene, parrebbe che i nuovi file scaricati 
non vengano criptati. Almeno fino a 10 minuti fa quando ho spento il PC 
infetto ed acceso questo da cui scrivo.:-) :-). Funziona l'anteprima, sono 
foto in formato .jpg, ma naturalmente tutto il resto no, tipo Paint Shop Pro 
o similari. Nemmeno tutti i programmi vanno, outlook compreso, mancando il 
riferimento ai file criptati.
 
Buona giornata
 
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 


aggiungo anche che la finestra con il messaggio del "riscatto" sono 
riuscito ad eliminarla semplicemente con malwarebytes. perchè quella 
schermata appare anche dopo che il virus si disattiva con il primo 
spegnimento del pc. mbam ha notificato quali erano i files infetti e li 
ho fisicamente cancellati dal pc.
poi per non saper nè leggere nè scrivere, come si dice, l'hard disk del 
pc da cui è partita l'infezione è stato comunque sostituito e 
reinstallato quello che c'era da reinstallare

 Lunedì mattina dovrei conoscere anche il risultato dell'operazione.
 
news da questi che hanno pagato la ditta di Firenze?

 news da questi che hanno pagato la ditta di Firenze?
 
 
Sě, tutto ok.
 
A questo punto mi sono rivolto a loro ma a me hanno chiesto 220 euro + iva.
Perň compresa la licenza per un biennio dell'antivirus "security space" .
Sto attendendo l'indirizzo e-mail per pagare a mezzo paypal.
Riferirň i risultati.
 
 
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 

 Riferirò i risultati.
 
ok, ma anche se a me, credo e spero, non servirà mai, potrai dire il 
nome di questa ditta ?


basta che vai sul sito che ho linkato io 
www.decryptolocker.it
 e segui 
le istruzioni per contattarli.  comunque in fondo al sito è riportata 
la ragione sociale e la p.iva, come per tutte le aziende che hanno un 
sito. spero di non infrangere qualche netiquette a copiarla qui:
netWork s.a.s.   Via E. Spinucci 39/41, 50141 (FI)  |  P.IVA: 
05345670482
non ho nessun interesse in questa cosa intendiamoci, sono stato una 
vittima anch'io del virus e penso di fare bene a condividere con voi la 
soluzione che mi ha salvato, dopo aver passato una notte al pronto 
soccorso con la gastrite per la paura di quanto pensavo di aver perso 
irrimediabilmente

 Riferirò i risultati.
 
probabilmente hanno fiutato il business....
anch'io avevo 1 anno di licenza a qualche antivirus che non ricordo ma 
non l'ho sfruttata

 ha scritto nel messaggio
news:n3hsbk$9og$
1...@speranza.aioe.org
 

Ulteriore aggiornamento:
 
mi hanno rimandato uno dei miei file debitamente decrittato, come prova 
provata della effettiva possibilità di recuperare tutti i file del mio PC. 
In compenso la cifra finale richiesta è stata ridotta a 150 euro + Iva 
comprensiva di due anni di licenza per l'antivirus Dr.Web Security Space. 
(russo)
Domattina parte il bonifico urgente
 
 
-- 
Giampaolo Natali
giampaol...@alice.it
 
 
 

Giampaolo Natali ha scritto:

stessa procedura con me: prima mi hanno mandato dei file decrittati a 
dimostrazione dell'efficacia del loro sistema, poi dopo il bonifico 
l'eseguibile finale.
N.B.: a me hanno detto che ogni pc avrebbe avuto bisogno di un 
eseguibile diverso, quindi forse mi avrebbero chiesto altri soldi per 
ciascuna macchina.
in realtà ho usato lo stesso file che mi hanno mandato (creato sul 
campione di 2 file criptati partiti dal pc origine dell'infezione) su 
tutti gli altri pc che sono stati intaccati. in effetti il pc da cui è 
partito il virus era 1 soltanto, gli altri invece avevano dei file 
criptati in quanto sono stati raggiunti dal virus attraverso la LAN.
comunque ha funzionato su tutti.

 comunque ha funzionato su tutti.
 
Naturale che l'eseguibile che ha criptato e la chiave generata fossero
gli stessi.
 
Sarebbe stato diverso se due sistemi avessero contratto l'infezione in
maniera separata o in momenti differenti. (forse)
 
Rimane da capire in quale maniera Giampaolo si sia trovato in questa
situazione perche', per quanto possibile, e' poco probabile che il
fattaccio sia avvenuto a causa delle ragazze carine.
 
 

 fattaccio sia avvenuto a causa delle ragazze carine.
 
nel mio caso l'utente che ha contratto il virus ha cercato di aprire un 
PDF infetto allegato ad una finta email di WIND. ci ha provato anche 2 
volte perchè non riusciva ad aprire l'allegato......
appena mi ha mostrato la mail chiedendomi perchè, secondo me, non si 
apriva il file, ho riconosciuto subito l'aspetto poco credibile del 
messaggio ma nel frattempo il virus era partito

 
 
"IlGava"  ha scritto nel messaggio news:n3ie7d$q20$1...@speranza.aioe.org...

------
 
Presumo di averlo contratto tramite mail che, inconsciamente e stupidamente 
ho aperto.
Il dubbio mi viene da una nota relativa all'antivirus di cui mi hanno 
gentilmente fornito la licenza per due anni.
Infatti affermano che cryptoloker non potrà entrare nel PC via mail 
..............
Mah!!!
 
Comunque il PC adesso è ripulito dalla criptazione, ma è ancora abbastanza 
pieno di file criptati.
Questo in quanto l'exe che mi hanno mandato genera nuovi file identici a 
quelli criptati ma non elimina i precedenti.
Nel mio PC i file criptati erano la bellezza di oltre 45.000 + i due file 
per ogni directory che spiegano come pagare per ottenere la chiave.
Fate un po' voi......
OK, che non disturbano, almeno non dovrebbero disturbare il macchinista, ma 
insomma, qualche Gbyte  lo libererò a operazione di pulizia terminata.
 
Sono in attesa della fattura di euro 183,00 iva compresa.
 
 
 
 

 
 
"Giampaolo Natali"  ha scritto nel messaggio 
news:dc63d3...@mid.individual.net...

-----------
 
a proposito , non c'è un'anima pia che abbia voglia di studiare un 
programmino che:
 
- cerchi in ogni directory file *.encrypted e lo elimini
- cerchi in ogni directory i file ISTRUZIONI DECRITTAZIONE.txt e .html e li 
elimini?
 
Sarebbe di grande aiuto a me adesso e successivamente ad altri sfigati che 
si trovassero in situazione analoga. :-) :-) :-)
 
 
 
 
 
 

 Sono in attesa della fattura di euro 183,00 iva compresa.
 
Beh, tutto e' bene quel che finisce bene. Almeno, cosi', anche se hai
speso comunque qualcosa, sei certo del risultato.
 
 
 

 trovassero in situazione analoga. :-) :-) :-)
 
credo che se metti semplicemente nel campo in alto a destra di esplora 
risorse il filtro *.encrypted e gli altri, partendo dalla radice C:\ ti 
elenca tutti i file con quella estensione anche se presenti in 
sottocartelle. a quel punto li selezioni tutti e li elimini in un colpo 
solo

 sfigati che si trovassero in situazione analoga. :-) :-) :-)
 
del /s *.encrypted
del /s *.istruzioni decrittazione.????

Zipper ha affermato :

correggo
del /s *.encrypted
del /s *.istruzioni decrittazione.txt
del /s *.istruzioni decrittazione.htm*

 di euro. (almeno mi dicono, non li ho certamente contattati io).
 
ho letto 399 entro 5 ore o 798 oltre. 
 

 
 
Everything

si trovassero in situazione analoga. :-) :-) :-)
 
 
Pronto, ho modificato un file di esempio della ricorsione che avevo usato per
eliminare alcuni tipi di files da un HD.
 
Istruzioni:
 
Apri Notepad, copia il testo tra le righe lunghe in un file
 
Modifica la stringa con la directory di partenza da "E:\"
 a quello che ti serve
 
Salva con il nome "Search_Delete.vbs"
 
Eseguilo con i permessi amministrativi.
 
ATTENZIONE: per sicurezza il file non è ancora abilitato per cancellare ma solo
per elencare i files da cancellare, per abilitare l'eliminazione devi togliere
l'apostrofo prima di
		'objFile.Delete
che diventa
		objFile.Delete
e se metti un'apostrofo prima dei	Wscript.Echo    non si ferma ogni volta
 
Non mi assumo responsabilità varie ed eventuali
 
Good job.
 
______________________________________________________
 
DIM strExtensionsToDelete,strFolder
DIM objFSO
 
' ************************************************************
 
' Scegliere la cartella di partenza (con le sottocartelle)
strFolder = "E:\"
 
'Scegliere le estensioni separate da una virgola
strExtensionsToDelete = "encrypted,"
'Nome dei files completi da cancellare
FileDel1="Istruzioni Decrittazione.Txt" 
FileDel2="Istruzioni Decrittazione.Html" 
 
' ************************************************************
 
set objFSO = createobject("Scripting.FileSystemObject")
 
FileDel1=UCase(FileDel1)
FileDel2=UCase(FileDel2)
 
RecursiveDeleteByExtension strFolder,strExtensionsToDelete
 
Wscript.Echo "Finished"
 
'------------------------------------
 
Sub RecursiveDeleteByExtension(byval strDirectory,strExtensionsToDelete)
   DIM objFolder, objSubFolder, objFile
   DIM strExt
 
     Set objFolder = objFSO.GetFolder(strDirectory)
     For Each objFile in objFolder.Files
        For Each strExt in Split(UCase(strExtensionsToDelete),",")
	If Right(UCase (objFile.Path),LEN(strExt)+1) = "." & strExt then
		Wscript.Echo "Deleting:" & objFile.Path
		'objFile.Delete
		Exit For 
	End If 
        Next
 
   If UCase(objFile.Name) =FileDel1 Or UCase(objFile.Name) =FileDel2 Then
		Wscript.Echo "Deleting:" & objFile.Path
			'objFile.Delete
   End If
 Next	
 
'**** MAIN ******
 
    For Each objSubFolder in objFolder.SubFolders
      RecursiveDeleteByExtension objSubFolder.Path,strExtensionsToDelete
    Next
 
End Sub
 
______________________________________________________
 
 
-- 
ciao
  Stefano

 
 
"SB"  ha scritto nel messaggio 
news:mqdt5b1c1guqnt06i...@4ax.com...

Grazie mille.
 
Ormai sono alla fine della pulizia, ma ne mancano ancora, a occhio e croce, 
almeno un migliaio.
Quindi provo il tuo programma. 
 

Ho inviato a Cryptolocker.it 2 file di un mio cliente (estensione vvv) e mi hanno risposto che per il momento non c'è soluzione al mondo. :(

 criptati.
 
Giusto per curiosità.. ok recuperare i files, ma il virus in sé come si
toglie? C'è qualche strumento specifico, visto che l'antivirus ha
fallito in questo caso?
 
-- 
roughnecks
In teoria la pratica è come la teoria. In pratica non lo è.

 fallito in questo caso?
 
a me l'ha rilevato malwarebytes con una scansione successiva 
all'infezione, quando ormai la frittata era fatta. eliminando i files 
che mbam ha messo in quarantena, non si è più presentata neanche la 
schermata di richiesta del riscatto, che si visualizzava anche una 
volta che la criptazione dei files era finita con lo spegnimento del pc


Grazie :)


 gira, non lo so. a me è bastato recuperare tutto
 
tranquillo, non credo proprio siano gli stessi.
Quelli del virus non sono certo raggiungibili telefonicamente. Anzi, 
per pagare dovrai con tutta probabilita' usare tor, tanto per evitare 
di tracciarli con i normali sistemi di indagine


 
 
Quindi, scudi alzati, backups pronti e occhio alla penna!
 
 
 

 Quindi, scudi alzati, backups pronti e occhio alla penna!
 
Le vulnerabilità di Wordpress ormai stanno raggiungendo i livelli di 
quelli di Flash o Java...
Dall'articolo, però, non si capisce quali vulnerabilità "locali" 
sfrutti per entrare nel PC