Problemas con un ramson virus email-oduvansh@aol.com.ver

[G Nieto]

Estimados compañeros :



me acabo de encontrar con un detalle de archivos encriptados.. pdf .. me esta partiendo el alma. y no he encontrado la referncia del cual tengo incluido en mi servidor. que a la letra dice;



email-oduvansh@aol.com.ver-CL 1.3.0.0.id-PYHNBPDMPUJSMVKTENWFZCLOJSAEYHKTNQZI-5@22@2016 11@33@06 PM1570348.randomname-BUOUVUEHGROQZBJGUDFIWEHJXACFTW.PPH.cbf



esto es lo que he estado buscando solucionar la encriptacion.



he leido referncias de otros y he utilizados herramientas de varios antivirus y no tengo nada en cuestion en equipos locales y en el mismo servidor aun estoy en el periodo de las 48 horas para recibir la hoja de aviso.



algo si conocen el archivo. para poder tratar de recuperar mis archivo.



Gracias por su paciencia al detalle.

[msc hotline sat]

Pues por lo que se ve en internet, se trata de un Trojan-Ransom.Win32.Cryakl.abx





Hablan de él en este foro de Rusia, que puedes traducir con el Google:



http://www.cyberforum.ru/viruses/thread1540405.html





No hemos tenido contacto con dicho ransomware, pero sugiero veas si los ficheros cifrados tienen versiones anteriores hechas automaticamente con el SHADOWCOPY, y en tal caso, apliques la recuperacion, segun se indica en:



https://foros.zonavirus.com/viewtopic.php?f=12&t=59588&hilit=shadowcopy



Y visto que varios antivirus lo detectan, entre ellos McAfee, Kaspersky, etc, antes que nada, pasa uno de los antivirus que se ven en el analisis de virustotal:



SHA256: 2cd210e7f0086df0d7c35954503944c382140a6c5f580e5e9dd76948a902191b

Nombre: mau virus so (36).bin

Detecciones: 44 / 56

Fecha de análisis: 2016-02-24 08:28:53 UTC ( hace 3 meses )

0 7



Antivirus Resultado Actualización

ALYac Gen:Variant.Kazy.733822 20160224

AVG Crypt4.CMSO 20160224

AVware Trojan.Win32.Generic!BT 20160224

Ad-Aware Gen:Variant.Kazy.733822 20160224

AegisLab Troj.Ransom.W32.Cryakl.abp!c 20160224

Yandex Trojan.Cryakl! 20160221

AhnLab-V3 Trojan/Win32.MDA 20160224

Antiy-AVL Trojan[Ransom]/Win32.Cryakl 20160224

Arcabit Trojan.Kazy.DB327E 20160224

Avast Win32:Dorder-D [Trj] 20160224

Avira (no cloud) TR/Crypt.ZPACK.120872 20160223

Baidu-International Trojan.Win32.Ransom.abp 20160223

BitDefender Gen:Variant.Kazy.733822 20160224

CAT-QuickHeal Ransom.Aura.XB4 20160224

Comodo TrojWare.Win32.Inject.WQ 20160224

Cyren W32/Trojan.OJRH-8378 20160224

DrWeb Trojan.Packed.32975 20160224

ESET-NOD32 a variant of Win32/Injector.CJGV 20160224

Emsisoft Gen:Variant.Kazy.733822 (B) 20160224

F-Secure Gen:Variant.Kazy.733822 20160224

Fortinet W32/Agent.AOTR!tr 20160224

GData Gen:Variant.Kazy.733822 20160224

Ikarus Trojan-Ransom.Win32.Cryakl 20160224

Jiangmin Trojan.Cryakl.i 20160224

K7AntiVirus Riskware ( 0040eff71 ) 20160224

K7GW Riskware ( 0040eff71 ) 20160224

Kaspersky Trojan-Ransom.Win32.Cryakl.abt 20160224

Malwarebytes Backdoor.Bot 20160224

McAfee RDN/Ransom 20160224

McAfee-GW-Edition BehavesLike.Win32.FakeAlert.gc 20160224

eScan Gen:Variant.Kazy.733822 20160224

Microsoft Ransom:Win32/Criakl.D 20160224

NANO-Antivirus Trojan.Win32.Encoder.dxgylx 20160224

Panda Trj/Genetic.gen 20160223

Qihoo-360 HEUR/QVM20.1.Malware.Gen 20160224

Rising PE:Malware.Obscure/Heur!1.9E03 [F] 20160224

Sophos Troj/Agent-AOTR 20160224

Symantec Trojan.Gen.SMH 20160223

Tencent Win32.Trojan.Cryakl.Dyqv 20160224

TrendMicro TSPY_HPDYRE.SM 20160224

TrendMicro-HouseCall TSPY_HPDYRE.SM 20160224

VBA32 Hoax.Cryakl 20160224

VIPRE Trojan.Win32.Generic!BT 20160224

Zillya Trojan.Cryakl.Win32.124 20160223





Y si tuvieras el mail que seguramente te infectó, con el fichero anexado malicioso, envianoslo para analizarlo y controlarlo.



https://foros.zonavirus.com/viewtopic.php?f=6&t=45334



vemos que alguna veces utiliza el truco de doble extension como .DOCX.EXE en los ficheros anexados en cuestion. Vigila con ello !





saludos



ms, 25-5-2016

[msc hotline sat]

Y visto que la utilidad de descifrado de Kaspersky habla de dicho ransomware:



[i]"Si el equipo se infecta por Trojan-Ransom.Win32.Cryakl, se agrega la etiqueta {CRYPTENDBLACKDC} al final del contenido del archivo."[/i]





Mira si te sirve su descifrador:



http://support.kaspersky.com/mx/8547





saludos



ms, 25-5-2016