le 9 novembre 2015

Doctor Web annonce la création d'algorithmes de décryptage des fichiers touchés par le Trojan.Encoder.2843, connus des utilisateurs sous le nom " Vault ".

Cette version du malware, baptisée Trojan.Encoder.2843, est distribuée par les malfaiteurs via le spam. Un petit fichier, contenant un script en JavaScript est envoyé en pièce jointe. Ce fichier extrait de lui-même une application qui exécute d'autres opérations requises pour assurer le fonctionnement du Trojan. Cette version du Trojan est distribuée depuis le 02 novembre 2015.

Le principe du fonctionnement de ce malware est très curieux. Une bibliothèque dynamique cryptée (.DLL) est enregistrée dans le registre système Windows et le Trojan intègre également un petit code dans le processus explorer.exe lancé, qui lit le fichier depuis le registre dans la mémoire, le décrypte et y transmet le contrôle du Trojan.

Le Trojan.Encoder.2843 conserve la liste de fichiers qu’il doit crypter dans le registre système et utilise pour chacun une clé unique, composée de lettres latines capitales. Le cryptage des fichiers est effectué en utilisant des algorithmes Blowfish-ECB, la clé de session est cryptée avec RSA à l'aide de l'interface CryptoAPI. Chaque fichier crypté reçoit l'extension .vault.

Les spécialistes de Doctor Web ont développé une technique spéciale, qui permet dans beaucoup de cas de décrypter les fichiers touchés par ce Trojan. Si vous êtes victime du Trojan.Encoder.2843, suivez les instructions suivantes :

• Déposez une plante à la police ;
• n'essayez pas de réinstaller le système d'exploitation, de l'optimiser ni de le nettoyer à l'aide d’utilitaires ;
• ne supprimez pas de fichiers sur votre ordinateur ;
• n'essayez pas de restaurer les fichiers cryptés vous-même ;
• Contactez le support de technique de Doctor Web (ce service est gratuit pour les utilisateurs de licences commerciales Dr.Web) ;
• joignez le fichier crypté par le Trojan ;
• attendez la réponse du support technique ; comme il y a beaucoup de requêtes, cela peut prendre du temps.

Les services de déchiffrement sont gratuits uniquement pour les utilisateurs des produits commerciaux Dr.Web. Doctor Web, Ltd. ne garantit pas le décryptage de tous les fichiers touchés par l'encoder, mais nos spécialistes feront tout leur possible pour restaurer les données cryptées.

Protégez vos fichiers contre l'endommagement par des Trojans en utilisant la Prévention de la perte de données

Disponible uniquement dans Dr.Web Security Space en versions 10 et supérieures

Plus d'infos sur les Encoders

Présentations sur la configuration

Décryptage gratuit de données