Главная » Электронные кошельки » Как вернуть доступ к компьютеру после атаки вируса Petya: советы от Киберполиции Украины. Как восстановить данные после атаки вируса Petya (когда это возможно)

Как вернуть доступ к компьютеру после атаки вируса Petya: советы от Киберполиции Украины. Как восстановить данные после атаки вируса Petya (когда это возможно)

Заразил компьютер, то ему уже ничего не поможет. Точнее, файлам на жестком диске, которые невозможно восстановить. Но на самом деле и кибератаки можно избежать, и реанимировать компьютер сложно, но можно.

Для начала поговорим о мерах, которые позволят избежать . Как мы уже писали, #Petya это подобие WCry — вирус-вымогатель, который шифрует данные и просит $300 выкупа за их восстановление. Сразу отметим – платить НЕ ИМЕЕТ никакого смысла!

Как избежать вируса Петя А

— блокировка на уровне конечных точек запуска файлов *.exe, *.js*, *.vbs из %AppData%;

— на уровне почтового шлюза – блокировка сообщений с активным содержимым (*.vbs, *.js, *.jse, *.exe);

— на уровне proxy – блокировка загрузки архивов, содержащих активное содержимое (*.vbs, *.js, *.jse);

— блокировка SMB и WMI-портов. В первую очередь 135, 445;

— после заражения – НЕ ПЕРЕЗАГРУЖАЙТЕ КОМПЬЮТЕР! - это действительно важно.

— не открывайте подозрительные письма и особенно вложения в них;

— принудительно обновите базу антивируса и операционные системы.

Как восстановить файлы после вируса-шифровальщика

Следут отметить, что еще в 2016 году пользователю, который зарегистрирован в Twitter под ником Leostone, удалось взломать шифрование вредоносного вируса, о чем писал ресурс Bleepingcomputer.com .

В частности, он сумел создать генетический алгоритм, который может генерировать пароль, необходимый для дешифрования зашифрованного вирусом компьютера Petya.

Генетический алгоритм - это алгоритм поиска, используемый для решения задач оптимизации и моделирования путем случайного подбора, комбинирования и вариации искомых параметров с использованием механизмов, аналогичных естественному отбору в природе.

Свои результаты Leostone выложил на сайте , на которых находится вся необходимая информация для генерации кодов дешифровки. Таким образом, жертва атаки может воспользоваться указанным сайтом для генерации ключа дешифрования.

Так, чтобы использовать инструмент дешифрования Leostone, придется снять винчестер с компьютера и подключить его к другому ПК, работающему под управлением ОС Windows. Данные, которые необходимо извлечь, составляют 512 байт, начиная с сектора 55 (0x37h). Затем эти данные необходимо преобразовать в кодировку Base64 и использовать на сайте https://petya-pay-no-ransom.herokuapp.com/ для генерации ключа.

Для многих пользователей снять определенную информацию с пострадавших жестких дисков составляет проблему. К счастью, на помощь пришел эксперт компании Emsisoft Фабиан Восар , который создал инструмент Petya Sector Extractor для извлечения необходимой информации с диска.

Petya Sector Extractor

После того как пользователь подключит зашифрованный диск с зараженного компьютера к другому ПК, нужно запустить инструмент Фабиана Восара Fabric Wosar’s Petya Sector Extractor, который обнаружит пораженные шифровальщиком области. Как только Petya Sector Extractor завершит свою работу, пользователю нужно нажать первую кнопку Copy Sector («Скопировать сектор») и перейти на сайты Лео Стоуна (https://petya-pay-no-ransom.herokuapp.com/ или https://petya-pay-no-ransom-mirror1.herokuapp.com /), вставив скопированные данные через Ctrl+V в поле ввода текста (Base64 encoded 512 bytes verification data). Затем вернуться к утилите Фабиана Восара, нажать вторую кнопку Copy Sector и вновь скопировать данные на сайт Стоуна, вставив их в другое поле ввода (Base64 encoded 8 bytes nonce).

Фото: bleepingcomputer.com

После заполнения обоих полей пользователь может нажимать Submit и запускать работу алгоритма.

Сайт должен предоставить пароль для расшифровки данных, после чего нужно вернуть жесткий диск в пострадавший компьютер, запустить систему и ввести полученный код в окне вымогателя. В результате информация будет расшифрована.

Фото: bleepingcomputer.com

После того, как жесткий диск будет дешифрован, программа ransomware предложит вам перезагрузить компьютер, и теперь он должен нормально загружаться.

Для тех, кому может быть сложно удалить жесткий диск с одного компьютера и подключить его к другому, можно приобрести док-станцию для жесткого диска USB.

Для начала поговорим о мерах, которые позволят избежать заражения вирусом Петя А . Как мы уже писали, #Petya это подобие WCry - вирус-вымогатель, который шифрует данные и просит $300 выкупа за их восстановление. Сразу отметим – платить НЕ ИМЕЕТ никакого смысла!

Как избежать вируса Петя А

Блокировка на уровне конечных точек запуска файлов *.exe, *.js*, *.vbs из %AppData%;

На уровне почтового шлюза – блокировка сообщений с активным содержимым (*.vbs, *.js, *.jse, *.exe);

На уровне proxy – блокировка загрузки архивов, содержащих активное содержимое (*.vbs, *.js, *.jse);

Блокировка SMB и WMI-портов. В первую очередь 135, 445;

После заражения – НЕ ПЕРЕЗАГРУЖАЙТЕ КОМПЬЮТЕР! - это действительно важно.

Не открывайте подозрительные письма и особенно вложения в них;

Принудительно обновите базу антивируса и операционные системы.

Как восстановить файлы после вируса-шифровальщика

Petya Sector Extractor

Фото: bleepingcomputer.com

После заполнения обоих полей пользователь может нажимать Submit и запускать работу алгоритма.

Фото: bleepingcomputer.com

По информации bykvu.com и «БАКОТЕК»

27.06.2017, для тех кто не делает бэкапы на съемные носители, стал самым черным днём, когда вирус-вайпер Petya за каких-то полчаса своей работы уничтожил у кого-то неделю, а у кого-то 10-12 лет наработок, архива ценных файлов, баз данных и прочего. Заставив начать жизнь с чистого листа. Однако есть шанс спасти хотя бы архивы Outlook и фото. Подробности под катом.
Вирус работал в два этапа: шифровал файлы (причем не все и не полностью), затем инициировал перезагрузку и после перезагрузки шифровал загрузчик (MBR) жесткого диска. В итоге жесткий диск превращался в условную «тыкву», из которой ничего не вытащить.
В случае, если ПК пережил только первый этап, то после восстановления MBR можно полноценно продолжать работать за ПК и наблюдать последствия работы шифровальщика файлов и искать те, что уцелели. Если ПК пережил два этапа, то всё гораздо хуже и даже просто вытащить файлы гораздо сложнее.

Поиск информации в Рунете по способам спасения информации с такого жесткого диска практически нет, поэтому мне пришлось опытным путем подбирать оптимальную стратегию поиска и восстановления того, что могло уцелеть. Были опробованы порядка десятка программ восстановления информации, но больше всего информации удалось вытащить при помощи программы R-Studio, о ней и пойдет речь далее, с описанием последовательности действий для спасения (все действия будут осуществляться под Windows 7, но я думаю неважно какая версия windows у вас лишь бы запустился R-studio).

Скажу сразу - вытащить можно почти все файлы, но они будут зашифрованы, кроме файлов которые не шифровались, как правило фотографии и видео. Восстановить некоторые файлы можно будет при наличии утилит, которые предусмотрели разработчики соответствующего формата файлов. На примере ниже мы рассмотрим процесс спасения файла архива от Outlook.

Итак последовательность действий:

1. Подключаем неотформатированный зашифрованный диск (это ключевое требование, если диск форматировался или на нем была переустановлена ОС, то шансы восстановить хоть что-то стремятся к нулю), который прошел 2 этапа шифрования с потерей файловой системы, к ПК под управлением Windows (подключать можно как напрямую к материнской плате через порты sata/ide так и через USB адаптеры, кому как удобнее). И после загрузки ПК получаем сообщение о необходимости отформатировать вновь подключенный диск (в моем случае это диск G).

Скриншот

Жмем отмену. Убеждаемся, что наш диск действительно поврежден, в диспетчере дисков он определится с файловой системой RAW:

Скриншот

2. Запускаем программу R-Studio (я использовал версию 8.2) и смотрим найденные диски. Наш подопытный жесткий диск объемом 320 Гб был подключен через док-станцию USB 3.0 и определился как JMicron Tech 023 под буквой «G».

Скриншот

Далее делаем двойной клик на строку с диском «G», как на рисунке выше, и ждем окончания сканирования диска.

3. Нам откроется окно R-Studio с результатами сканирования (см. рис. ниже):

Скриншот

Как правило, находится очень мало папок с понятным названием, всё самое ценное находится в разделе «Дополнительно найденные файлы». Поэтому переходим к следующему шагу.

4. Выделяем мышкой строку «Дополнительно найденный файлы» и жмем кнопку «Найти/отметить» на панели управления программы.

5. В открывшемся окне выбираем поиск по расширению файлов и указываем расширение pst (формат файла архивных папок Outlook) и нажимаем кнопку «Да».

Скриншот

6. Поиск нам найдет архивные файлы, их может быть много и в разных папках. Поэтому ориентируемся на путь, по которому у вас хранились архивные файлы. На примере ниже видно, что искомые файлы находились в папке «Файлы Outlook».

Скриншот

Прошу обратить внимание, что если посмотреть на левое меню и подняться вверх по иерархии папок, то видно, что эта папка расположена в папке учетной записи пользователя и там есть папки Desktop, Documents и т.д. Таким образом можно вытащить фото и другие файлы, которые хранились у пользователя в этих папках.

Скриншот

7. Далее ставим галочки на искомых файлах с расширением pst и жмём кнопку «Восстановить помеченные», указываем место для сохранения спасаемых файлов (в моем случае это папка Recover на диске С). Ждем окончания процесса копирования файлов.

Скриншот

8. Восстановленный файл архива как правило поврежден и не определяется программой Outlook. К счастью у больших файлов вирус шифровал только первый мегабайт, оставляя остальное нетронутым. Поэтому нам нужно попытаться восстановить структуру архива, для этого есть несколько способов:

А) Использовать утилиту SCANPST входящую в стандартный комплект MS Office. Например в MS Office 2010 эта утилита находится в папке C:\Program Files (x86)\Microsoft Office\Office14\ если у вас 64 битной Windows и по пути C:\Program Files\Microsoft Office\Office14 при использовании 32-битной версии Windows.

Б) Использовать утилиты сторонних разработчиков. Коих можно найти много на просторах гугла.

Я использовал первый вариант и в принципе он сработал на всех ПК, которые мне принесли на восстановление.

Также прилагаю к посту ссылку на пошаговую инструкцию по работе с утилитой SCANPST.

На этом собственно всё, другие файлы восстанавливаются аналогичным алгоритмом, необходимо только подставить нужное расширение файла, либо вручную пролистать все папки в разделе «Дополнительно найденные файлы» и выбрать что именно необходимо восстановить.
Если кому-то мой пост покажется «капитанским» просьба сильно не критиковать, не у всех есть опыт восстановления данных и проверенные инструменты. Если остались еще вопросы можете писать в ЛС или тут в комментариях.

Уже прошла неделя после того как на Украину обсушился Petya. В общем от этого вируса-шифровальщика пострадали более полусотни стан во всем мире, но 75 % массовой кибератаки обрушилось на Украину. Пострадали государственные и финансовые учреждения по всей стране, одними из первых кто сообщил, что их системы подверглись хакерской атаке стали Укрэнерго и Киевэнерго. Для проникновения и блокировки вирус Petya.A использовал бухгалтерскую программу M.E.Doc. Это ПО очень популярно у разного рода учреждениях в Украине, что и стало роковым. В итоге, у некоторых компаний восстановление системы после вируса Petya заняло много времени. Некоторым удалось возобновить работу только вчера, спустя 6 дней после вируса-шифровальщика.

Цель вируса Petya

Целью большинства вирусов-шифровальщиком, является вымогательство. Они шифруют информацию на ПК жертвы и требуют у нее деньги за получение ключа, который возобновит доступ к зашифрованным данным. Но не всегда мошенники держат слово. Некоторые шифровальщики просто не созданы для того чтобы быть расшифрованными и вирус «Петя» один из них.

Эту печальную новость сообщили специалисты из «Лаборатории Касперского». Для того чтобы восстановить данные после вируса-шифровальщика, необходим уникальный идентификатор установки вируса. Но в ситуации в новым вирусом, он вообще не генерирует идентификатор, то есть создатели вредоносного ПО даже не рассматривали вариант восстановления ПК после вируса Petya.

Но при этом жертвы получали сообщение в котором назывался адрес куда перевести 300 $ в биткоинах, для того чтобы восстановить систему. В таких случаях эксперты не рекомендуют содействовать хакерам, но все-таки создателям «Пети» удалось заработать более 10 000 $ за 2 дня после массовой кибератаки. Но эксперты уверены, что вымогательство не было их главной задачей, так как этот механизм был плохо продуман, в отличии от других механизмов вируса. Из этого можно предположить, что цель вируса Petya заключалась в дестабилизации работы глобальных предприятий. Также вполне возможно, что хакеры просто поспешили и плохо продумали часть получения денег.

Восстановление ПК после вируса Petya

К сожалению, после полного заражения Petya данные на компьютере восстановлению не подлежат. Но тем не менее есть способ как разблокировать компьютер после вируса «Петя», если шифровальщик не успел полностью зашифровать данные. Он был обнародован на официальном сайте Киберполиции , 2 июля.

Существует три варианта заражения вирусом Petya

— вся информация на ПК полностью зашифрована, на экране высвечивается окно с вымогательством денег;
— данные ПК частично зашифрованы. Процесс шифровки был прерван внешними факторами (вкл. питание);
— ПК заражен, но процесс шифрования таблиц MFT не был начат.

В первом случае все плохо — система восстановлению не подлежит . По край ней мере на данный момент.
В двух последних вариантах, ситуация поправима.
Чтобы восстановить данные которые частично были зашифрованы рекомендуется загрузить инсталляционный диск Windows:

В случае если жесткий диск не был поврежден вирусом-шифровальщиком, загрузочная ОС увидит файлы начнет восстановление MBR:

Для каждой версии Windows этот процесс имеет свои нюансы.

Windows XP

После загрузки инсталляционного диска, на экран выводится окно «Установки Windows XP Professional», там нужно выбрать «чтобы восстановит Windows XP при помощи консоли восстановления нажмите R». После нажатие R, и начнет загружаться консоль восстановления.

Если на устройства установлена одна операционная система и она находится на диске С, появится уведомление:
«1: C: \ WINDOWS какую копию Windows следует использовать для входа?» Соответственно необходимо нажать клавишу «1» и «Enter».
После чего появится: « Введите пароль администратора». Введите пароль и нажмите «Enter» (в случае если нету пароля жмите «Enter»).
Должно появится приглашение в систему: C: \ WINDOWS> , введите fixmbr.

После чего появится «ПРЕДУПРЕЖДЕНИЕ».
Для подтверждения новой записи MBR, надо нажать «y».
Затем появится уведомление «Проводится новая основная загрузочная запись на физический диск \ Device \ Harddisk0 \ Partition0.»
И: «Новая основная загрузочная запись успешно сделана».

Windows Vista:

Здесь ситуация проще. Загрузите ОС, выберете язык и раскладку клавиатуры. Затем на экране появится «Восстановить работоспособность компьютера» Появится меню, в котором необходимо выбрать «Далее». Появится окно с параметрами восстановленной системы, где надо нажать на командную строку, в которой необходимо ввести bootrec /FixMbr.
После этого надо дождаться завершения процесса, если все прошло успешно, появится сообщение о подтверждении — жмите «Enter», и компьютер начнет перезагружаться. Все.

Windows 7:

Процесс восстановление похож на Vista. Выбрав язык и раскладку клавиатуры, выберете ОС, после чего нажмите «Далее». В новом окне выберете пункт «Использовать инструменты для восстановления, которые могут помочь решить проблемы с запуском Windows».
Все остальные действия аналогичны Vista.

Windows 8 и 10:

Загрузите ОС, на окне которое появится выберете пункт Восстановить компьютер>устранение неисправностей, где нажав на командную строку введите bootrec /FixMbr. После завершения процесса нажмите «Enter» и перезагрузите устройство.

После того как процесс восстановления MBR, завершился успешно (в независимости от версии Windows) необходимо просканировать диск антивирусом.
В случае когда процесс шифрования был начат вирусом, можно использовать ПО по восстановлению файлов, например, такое как Rstudio. После скопировать их на съемный носитель, необходимо переустановить систему.
В случае когда, Вы используете программы восстановления данных записанные на загрузочный сектор, например Acronis True Image, то можете быть уверены «Петя» не затронул это сектор. А это означает, что можете вернуть систему в рабочее состояние, без переустановки.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter .

Несколько дней назад на нашем ресурсе появилась статья о том, как защититься от вируса и его разновидностей. В этой же инструкции мы рассмотрим самый худший вариант - ваш ПК заражен. Естественно, что после излечения каждый пользователь старается восстановить свои данные и персональную информацию. В этой статье речь пойдет о самых удобных и действенных способах по восстановлению данных. Стоит учесть, что это далеко не всегда возможно, поэтому давать какую-то гарантию мы не станем.

Мы рассмотрим три основных сценария, по которому могут развиваться события:
1. Компьютер заражен вирусом Petya.A (или же его разновидностями) и зашифрован, система полностью заблокирована. Для восстановления данных требуется ввести специальный ключ, за который необходимо заплатить. Сразу стоит сказать, что даже если вы заплатите, это не снимет блокировку и не вернет вам доступ к персональному компьютеру.

2. Вариант который предоставляет пользователю больше вариантов по дальнейшим действиям - ваш компьютер заражен и вирус начал зашифровывать ваши данные, но шифрование удалось остановить (например, отключением питания).

3. Последний вариант самый благоприятный. Ваш компьютер заражен, но зашифровка файловой системы еще не началась.

Если у вас ситуация под номером 1, то есть все ваши данные зашифрованы, то на данном этапе отсутствует действенный способ по восстановлению пользовательской информации. Вполне вероятно, что через несколько дней или недель этот способ появится, но пока специалисты со всеми в области информационной и компьютерной безопасности ломают над этим голову.

Если процесс шифрования не начался или завершен не полностью, то пользователю стоит немедленно прервать его (шифрование отображается как системный процесс Check Disk). Если удалось загрузить операционную систему, то сразу же стоит установить любой современный антивирус (все они на данный момент распознают Petya и сделать полную проверку всех дисков. Если же Windows не грузится, то владельцу зараженной машины предстоит воспользоваться системным дисков или флешкой для восстановления загрузочного сектора MBR.

Восстановление загрузчика на Windows XP

После загрузки системного диска с операционной системой Windows XP, перед вами появятся варианты действий. В окне «Установка Windows XP Professional» с выберите пункт «чтобы восстановить Windows XP с помощью консоли восстановления, нажмите R». Что логично, вам необходимо будет нажать на клавиатуре R. Перед вами должна появиться консоль для восстановления раздела и сообщение:

"«1: C: \ WINDOWS В какую копию Windows следует выполнить вход?»"

Если у вас установлена одна версия Windows XP, то вводим с клавиатуры "1" и жмем ввод. Если же у вас несколько систем, то необходимо выбрать нужную. Вы увидите сообщение с запросом пароля администратора. Если же пароль отсутствует, то просто нажмите Enter, оставив поле пустым. После этого на экране появится строка введите слово "fixmbr "

Должно появиться следующее сообщение: «ПРЕДУПРЕЖДЕНИЕ! Подтверждаете запись новой MBR?», нажмите клавишу «Y» на клавиатуре.
Появится ответ: «Создается новый основной загрузочной сектор на физический диск....»
«Новый основной загрузочный раздел успешно создан».

Восстановление загрузчика на Windows Vista

Вставьте диск или флешку с операционной системой Windows Vista. Далее вам нужно выбрать строчку «Восстановить работоспособность компьютера». Выберите, какую именно операционную систему Windows Vista (если у вас их несколько) необходимо восстановить. Когда появится окно с вариантами восстановления, нажмите на командную строку. В командной строке введите команду "bootrec/FixMbr ".

Восстановление загрузчика на Windows 7

Вставьте диск или флешку с операционной системой Windows 7. Выберите, какую именно операционную систему Windows 7 (если у вас их несколько) необходимо восстановить. Выберите пункт "Использовать инструменты для восстановления, которые могут помочь решить проблемы с запуском Windows". Далее выбираем «Командная строка». После загрузки командной строки вводим "bootrec/fixmbr

Восстановление загрузчика на Windows 8

Вставьте диск или флешку с операционной системой Windows 8. На основном экране выберите пункт "Восстановить компьютер" в нижнем левом углу. Выберите «Устранение неисправностей». Выберите командную строку, когда она загрузится, введите: "bootrec/FixMbr" Если все пройдет успешно, то вы увидите соответствующее сообщение и все что останется, это перезагрузить компьютер.

Восстановление загрузчика на Windows 10

Вставьте диск или флешку с операционной системой Windows 10. На основном экране выберите пункт "Восстановить компьютер" в нижнем левом углу. Выберите «Устранение неисправностей». Выберите командную строку, когда она загрузится, введите: "bootrec/FixMbr" Если все пройдет успешно, то вы увидите соответствующее сообщение и все что останется, это перезагрузить компьютер.

Просмотров