Краткое описание и скриншоты программы

System Restore Explorer дает возможность монтировать любую точку восстановления системы в обычную папку, из которой после этого можно извлечь любые файлы или папки. Программа также показывает размер каждой точки восстановления и позволяет выборочно удалять их для экономии места на жестком диске.

System Restore Explorer is a tool which allows you to browse system restore points on your computer and select individual ones for deletion should you wish to free up some disk space. It also allows you to mount the contents of a restore point into a folder so that you can browse and copy individual files, without the need to perform a full system restore.

System Restore Explorer

When you select a restore point and mountit the tool will create a shortcut to that particular restore point which will allow you to browse the contents and copy files. Once you have finished with a particular restore point you can either use the tool to unmount it or simply delete the shortcut (deleting the shortcut will not delete the restore point).

Mounted system restore point

I have tested this tool on Windows XP, Windows Vista and Windows 7 beta, unfortunately the SRRemoveRestorePoint function didn’t appear to function as described on Windows XP, so I have had to restrict the use of this tool to Windows Vista and newer (and there is a check in the install and the app :) )

System Restore Explorer uses AlphaVSS, which is a .net library which allows access to the Volume Shadow Copy Service. The Volume Shadow Copy Service (VSS) is a set of COM interfaces, delivered with various versions of Microsoft Windows, that implements a framework to allow volume backups to be performed while applications on a system continue to write to the volumes. Hence how system restore points are created!

If you’d like to give System Restore Explorer a try then you can download it here, please feel free to leave feedback via the comments section.

0.0.1-Internal release
0.0.2-Alpha release, initially just a blog posting (and only allowed restore points to be deleted, not browsed)
0.0.3-Alpha release, this was the first version to allow a restore point to be mounted and the contents to be browsed. Zip file only, no install and only worked on x86 systems.
0.0.4-Beta release, now with installer, and AlphaVSS support for both x86 and x64 versions of Windows.
0.0.5-Beta release, updated AlphaVSS components, made changes to auto-update system, there is now a menu option to disable the server check (Some people appear to be paranoid about apps that make an outgoing connection!)
Источник: nicbedford.co.uk/software/systemrestoreexplorer/

Заражение вирусом Vault файлы зашифрованы

Сначала пользователь получает письмо с сообщением о выписке из налоговой / счетчика воды / счета за консультант плюч .
В письме была ссылка на вложенный файл с ресурса download-attach.com. (хостинг вроде оплачен биткоином) В архиве по этой ссылке самое интересное имеется обфусцированный js файл. с очень подробным именем.
При его запуске в %TEMP% пользователя появляется несколько файлов и в автозагрузку прописывается скрипт для запуска revault.js

Вот некоторые файлы, которые удалось идентифицировать:
svchost.exe - основной бинарник gnupg
iconv.dll - общая библиотека для работы gnupg
audiodg.exe - sDelete из комплекта Sysinternals Suite

Исполнение вируса Vault файлы зашифрованы

В нашем случае при запуске компьютера запустился скрипт revault.js который запустил bat файл cryptlist.cmd. Здесь небольшая нить потерялась
Потом запустился secured.bat в нем и творится все самое темное.
Сначала программа генерирует сертификат для шифрования файлов на компьютере с именем gk.vlt (Cellar / RSA / 1024 bit)
Потом экспортирует из него закрытый ключ, необходимый для расшифровки файлов в файл vaultkey.vlt
Потом создает публичный ключ pk.vlt, он предопределен в самом bat файле. С помощью этого файла в дальнейшем будет зашифрован ключ, необходимый для расшифровки ваших данных.

Далее в vaultkey.vlt записываются
BDATE - текущая дата
UNAME - текущее имя пользователя
CNAME - имя компьютера
ULANG - язык системы (в данном случае он прописан RU)
И несколько случайных хэшей 01HSH 02HSH 03HSH 04HSH 05HSH FHASH

Шифрование вирусом Vault файлы зашифрованы

Далее начинается шифрование файлов.
Файлы шифруются ключом, который сгенерирован на Вашей машине, и пока еще есть возможность расшифровать данные.
Диски обходятся по алфавиту от A до Z

Шифрование файла с заменой выглядит так
1 - Шифрование файла
2 - Перемещение шифрованного файла на место ориганала
3 - Добавление расширения .vault к файлу

На 1 этапе шифруются *.xls и *.doc файлы.
На 2 этапе создается и запускается файлы win.vbs, sdwrase.js, sdwrase.cmd, которые отключает теневое копирование в системе, если система Vista и выше
И шифруются *.pdf *.rtf файлы.
На 3 этапе шифруются *.psd *.dwg *.cdr файлы.
На 4 этапе шифруются *.cd *.mdb *.1cd *.dbf *.sqlite файлы.
На 5 этапе шифруются *.jpg *.zip файлы.

Каждый файл считается, потом количество зашифрованных файлов каждого типа файлов записывается в vaultkey.vlt
(Видимо для общей оценки зашифрованных данных)

Далее ключом злоумышленника шифруется ваш приватный ключ и собранная информация о количестве данных.
После чего ваш ключ, необходимый для расшифровки данных удаляется с 16 (!) кратной перезаписью.

Далее на рабочий стол помещается ваш закрытый ключ, зашифрованный ключем злоумышленника.
Круг замкнулся.

Ваши файлы зашифрованы, вашим ключем, а ваш ключ зашифрован ключем злоумышленника.

Потом создаются файлики с оповещениями.

Сайт вируса Vault файлы зашифрованы

Сайт злоумышленников хостится в анонимной сети TOR и отличается высокой технологичностью, для такого рода "проектов"
Здесь есть полноценный личный кабинет и "демо версия" на 3 файла, которая со стороны злоумышленника расшифровать загруженный вами файл и скачать его с их сервера. НО, перед открытием Вам доступак файлу, его в ручном режиме просмотрит злоумышленник и если посчитает файл важным, то доступа к тему вы не получите, об этом Вам сообщат.

Есть даже раздел помощи.

Оплата только биткоинами.
Также можно поговорить с автором. Уговоры и угрозы бесполезны. Злоумышленник может закрыть вам возможность чата.

Пароли с браузеров - методика хищения паролей с браузеров на зараженном вирусом Vault файлы зашифрованы компьютере

После создания файликов с обовещениями идет "бонус"
Создаются скрипты ultra.js и up.vbs.
Первый скачивает файл с шлюза tor2web по ссылке hxxp_//tj2es2lrxelpknfp.onion.city/p.vlt и переименовывается в ssl.exe
Это дампер паролей Browser Password Dump v2.6 by SecurityXploded
Он сохраняет все ваши пароли с браузеров в файл cookie.vlt
Далее, второй файл запускает выгрузку ваших паролей на тот же сервер (POST скрипту /x.php)
Этот сервер обезличен так же, как и сервер для восстановления и оплаты (ничего лишнего в заголовках, строка Server: Anon)

Произошла шифрация, в нашем случае он был вынужден платить злоумышленникам?
Нет, за восстановление не пришлось никому и ничего платить.

Почему? Потому что система на компьютере клиента была построена полностью по рекомендациям и все файлы были восстановлены из автоматически создаваемой резервной копии, с откатом самой системы на более ранний образ. С учетом, что количество зашифрованных файлов вирусом vault файлы зашифрованы превышало 58 тысяч и восстановление было оценено злоумышленниками в сумму эквивалента 394 USD.

Обычно и на примере проанализированного заражения происходило это методом рассылки вирусных файлов во вложениях к письмам, с провоцирующим на открытие характером описания. В рассмотренном случае письмо имело следующие признаки:
Заголовок: «Сверка взаиморасчетов»
Текст письма: «День добрый,
Руководством было дано распоряжение провести сверки со всеми контрагентами.
Высылаю Акт (во вложении).
Если расхождений с Вашей стороны не будет, я отправлю подписанный экземпляр курьерской почтой. »
Имя архива вложения: « Акт сверки.zip»
Файл внутри архива: « Акт сверки за март 2015 года_ составлено зам главного бухгалтера согласовано руководителем предпр_САЛЬДО на 24.03.2015 doсx.js»

На момент анализа картина обнаружения данного вируса имела следующий вид:

Причем Dr.Web при первоначальной проверке так же не находил файл вредоносным, в процессе разбора и при последующих проверках уже стал обнаруживать прикрепленный файл как вредоносный, т.о. они включили его сигнатуту и в базы «в живую», в процессе разбора. Поэтому, при выстраивании линий защиты от вирусов, нужно осознавать, что злоумышленники так же могут пользоваться проверками своих проделок на обнаружение антивирусными продуктами, внося в них изменения и усложняя обнаружения.

Внимание! С прошлой недели, конца октября 2015 года, зафиксирована новая мощная эпидемия и вирусная активность шифровальщика Vault, с измененным кодом отработки на компьютере управляющего скрипта, формирования файлов с требованиями в виде hta файлов VAULT.hta по структуре каталогов и новым адресом в сегменте сети TOR: http://333e45lpjqrebknr.onion

Офисные документы, сканы и изображения, а так же прочие рабочие файлы шифруются, расширение зашифрованных вирусом vault файлов заменяется на .vault, в автозагрузку прописывается скрипт с уведомлением и инструкцией вымогателей, в частности, в данном случае, было прописано открытие появившегося файла VAULT.txt следующего содержания:
«Ваши рабочие документы и базы данных были зашифрованы и переименованы в формат .vаult
Для их восстановления необходимо получить уникальный ключ

ДОПОЛНИТЕЛЬНО
a) Вы не сможете восстановить файлы без уникального ключа (который безопасно хранится на нашем сервере)
b) Если Вы не можете найти Ваш VAULT.KEY, поищите во временной папке
c) Ваша стоимость восстановления не окончательная
Дата блокировки: 25.03.2015 ( 9:**) »

И далее по инструкции злоумышленником предлагался следующий интерфейс к восстановлению:

«Стоимость восстановления определяется на основании нескольких показателей, а именно: - Количество заблокированных файлов,
- Расширения файлов,
- Размер заблокированных файлов
- Интеллектуально определенный уровень важности Вашей информации.
- Был ли прерван процесс и на каком этапе.
Вы можете быть уверены, что стоимость восстановления определяется не случайно. Цены варьируются от 100 до 9000 USD .
Цена по каждому клиенту индивидуальна.
Для того что бы уточнить сумму и обосновать её - напишите нам о просьбе скорректировать стоимость и загрузите Confirmation.Key. Детальнее ниже.»

К сожалению, какие бы правильные и объективные советы не были выданы с общими рекомендациями, на самом деле широко и давно известными, пользователи за компьютером и как правило обязательно будут их нарушать, все самые правильные рекомендации.
Поэтому единственным способом максимально обезопасить свои данные является правильная настройка комплекса как по предотвращению заражения различными вирусами, так и резервного копирования, как самой системы, так и всех значимых данных на компьютере. В противном случае и как правило срабатывает принцип: «что системно не запрещено, то обязательно происходит».
Поэтому важно доверить настройку Вашего компьютера именно профессионалам в IT области, с настройками и обновлениями, антивирусной программы, разграничением доступа и резервным копированием.

Компьютерная помощь предлагает провести комплекс мер по настройке Вашего компьютера и систем для минимизации рисков заражения различными вирусами и вредоносными программами, среди которых рассмотренный криптор vault файлы зашифрованы является только единичным представителем из семейства вредоносов. Предлагаем настроить операционную систему со всеми обновлениями как самой системы, так и дополнений с приложениями до актуальных версий, с закрытием известных уязвимостей - лазеек по проникновению вирусов на Ваш компьютер, и разграничением доступа к данным. Предлагаем установить и настроить хороший антивирус. с методиками противодействия вирусам файлы зашифрованы. настроить автоматическое резервное копирование системы и данных в недоступное по умолчанию для вирусов дисковое пространство или сетевое хранилище.

Мы минимизируем риски Вашим данным, когда даже инциденты станут только легким недоразумением.

Если Вы находите данную публикацию весьма полезной и познавательной, пожалуйста, проголосуйте за неё. Это поможет определять значимость материалов для дальнейших публикаций и сориентироваться другим посетителям.
4.61711711712 1 1 1 1 1 Рейтинг 4.62 (111 Голосов)