Petya вирус как восстановить файлы. Как восстановить данные после атаки вируса Petya (пошаговая инструкция)

Атака вируса Petya.A за несколько дней охватила десятки стран и развилась до масштабов эпидемии в Украине, где в распространении зловреда была причастна программа для отчетности и документооборота M.E.Doc. Позже эксперты , что целью злоумышленников было полное уничтожение данных, но, как сообщает киберполиция Украины, при частичном заражении системы шанс восстановить файлы есть.

Как работает Petya

Если вирус получает права администратора, исследователи выделяют три основных сценария его воздействия:

• Компьютер заражен и зашифрован, система полностью скомпрометрирована. Для восстановления данных требуется закрытый ключ, а на экране отображается сообщение с требованием уплатить выкуп (хотя это ).
• Компьютер заражен и частично зашифрован - система начала шифровать файлы, но отключением питания или другими способами пользователь остановил этот процесс.
• Компьютер заражен, но процесс шифрования таблицы MFT еще не начался.

В первом случае действенного способа расшифровки данных пока нет. Сейчас его поиском занимаются специалисты киберполиции и IT-компаний, а также создатель оригинального вируса Petya (позволявшего восстанавливать систему с помощью ключа). Если же главная таблица файлов MFT нарушена частично или вовсе не затронута, шанс получить доступ к файлам все еще есть.

В киберполиции назвали два основных этапа работы модифицированного вируса Petya:

Первый: получение привилегированных прав администратора (при использовании Active Directory они отключены). Сначала вирус сохраняет оригинальный загрузочный сектор для операционной системы MBR в зашифрованном виде битовой операции XOR (xor 0x7), после чего записывает на его место свой загрузчик. Остальная часть кода трояна записывается в первые секторы диска. На этом этапе создается текстовый файл о шифровании, но данные еще не зашифрованы.

Вторая фаза шифрования данных начинается после перезагрузки системы. Petya обращается уже к собственному конфигурационному сектору, в котором есть отметка о не зашифрованных данных. После этого начинается процесс шифрования, на экране от отображается как работа программы Check Disk. Если он уже запущен, стоит отключить питание и попробовать воспользоваться предложенным способом восстановления данных.

Что предлагают

Для начала нужно загрузиться с установочного диска Windows. Если при этом будет видна таблица с разделами жесткого диска (или SSD), можно приступить к процедуре восстановления загрузочного сектора MBR. Затем стоит проверить диск на наличие зараженных файлов. Сегодня Petya распознают все популярные антивирусы.

Если процесс шифрования был начат, но пользователь успел его прервать, после загрузки операционной системы необходимо воспользоваться программным обеспечением для восстановления зашифрованных файлов (R-Studio и другие). Данные нужно будет сохранить на внешний носитель и переустановить систему.

Как восстановить загрузчик

Для ОС Windows XP:

После загрузки установочного диска Windows XP в оперативную память ПК появится диалоговое окно «Установка Windows XP Professional» с меню выбора, где необходимо выбрать пункт «чтобы восстановить Windows XP с помощью консоли восстановления, нажмите R». Нажмите клавишу «R».

Загрузится консоль восстановления.

Если на ПК установлена одна ОС, и она (по умолчанию) установлена на диске C, появится следующее сообщение:

«1: C: \ WINDOWS В какую копию Windows следует выполнить вход?»

Введите цифру «1», нажмите клавишу «Enter».

Появится сообщение: «Введите пароль администратора». Введите пароль, нажмите клавишу «Enter» (если пароля нет, просто нажмите «Enter»).

Должен появиться запрос: C: \ WINDOWS>, введите fixmbr

Затем появится сообщение: «ПРЕДУПРЕЖДЕНИЕ».

«Подтверждаете запись новой MBR?», нажмите клавишу «Y».

Появится сообщение: «Создается новый основной загрузочной сектор на физический диск \ Device \ Harddisk0 \ Partition0.»

«Новый основной загрузочный раздел успешно создан».

Для Windows Vista:

Загрузите Windows Vista. Выберите язык и раскладку клавиатуры. На экране приветствия нажмите «Восстановить работоспособность компьютера». Windows Vista отредактирует компьютерное меню.

Выберите операционную систему и нажмите кнопку «Далее». Когда появится окно «Параметры восстановления системы», нажмите на командную строку. Когда появится командная строка, введите эту команду:

bootrec / FixMbr

Подождите завершения операции. Если все прошло успешно, на экране появится сообщение о подтверждении.

Для Windows 7:

Загрузите Windows 7. Выберите язык, раскладку клавиатуры и нажмите кнопку «Далее».

Выберите операционную систему и нажмите кнопку «Далее». При выборе операционной системы следует проверить «Использовать инструменты для восстановления, которые могут помочь решить проблемы с запуском Windows».

На экране «Параметры восстановления системы» нажмите кнопку «Командная строка». Когда командная строка успешно загрузится, введите команду:

bootrec / fixmbr

Нажмите клавишу «Enter» и перезагрузите компьютер.

Для Windows 8:

Загрузите Windows 8. На экране «Приветствие» нажмите кнопку «Восстановить компьютер».

Выберите «Устранение неисправностей». Выберите командную строку, когда она загрузится, введите:

bootrec / FixMbr

Подождите, пока операция завершится. Если все прошло успешно, на экране появится сообщение о подтверждении.

Нажмите клавишу «Enter» и перезагрузите компьютер.

Для Windows 10:

Загрузите Windows 10. На экране приветствия нажмите кнопку «Восстановить компьютер», выберите «Устранение неисправностей».

Выберите командную строку. Когда загрузится командная строка, введите команду:

bootrec / FixMbr

Подождите, пока операция завершится. Если все прошло успешно, на экране появится сообщение о подтверждении.

Нажмите клавишу «Enter» и перезагрузите компьютер.

(Petya.A), и дала ряд советов.

По данным СБУ, инфицирование операционных систем преимущественно происходило через открытие вредоносных приложений (документов Word, PDF-файлов), которые были направлены на электронные адреса многих коммерческих и государственных структур.

“Атака, основной целью которой было распространение шифровальщика файлов Petya.A, использовала сетевую уязвимость MS17-010, в результате эксплуатации которой на инфицированную машину устанавливался набор скриптов, которые использовали злоумышленники для запуска упомянутого шифровальщика файлов“, - заявила СБУ.

Вирус атакует компьютеры под управлением ОС Windows путем шифрования файлов пользователя, после чего выводит сообщение о преобразовании файлов с предложением произвести оплату ключа дешифрования в биткоинах в эквиваленте суммы $300 для разблокировки данных.

“Зашифрованные данные, к сожалению, расшифровке не подлежат. Продолжается работа над возможностью дешифровки зашифрованных данных“, - заявили в СБУ.

Что делать, чтобы уберечься от вируса

1. Если компьютер включен и работает нормально, но вы подозреваете, что он может быть заражен, ни в коем случае не перезагружайте его (если ПК уже пострадал - тоже не перезагружайте его) - вирус срабатывает при перезагрузке и зашифровывает все файлы, содержащиеся на компьютере.

2. Сохраните все самые ценные файлы на отдельный не подключенный к компьютеру носитель, а в идеале - сделайте резервную копию вместе с ОС.

3. Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла: C:/Windows/perfc.dat

4. В зависимости от версии ОС Windows установить патч .

5. Убедиться, что на всех компьютерных системах установлено антивирусное программное обеспечение, которое функционирует должным образом и использует актуальные базы вирусных сигнатур. При необходимости установить и обновить антивирус.

6. Для уменьшения риска заражения, следует внимательно относиться ко всей электронной корреспонденции, не загружать и не открывать приложения в письмах, которые присланные от неизвестных людей. В случае получения письма от известного адреса, который вызывает подозрение, - связаться с отправителем и подтвердить факт отправки письма.

7. Сделать резервные копии всех критически важных данных.

Довести до работников структурных подразделений указанную информацию, не допускать работников к работе с компьютерами, на которых не установлены указанные патчи, независимо от факта подключения к локальной или Интернет.

Существует возможность попробовать восстановить доступ к заблокированному указанным вирусом компьютеру с ОС Windows.

Поскольку указанное ВПО вносит изменения в МBR записи из-за чего вместо загрузки операционной системы пользователю показывается окно с текстом о шифровании файлов. Эта проблема решается восстановлением MBR записи. Для этого существуют специальные утилиты. В СБУ использовали для этого утилиту Boot-Repair (инструкция по ссылке).

b). Запустите и убедитесь в том, что были установлены все галочки в окне “Артефакты для сбора“.

c). Во вкладке “Режим сбора журналов Eset“ установите Исходный двоичный код диска.

d). Нажмите на кнопку Собрать.

e). Отправьте архив с журналами.

Если пострадавший ПК включен и еще не выключался, перейдите к выполнению

п. 3 для сбора информации, которая поможет написать декодер,

п. 4 для лечения системы.

С уже пораженного ПК (не загружается) нужно собрать MBR для дальнейшего анализа.

Собрать его можно по следующей инструкции:

a). Загрузите ESET SysRescue Live CD или USB (создание в описано в п.3)

b). Согласитесь с лицензией на пользование

c). Нажмите CTRL + ALT + T (откроется терминал)

d). Напишите команду “parted -l“ без кавычек, параметр этого маленькая буква “L“ и нажмите

e). Смотрите список дисков и идентифицируйте пораженный ПК (должен быть один из /dev/sda)

f). Напишите команду “dd if=/dev/sda of=/home/eset/petya.img bs=4096 count=256“ без кавычек, вместо “/dev/sda“ используйте диск, который определили в предыдущем шаге и нажмите (Файл/home/eset/petya.img будет создан)

g). Подключите флешку и скопируйте файл /home/eset/petya.img

h). Компьютер можно выключить.

Смотри также - Омелян про зашиту от кибератак

Омелян про зашиту от кибератак

27.06.2017, для тех кто не делает бэкапы на съемные носители, стал самым черным днём, когда вирус-вайпер Petya за каких-то полчаса своей работы уничтожил у кого-то неделю, а у кого-то 10-12 лет наработок, архива ценных файлов, баз данных и прочего. Заставив начать жизнь с чистого листа. Однако есть шанс спасти хотя бы архивы Outlook и фото. Подробности под катом.
Вирус работал в два этапа: шифровал файлы (причем не все и не полностью), затем инициировал перезагрузку и после перезагрузки шифровал загрузчик (MBR) жесткого диска. В итоге жесткий диск превращался в условную «тыкву», из которой ничего не вытащить.
В случае, если ПК пережил только первый этап, то после восстановления MBR можно полноценно продолжать работать за ПК и наблюдать последствия работы шифровальщика файлов и искать те, что уцелели. Если ПК пережил два этапа, то всё гораздо хуже и даже просто вытащить файлы гораздо сложнее.

Поиск информации в Рунете по способам спасения информации с такого жесткого диска практически нет, поэтому мне пришлось опытным путем подбирать оптимальную стратегию поиска и восстановления того, что могло уцелеть. Были опробованы порядка десятка программ восстановления информации, но больше всего информации удалось вытащить при помощи программы R-Studio, о ней и пойдет речь далее, с описанием последовательности действий для спасения (все действия будут осуществляться под Windows 7, но я думаю неважно какая версия windows у вас лишь бы запустился R-studio).

Скажу сразу - вытащить можно почти все файлы, но они будут зашифрованы, кроме файлов которые не шифровались, как правило фотографии и видео. Восстановить некоторые файлы можно будет при наличии утилит, которые предусмотрели разработчики соответствующего формата файлов. На примере ниже мы рассмотрим процесс спасения файла архива от Outlook.

Итак последовательность действий:

1. Подключаем неотформатированный зашифрованный диск (это ключевое требование, если диск форматировался или на нем была переустановлена ОС, то шансы восстановить хоть что-то стремятся к нулю), который прошел 2 этапа шифрования с потерей файловой системы, к ПК под управлением Windows (подключать можно как напрямую к материнской плате через порты sata/ide так и через USB адаптеры, кому как удобнее). И после загрузки ПК получаем сообщение о необходимости отформатировать вновь подключенный диск (в моем случае это диск G).

Скриншот

Жмем отмену. Убеждаемся, что наш диск действительно поврежден, в диспетчере дисков он определится с файловой системой RAW:

Скриншот

2. Запускаем программу R-Studio (я использовал версию 8.2) и смотрим найденные диски. Наш подопытный жесткий диск объемом 320 Гб был подключен через док-станцию USB 3.0 и определился как JMicron Tech 023 под буквой «G».

Скриншот

Далее делаем двойной клик на строку с диском «G», как на рисунке выше, и ждем окончания сканирования диска.

3. Нам откроется окно R-Studio с результатами сканирования (см. рис. ниже):

Скриншот

Как правило, находится очень мало папок с понятным названием, всё самое ценное находится в разделе «Дополнительно найденные файлы». Поэтому переходим к следующему шагу.

4. Выделяем мышкой строку «Дополнительно найденный файлы» и жмем кнопку «Найти/отметить» на панели управления программы.

5. В открывшемся окне выбираем поиск по расширению файлов и указываем расширение pst (формат файла архивных папок Outlook) и нажимаем кнопку «Да».

Скриншот

6. Поиск нам найдет архивные файлы, их может быть много и в разных папках. Поэтому ориентируемся на путь, по которому у вас хранились архивные файлы. На примере ниже видно, что искомые файлы находились в папке «Файлы Outlook».

Скриншот

Прошу обратить внимание, что если посмотреть на левое меню и подняться вверх по иерархии папок, то видно, что эта папка расположена в папке учетной записи пользователя и там есть папки Desktop, Documents и т.д. Таким образом можно вытащить фото и другие файлы, которые хранились у пользователя в этих папках.

Скриншот

7. Далее ставим галочки на искомых файлах с расширением pst и жмём кнопку «Восстановить помеченные», указываем место для сохранения спасаемых файлов (в моем случае это папка Recover на диске С). Ждем окончания процесса копирования файлов.

Скриншот

8. Восстановленный файл архива как правило поврежден и не определяется программой Outlook. К счастью у больших файлов вирус шифровал только первый мегабайт, оставляя остальное нетронутым. Поэтому нам нужно попытаться восстановить структуру архива, для этого есть несколько способов:

А) Использовать утилиту SCANPST входящую в стандартный комплект MS Office. Например в MS Office 2010 эта утилита находится в папке C:\Program Files (x86)\Microsoft Office\Office14\ если у вас 64 битной Windows и по пути C:\Program Files\Microsoft Office\Office14 при использовании 32-битной версии Windows.

Б) Использовать утилиты сторонних разработчиков. Коих можно найти много на просторах гугла.

Я использовал первый вариант и в принципе он сработал на всех ПК, которые мне принесли на восстановление.

Также прилагаю к посту ссылку на пошаговую инструкцию по работе с утилитой SCANPST.

На этом собственно всё, другие файлы восстанавливаются аналогичным алгоритмом, необходимо только подставить нужное расширение файла, либо вручную пролистать все папки в разделе «Дополнительно найденные файлы» и выбрать что именно необходимо восстановить.
Если кому-то мой пост покажется «капитанским» просьба сильно не критиковать, не у всех есть опыт восстановления данных и проверенные инструменты. Если остались еще вопросы можете писать в ЛС или тут в комментариях.

Самыми уязвимыми операционными системами перед вирусами и вредоносными программами являются Windows и Android, значительно реже страдают Linux и OS X. Задачи, которые решают вирусы, достаточно разнообразны, однако в последнее время наблюдается просто вал шифровальщиков, противостоять которым становится все сложнее. И если обычные вирусы можно было вылечить, то против шифровальщика, который уже проник в систему, инструментов для расшифровки не существует.

Мы уже писали, про , который проникая в систему модифицировал загрузочный сектор на накопителе, в результате при загрузке компьютера выходило сообщение о повреждении данных, после чего запускалась утилита CHKDSK. На самом деле вместо работы CHKDSK происходило шифрование данных. По окончании шифрования пользователю выдавалось окно с требованием о выкупе, причем сумма выкупа через неделю удваивалась.

Но то ли автор вируса Petya что-то недоработал, то ли просто допустил ошибку в коде, но некоторым пользователям удалось создать инструменты, позволяющие вылечить зашифрованные данные. Для начала скачиваем вот эту утилиту

(cкачиваний: 241)

.

Сразу предупредим, информация только для опытных или достаточно уверенных пользователей, поскольку предполагает знание технической части компьютера. Во всех остальных случаях рекомендуем обратиться к специалистам в мастерскую ремонт компьютеров Киев , где опытные мастера проведут полный комплекс мероприятий по восстановлению работоспособности компьютера.

1. Подключаем зашифрованный Петей жесткий диск к другому компьютеру, запускаем утилиту Petya Sector Extractor, программа определит на каком из дисков Петя и сообщит об этом.

2. Переходим в интернете по адресам https://petya-pay-no-ransom.herokuapp.com или https://petya-pay-no-ransom-mirror1.herokuapp.com/, там будут два текстовых поля называющихся Base64encoded 512 bytes verificationdata и Base64encoded 8 bytes nonce, которые нужно будет заполнить, чтобы получить ключ.

3. Для поля Base64encoded 512 bytes verification data в программе Petya Sector Extractor нужно будет кликнуть по кнопке CopySector в Petya Extractor, для поля Base64 encoded 8 bytes nonce данные получаем нажав по кнопке Copy Nonce. После чего утилиту Petya Sector Extractor можно закрыть. Заполнив поля жмем Submit и ждем пару минут, в результате получаем необходимую комбинацию, которую или запомните, или запишите куда-нибудь.

4. Вставляете злополучный жёсткий диск назад, включаете компьютер, дожидаетесь требования Пети ввести код, если все было сделано правильно, то вирус должен будет начать расшифровку данных на диске и после завершения операции компьютер перезагрузится уже в обычном режиме.

Как видите вылечиться от вируса Petya все-таки можно, но на будущее, чтобы избежать подобных инцидентов, стоит пользоваться антивирусными программами. Тем более, что на днях появился у Пети друг, вирус под названием Misha, еще более изощренный и от которого пока нет никакого лекарства.

Исследователи и эксперты в области кибербезопасности сообщают, что вирус, который (больше всего от атаки пострадала Украина, на которую изначально был нацелен этот вирус), создан с намеренной целью полностью выводить из строя машины жертв и не предусматривает системы расшифровки информации. Если вирус Petya.C поразил компьютер, на определенном этапе пользователь еще может перезапустить систему, но вот расшифровать информацию уже не получится.

Представители компаний «Сайберсекьюрити и Ко » и Positive Technologies , а также официальное представительство СБУ Украины рассказали о том, что при первых признаках заражения единственным способом предотвратить шифрование информации будет выключение компьютера.

Когда вредоносный код попадает на устройство жертвы, вирус создает отложенную задачу на перезагрузку девайса. До этого момента можно выполнить команду bootrec /fixMbr для восстановления раздела. За счет этого система сохранит работоспособность, но файлы все равно будут зашифрованы. Это – билет в один конец. Petya.C действует таким образом, что при заражении генерирует специальный ключ дешифровки, который практически сразу же удаляется.

После успешного шифрования информации компьютера на экран выводится сообщение с требованием заплатить 300 долларов в биткоинах, чтобы получить ключ для расшифровки информации. На счет хакеров уже поступило несколько тысяч долларов, но ни одна из жертв не получила нужный код. Дело в том, что германский провайдер электронной почты заблокировал ящик злоумышленников, который был единственным способом связаться с хакерами. Кроме того, представители «Лаборатории Касперского» сообщили, что сами авторы Petya.C не имеют физической возможности расшифровать компьютеры своих жертв, поскольку вирус не предусматривает создание идентификатора компьютеры жертвы, который позволил бы хакерам отправить ключ.

Для шифрования устройств Petya.C использует уязвимость EternalBlue, которая утекла из-под АНБ в начале этого года. Этот же эксплойт использовали создатели вымогателя WannaCry в мае. Microsoft выпустила необходимые патчи еще в марте этого года и даже обновила Windows XP, чтобы предотвратить дальнейшие заражения. Компания предупредила, что подобные атаки с большой долей вероятности будут повторяться, поэтому пользователям необходимо как можно скорее обновить свои компьютеры. Никто не отрицает тот факт, что в будущем может появиться еще какой-нибудь Vasia или Lyosha, который попытается повторить "успех" WannaCry или Petya.C.

Напомним, что Microsoft объявила ряд изменений в системах безопасности Windows 10, которые сделаны для предотвращения повторных атак в будущем. Компания уже (он использовался в атаках WannaCry и Petya.C), а также добавит , усложняющих использование эксплойта для заражения компьютера жертвы.