Newsgroup: it.comp.os.win.windows7
Titolo: Come eliminare infezione Ramsomware MP3 estenzione file?

Per aver aperto un allegato della posta mi trovo ad aver perso tutte le
immagini e i documenti personali. In tutti i file c'è venuta
l'estensione MP3 audio e praticamente ho perso tutto.
Ho già provato diversi antivirus e antimalware, ma senza successo.
Rimarrebbe l'ultima opzione, quella di agire manualmente sul registro,
ma non sono un informatico e senza un aiuto da qualcuno non ce la posso
fare.
Qui ci sarebbe una procedura, ma mi sono arenato subito al primo punto.
Difatti ho aperto task manager, ma mi sono apparsi solo dei diagrammi.
La procedura sarebbe qui:
http://spywarecure.com/it/rimuovere-virus-di-estensione-di-file-mp3/
 
 
Naturalmente è sottinteso che avevo anche usato l'antimalware proposto
nel sito (e pagato anche molto) ma senza successo. Sembra che questo
virus qui sia molto più potente di tutti gli antivirus attualmente
esistenti.
Difatti, dopo che avevo aperto l'allegato, l'antivirus del pc mi aveva
subito avvisato del virus e l'aveva messo in quarantena, ma si vede che
ormai aveva già infettato tutto il sistema.
Se c'è qualcuno che ha voglia di darmi una mano, lo ringrazio di cuore.
 
 
Giovanni  
 
 
 
-- 
Giovanni
 


Formatta e reinstalla l'OS. Fai prima.


Purtroppo è una soluzione alquanto drastica... ma se non potesse farlo 
occorre togliere l'infezione e il pc può tornare usabile (l'ho già fatto in 
4 pc...)
Per l'estensione .mp3 si può tentare di rimettere l'estensione giusta 
manualmente o usare uno dei tanti tools a disposizione.
Per l'amico infettato: se m scrivi in PVT cerco di risolverti il problema in 
assistenza remota con teamviewer
 
 
 
 
 
 
 
 
 
 
 
-- 
Don Fizzy © on 910R.
"Non c'é trucco non v'é inganno"
       /)/)
      ( '.')
   o(_('')('')   That's all, folks!
Nessun bit è stato maltrattato
per spedire questo messaggio.
 
 

 problema in assistenza remota con teamviewer
 
 
Ma questo è un crypto virus, rinominare i file, se non si ha la chiave di 
decodifica, è inutile.
 


Se per caso lo formatti, mettici un nprogramma similare ad Acronis True 
Image....una volta sistemato il pc gli fai fare una copia del so in modo 
tale che se dovesse ricapitare, basta fargli fare tramite lo stesso 
programma il restore ed in 10/15 minuti riottieni il pc funzionante alla 
data del backup...

 fare.
 
Mi spiace, ma non basta una modifica del registro per recuperare i 
file.
Non si tratta di una semplice rinomina. I documenti sono stati criptati 
e non saranno recuperabili (a breve).
Molto probabilmente il virus in se (inteso come l'eseguibile che ha 
criptato i dati) non è già più presente nel sistema se il tuo antivirus 
l'ha beccato, anche se tardivamente.
Per esserne sicuro, lancia il comando "msconfig" e guarda nella sezione 
"avvio". Sicuramente troverai delle voci strane, tipo una serie di 
lettere a casaccio... guarda a che percorso portano, ed eventualmente 
vai a cancellare manualmente quel file (altrimenti riparte 
automaticamente ogni volta che riavvii il pc).
Per quanto riguarda i dati, se non hai un backup da cui recuperarli e 
se il virus è riuscito a cancellare le shadow copies (pulsante destro 
su una cartella, "proprieta", "versioni precedenti", e vedi se c'è 
qualcosa nella lista), puoi fare una sola cosa: copia tutto su un disco 
esterno o una chiavetta e mettili via. Come è capitato per altre 
infestazioni, forse tra qualche tempo (settimane o mesi) verranno 
scovate le chiavi di decriptazione, e allora potrai decrittare i tuoi 
documenti


Esattamente... ci sono alcuni tentativi da fare ma sono quasi inutili
(parlo di software di recupero dati e la shadow copy ma non si trova 
granchè)
Però pulire il sistema e farlo tornare marciante é possibile: già fatto 
altre volte.
Per i dati basta che abbia un backup altrimenti è meglio SALVARLI in qualche 
hd esterno ed aspettare che siano rese pubbliche le chiavi di cifratura.


Zampieri Massimo wrote:
 
[...]
 
|| Se per caso lo formatti, mettici un nprogramma similare ad Acronis
|| True Image....una volta sistemato il pc gli fai fare una copia del
|| so in modo tale che se dovesse ricapitare, basta fargli fare tramite
|| lo stesso programma il restore ed in 10/15 minuti riottieni il pc
|| funzionante alla data del backup...
 
Saggio consiglio



Quoto tutto.


 ha scritto:

Mi ero dimenticato di dire che, con il virus, è arrivato anche il
messaggio sul pc dagli autori del programma infestante, che se voglio
rivedere i miei file devo pagare un "riscatto". E segue tutta una serie di
indicazioni su come fare per pagarlo.
Copio e incollo il messaggio, poi mi dite cosa ne pensate. Devo pagare
oppure no? Fra l'altro non so neanche a quanto ammonterebbe la cifra,
perché non ho neanche il coraggio entrare in questo giro infernale.
Voi riuscite a capire quanto sarebbe il prezzo? 
Ah, ad una denuncia, neanche a pensarci, vero? 
 
Ecco il testo che è apparso sul pc:
NON tua lingua? UTILIZZARE 
https://translate.google.com
 
 
Che cosa è successo ai file?
Tutti i file sono stati protetti da una crittografia forte con RSA-4096.
Maggiori informazioni sulle chiavi di crittografia utilizzando RSA-4096
può essere trovato qui: 
http://en.wikipedia.org/wiki/RSA_(cryptosystem)
 
 
Come è successo ?
!!! Specialmente per il vostro PC è stato generato personale RSA-4096 KEY,
sia pubblici che privati.
!!! Tutti i file sono stati crittografati con la chiave pubblica, che è
stato trasferito al computer tramite Internet.
!!! Decrittografia dei file è possibile solo con l'aiuto della chiave
privata e decifrare programma, che è sul nostro server Segreto
 
Cosa faccio ?
Quindi, ci sono due modi in cui puoi scegliere: aspettare un miracolo e
ottenere il prezzo raddoppiato, o avviare l'ottenimento di Bitcoin ADESSO!
, E ripristinare i dati in modo semplice.
Se si dispone di dati davvero preziosi, è meglio non sprecare il tuo
tempo, perché non c'è altro modo per ottenere i file, ad eccezione di
effettuare un pagamento.
 
Per informazioni più specifiche, si prega di visitare la vostra home page
personale, ci sono alcuni indirizzi diversi che puntano alla tua pagina di
seguito:
1. 
http://prest54538hnksjn4kjfwdbhwere.hotchunman.com/6E3338E4717BDBE
 
2. 
http://b4youfred5485jgsa3453f.italazudda.com/6E3338E4717BDBE
 
3. 
http://5rport45vcdef345adfkksawe.bematvocal.at/6E3338E4717BDBE
 
Se per qualche motivo gli indirizzi non sono disponibili, attenersi alla
seguente procedura:
1. Scaricare e installare Tor-Browser:
http://www.torproject.org/projects/torbrowser.html.en
 
2. Al termine dell'installazione, eseguire il browser e attendere
l'inizializzazione
3. Digitare nella barra degli indirizzi: fwgrhsao3aoml7ej.onion /
6E3338E4717BDBE
4. Seguire le istruzioni sul sito.
 
---------------- INFORMAZIONI IMPORTANTI------------------------
* - * - * Le vostre pagine personali:
http://prest54538hnksjn4kjfwdbhwere.hotchunman.com/6E3338E4717BDBE
 
http://b4youfred5485jgsa3453f.italazudda.com/6E3338E4717BDBE
 
http://5rport45vcdef345adfkksawe.bematvocal.at/6E3338E4717BDBE
 
* - * - * La sua pagina Tor-Browser: fwgrhsao3aoml7ej.ONION / 6E3338E4717BDBE
 
-- 
Giovanni
 

 messaggio...
 
Non era neanche necessario specificarlo... sono tutti così i 
ransomware.
Quello che hai preso tu si chiama Teslacrypt 3...
Non pagare! Metti i tuoi dati (criptati) su un disco esterno o su una 
chiavetta e tienili lì. Ogni tanto, nei prossimi mesi, torna qui e 
chiedi se, per caso, è stata trovata la chiave per decrittare 
Teslacrypt 3.
Hai provato a vedere se le shadow copy esistono ancora come ti ho 
indicato?

indicazioni su come fare per pagarlo.
 
You did not pay in time for decryption, that`s why the decryption
price increases 2 times. At the moment, the cost of
decrypting your files is 1000 USD. In case of failure to 13/03/16 your
key will be deleted permanently and it will
be impossible to decrypt your files. 
 
Questo e' quello che chiedono :-D
 

I backup fatti con Acronis (.tib) , sono soggetti ad essere criptati 
come gli altri ?
Lo chiedo perchè facendo molte installazioni/disinstallazioni di 
programmi mi tengo sempre un backup di scorta a disposizione sull'HD per 
ripristinare tutto al volo se qualcosa non va...

 come gli altri ?
 
Sì.
 
Bye, G.

ripristinare tutto al volo se qualcosa non va...
 
Il backup č meglio se lo fai su un disco esterno poi lo stacchi e lo ricolleghi
solo quando ti serve.
 
Inoltre in caso di immagini di sistema č sempre meglio averne piů di una
(cancelli la piů vecchia) in modo da poter sempre ripristinare in qualche modo.
 
 
-- 
ciao
  Stefano

 (cancelli la più vecchia) in modo da poter sempre ripristinare in qualche modo.
 
D'accordo, anche se ripristinare il "sistema" è in effetti il minore dei 
problemi. Per quello basta un disco d'installazione e il tempo di 
reinstallare i programmi. La vera rogna dei ransomware è la perdita di 
documenti personali, proprie foto, testi, ecc, che non si possono creare 
nuovamente con una semplice reinstallazione.

 decodifica, è inutile.
 
 
Per chi mastica l'inglese, di questa variante che rinomina in mp3 se ne 
parla in
 
http://www.bleepingcomputer.com/news/security/new-teslacrypt-variant-now-uses-the-mp3-extension/
 
 
 

nuovamente con una semplice reinstallazione.
 
I ransomware mirano ai dati, difatti qui facciamo il backup dei dati tutte le
sere sul NAS, che ha gli account SMB in R/O ed è al sicuro dai cryptovirus, e
l'immagine dei pc una volta a settimana su un disco conservato in un altro
luogo.
 
Dati i tempi che corrono mi sembra il minimo.
 
-- 
ciao
  Stefano

 Dati i tempi che corrono mi sembra il minimo.
 
Il problema è se anche il software di backup usa samba, però...
 
Che software consigli per sincronizzare file e folder nell'archivio su 
NAS, e su che protocollo?
 
 

 su che protocollo?
 
Per il backup ho fatto uno script in Python, che comprime le directory, 
usa un accesso FTP e la libreria FtpLib, è molto flessibile e 
adattabile a diverse esigenze, ha il versioning e può funzionare su Win 
Linux e Mac.
Di fatto il programma è sempre lo stesso ma cambiano le impostazioni su 
un file .ini
 
Comunque anche Cobian supporta Ftp e il versioning, ad esempio.
Magari è meno flessibile del mio, però è gia pronto.
 
 

 Diciamo che se l'ultima immagine è pulita,
o si può presumere che fosse pulita va bene,


 Magari è meno flessibile del mio, però è gia pronto.
 
Il tuo script si può scaricare?
 
 

 la faccenda.
 
forse non ho ben compreso io, ma mi pare logico che da windows non 
riesci ad effettuare cambiamenti sui permessi dei folders del nas, dato 
che il nas ha un proprio SO e dovrebbe essere pui a farlo.
 
-- 
Fri(END), Boyfri(END), Girlfri(END), Bestfri(END). Everything has an END 
except...Fam(ILY)! It Has 3 Letters that say I LOVE YOU

Il tuo script si può scaricare?
 
Il mio script è un cantiere aperto, nel senso che lo sto testando e modificando
spesso, adesso per esempio sto mettendo un sistema a 'token' oltre agli orari
schedulati, facendo in modo che il backup parta su ogni pc solo quando un altro
ha finito.
Ma ci lavoro a tempo perso.
 
Comunque si può scaricare quello da cui sono partito in Python 2.7, funziona ma
l'ho utilizzato soprattutto per vedere come usare la FTPlib e l'autenticazione
al login.
 
https://github.com/Johanndutoit/Zip-to-FTP-Backup/blob/master/backup_to_ftp.py
 
 
Mi sta piacendo Python, è il mio preferito dopo l'immortale VB classic.
 
-- 
ciao
  Stefano

 che il nas ha un proprio SO e dovrebbe essere pui a farlo.
 
Non è che non hai ben compreso tu... è che son io un lameraccio :D
Peraltro nelle proprietà win del folder condiviso e nei subfolder trovo 
selezionato l'attributo "Read-only (Only applies to files in folder)" , 
ma in effetti non è così, cioè i file contenuti sono modificabili.
 
Il problema è anche come dicevo che l'interfaccia del nas è limitata, 
quindi sto provando a inventarmi qualcosa.
Ora ho trovato un hack per loggarmi in ssh e accedere come root.
La mia idea sarebbe di associare un utente a un nuovo gruppo di users 
limitati, per non fargli ereditare i permessi di scrittura dagli users 
unix (a cui appartiene l'utente di backup).
 
Quindi in bash ho provato ad agire su un utente per "limitarlo"
 
#groups guardosolo
guardosolo: guardosolo users
cioè l'utente guardosolo apparteneva regolarmente al gruppo users
 
# groupmod -G "" guardosolo
cioè l'ho tolto dal gruppo users
 
# groupadd utentilimitati
cioè ho creato un nuovo gruppo utentilimitati
 
# groupmod -a -G utentilimitati guardosolo
cioè ho aggiunto guardosolo a utentilimitati
 
# groups guardosolo
guardosolo: guardosolo utentilimitati
cioè verifico che guardosolo sia in utentilimitati e non più in users
 
 
Salvo che... alla prova dei fatti, se mi loggo da win con guardosolo, mi 
consente ancora modifiche. Anche dopo un reboot.
 
I permessi sui file del backup sono 664 e sulle dir 775.
 
Cosa sbaglio? :)
 
 

 Cosa sbaglio? :)
 
uhm... 664 = RW proprietario, Rw gruppo, R per gli altri.
775 è sostanzialmente uguale solo con i permessi di esecuzione, quindi è 
normale che puoi modificarli, metti i permessi per il gruppo a 644, 
oppure non ho capito un piffero :-D


 Mi sta piacendo Python, è il mio preferito dopo l'immortale VB classic.
 
Grazie, provo a dare un'occhiata!
 

 oppure non ho capito un piffero :-D
 
Il fatto è che ho provato con un utente che 1. non è il proprietario 
(l'utente di backup) e 2. non appartiene al gruppo users (quello 
dell'utente di backup), quindi in teoria dovrebbe essere al livello R 
per gli altri.
 

 
Ciao,
al momento nessuno può aiutarti non essendoci ancora soluzioni per l' estensione mp3 - e nemmeno per quella LOCKY che "gira" da 2 giorni -
Ho 2 macchine di clienti ferme in laboratorio con lo stesso problema, problema peraltro molto costoso da correggere (si parla di circa 200 euro di spesa per la deripctazione).
 
Come ti hanno giustamente consigliato, fai un backup di tutti i file in attesa di novità.

 circa 200 euro di spesa per la deripctazione).
...
 
200 euro con quale sistema? brute force?

 per gli altri.
 
il produttore del nas ha un supporto? magari è una svista..


 200 euro con quale sistema? brute force?
 
http://www.decryptolocker.it/
 
Se qualcuno avesse valide alternative...
Loro sono gli unici che mi hanno risolto 5 criptazioni.

 un'idea sbagliata perché per impostare i folder da sincronizzare il
[...]
 
Retromarch! Non mi ero sbagliato. E' proprio come temevo. E' un limite 
di FreeFileSync che non si disconnette alla chiusura quindi lascia le 
credenziali samba utilizzate per il backup disponibili genericamente in 
Windows. L'autore è al corrente e ha promesso di correggere in una 
prossima versione.
Nel frattempo, l'unica soluzione, mi pare, è non dare autorizzazione 
permanente all'accesso ma volta per volta, e poi fare log out da win una 
volta terminato il backup :(
Oppure usare altri protocolli come già si diceva, e/o altri programmi se 
gestiscono meglio le credenziali.
Peccato perché FFS ha molte altre caratteristiche che mi piacciono. In 
realtà FFS permette anche sftp ma è il mio nas un po' rognosetto in quel 
campo, per ragioni di sicurezza... Forse dovrei installarci un diverso 
sshd, non so.
Oppure vado di ftp con un diverso programma di sync...

 Se c'è qualcuno che ha voglia di darmi una mano, lo ringrazio di cuore.
 
Io ti posso dare una mano concretamente ma molto limitatamente. I dati
che hai messo sono molto utili. Questi furfanti chiedono 2.4 bitcoin che
sono tanti soldi come già ti è stato detto, probabilmente solo le
aziende possono pagare questi importi.
 
Però si può fare una cosa gratuita ovvero decrittare un file a tua
scelta gratuitamente. Per fare questo vai qui con TOR browser:
 
fwgrhsao3aoml7ej.onion/6E3338E4717BDBE
 
e clicca su Decrypt 1 file for free:
 
We give you the opportunity to decipher 1 file free of charge! You can
make sure that the service really works and after payment for the
CryptoWall program you can actually decrypt ALL files.
 
Quindi segui le istruzioni.
 
Il file non so come puoi sceglierlo ma forse puoi basarti sulla sua
lunghezza.
 
Questo è il massimo che si può fare.
 
-- 
Sandro kensan 
www.kensan.it
 & 
www.qiqi.it
 geek site
Saluto gli agenti della NSA - Hello NSA - 
www.nsa.gov