Virus forze dell'ordine e DirtyDecrypt

[Tripod]

Ciao ragazzi, ho un guaio piuttosto serio, dopo aver contratto il virus in oggetto l'ho eliminato con malwareBityes, fin qui tutto ok.. al successivo riavvio mi sono accordo che mi ha criptato quasi tutti i file .pdf .doc .jpeg... mi ha fatto un danno enorme.
Ho fatto varie ricerche su internet ho scaricato i tools di Kaspersky ( quelli dove ti richiedono un file identico a quello criptato per poter decriptare tutti gli altri) il problema e' che ho reperito alcuni file originali di quelli criptati, ma il virus ha cambiato la dimensione di poco dei file criptati e cosi facendo il tool non li rileva uguali!! Qualcuno sa' aiutarmi? Sistema operativo Win XP - qui allego foto della schermata di un file criptato:
http://imageshack.us/photo/my-images/819/eke7.jpg/
Grazie saluti Federico

[AMIGA]

Bentrovato su Wintricks Tripod, la criptazione potrebbe essere finta, in modo da farti lanciare il programma consigliato. Sei sicuro che l'infezione appartenga alla famiglia detta "virus delle Forze Ordine", puoi allegare uno screeshot, qui, abbiamo parlato sull'argomento, se puoi allega anche qualche file criptato (togli prima l'estensione) così verifichiamo se si tratta realmente di criptazione, corruzione o finzione.

[xilo76]

http://www.f-secure.com/weblog/archives/00002349.html
http://support.kaspersky.com/4264?el=88446#

[Tripod]

Intanto grazie per l'aiuto
https://hotfile.com/dl/240165273/7c30b13/survivor.html a questo link c'e' un file che risulterebbe criptato.
sto seguendo questa procedura: http://support.kaspersky.com/4264?el=88446# qualcuno mi puo' aiutare a capire bene come funziona? in inglese non sono un asso

[Tripod]

https://hotfile.com/dl/240165273/7c30b13/survivor.html

ecco il link funzionamente per scaricare il file

[AMIGA]

Caro Tripod spero di sbagliarmi, secondo me i file non sono criptati ma sovrascritti da un file immagine convertito in PDF, che poi sarebbe quella che tu hai postato, se così fosse potrai dire addio per sempre ai tuoi file.

[xilo76]

Inviato da Tripod

Intanto grazie per l'aiuto
sto seguendo questa procedura: http://support.kaspersky.com/4264?el=88446# qualcuno mi puo' aiutare a capire bene come funziona? in inglese non sono un asso

E' semplice: scarichi il file rectordecryptor.exe, lo doppioclicchi, premi start scan.
A quanto pare, fa la scansione di tutto il pc, a meno che non modifichi le (poche) opzioni.

[Tripod]

Allora vado per ordine:
i tentativi con rectordecryptor.exe e gli altri tools della kaspersky non hanno funzionato.
Amiga non credo siano sovrascritti perche' riesco a vedere l'anteprima delle foto con l'immagine originale, ma poi quando la apro mi da' quell'img che ho allegato nello screen.
Stavo provando questo adesso:
http://www.im-infected.com/ransomwar...crypt-exe.html
"6. You must run the program in Graphic Mode. This gives you easy access to all commands and menus."
ma quando vado a selezionare la grapich mode dopo il boot dalla pennetta mi va' in errore, quindi non riesco ad utlizzare il programma... mi sto esasperando una cifra raga

[AMIGA]

Siamo sicuri che l'anteprima non la prenda da qualche altra parte ?, magari memorizzata nella cache, prova a rinominare un file, spostarlo su un percorso diverso e poi verifica che l'anteprima dia il contenuto del file originale.

Può essere che la sovrascrizione avvenga dentro il file senza sostituirlo.
Con quale strumento guardi l'antepriama ?
Il file che hai allegato in origine in che formato era ?

[Tripod]

il file postato era un pdf, ho rinominato una foto in jpeg l'ho spostata in un'altra cartella e l'anteprima e' cambiata, adesso da' quella della schermata file encrypted....

[Tripod]

uso il visualizzatore di immagini per windows per le foto

[Tripod]

Allego il log della scansione e fatta con avira questa notte

[AMIGA]

Inviato da Tripod

ho rinominato una foto in jpeg l'ho spostata in un'altra cartella e l'anteprima e' cambiata, adesso da' quella della schermata file encrypted....

Questo conferma quello che avevo previsto sopra, i file sono stati sostituiti tutti con un'unico file, quello da te posato.
I file potrebbero essere di grandezza differente, se è quello che penso corrisponde a realtà, una compressione in zip dovrebbe portare tutti i file alla stessa misura.
Secondo me nessun programma antivirus potrà aiutarti, questo perchè non si tratta di una infezione, ma di una normale sovrascrizione file.

[AMIGA]

Questa è una vecchia tecnica che usavano i virus sui sistemi Amiga quasi trenta anni fa e nessun sistema anche l'ultimo dei sistemi Windows potrà fare nulla, l'unica protezione è fare più backup su PC differenti o dispositivi esterni.

Allega un file JPG senza estensione, vorrei confrontarlo con quello di prima in PDF

[xilo76]

Hai provato anche le altre due utility? Vedi qui (cliccami)