Шифровальщик VAULT впервые появился в России в феврале 2015г ., приобретя репутацию одного из наиболее опасных и неизлечимых вирусов. В ноябре началась вторая волна заражений, носящая более массовый характер. Третья волна приходится на середину января 2016г. и превосходит предыдущие по количеству зараженных устройств.
В этой статье мы расскажем:
что собой представляет вирус VAULT
какие типы документов шифрует инкодер
как защитить компьютер от атак шифровальщика
как удалить VAULT с компьютера
как восстановить файлы VAULT
дешифратор VAULT в компьютерных сервисах
Что такое вирус-шифровальщик VAULT?
Вирус VAULT является одной из разновидностей трояна-инкодера.
Проникая на компьютер при помощи действий пользователя, программа шифрует определенный тип данных десятками алгоритмов с уникальной закономерностью.
Исходные данные не удаляются, а замещаются поврежденными, что делает возможность их восстановления практически невозможной.
Ключ, дающий возможность расшифровки информации, автоматически удаляется из системы по окончании шифрования.
Целью злоумышленников является вымогательство денег в обмен на расшифровку данных. Вероятность расшифровки файлов даже в этом случае не превышает 50%.
Пример заражения компьютера вирусом VAULT: на рабочий e-mail приходит запрос первичной документации от контрагента, либо уведомление о необходимости установить пакет обновлений от КонсультантПлюс. К письму прилагается файл с пояснительной информацией. Как только исполняемый и вспомогательный файлы запущены, начинается процесс шифрования данных.
Какие файлы шифрует VAULT?
Злоумышленников интересует коммерческая информация, а также фото-, аудио- и видеоматериалы. Таким образом, под ударом оказываются файлы следующих расширений: .rar, .zip, .jpg, .psd, .doc, .xls, .ppt, .pdf, .mp3, .ogg, .avi, .mpeg, .html, .txt, базы данных 1С и т.д.
При заражении компьютера в каждой папке создается текстовый документ с контактами мошенников. Стоимость расшифровки данных варьируется от 10 $ до 50 000 $. Оценка стоимости производится мошенниками после выхода пользователя на связь. Величина выкупа зависит от объема зашифрованной информации. При этом нет никаких гарантий того, что данные будут восстановлены хотя бы частично.
Как защитить компьютер от шифратора VAULT?
В большинстве случаев, заражение происходит при отсутствии антивируса на компьютере, либо использовании бесплатной версии ПО. Наименее надежным, по нашему мнению, является антивирус Avast.
Тем не менее, нередко жертвами становятся и обладатели лицензированного антивирусного пакета программ, в том числе корпоративных версий.
Специалисты в сфере IT безопасности компаний ESET и Dr.Web выработали ряд универсальных рекомендаций , способствующих защите компьютера или ноутбука от вируса VAULT и аналогичных троянов-шифровальщиков:
своевременно устанавливайте критические обновления операционной системы
выбирайте антивирусные программы со встроенным фаерволом
запретите прием и передачу исполняемых файлов (.exe) на почтовом сервере
запретите выполнение макросов в Microsoft Office, либо аналогичном ПО
регулярно осуществляйте резервное копирование данных
дублируйте важную информацию на внешний носитель
Как удалить VAULT с компьютера?
На данный момент заражение вирусом VAULT и шифрование данных является однократным и не влечет за собой инфицирование системных файлов. Таким образом, для удаления вируса из системы достаточно сканирования утилитой CureIt от Dr.Web. Однако следует помнить , что попытки вылечить или удалить зараженные файлы, а также переустановить Windows, сведут возможность восстановить зашифрованные данные к нулю.
То есть, в удалении вируса нет ничего сложного, если вы готовы навсегда расстаться с зашифрованной информацией, либо у вас имеются резервные копии на внешнем носителе.
Как восстановить файлы VAULT?
Как только вы обнаружили заражение Увидели измененные иконки файлов и новый тип расширений, например, .doc.vault , немедленно выключите компьютер или ноутбук. Чем дольше он будет работать, тем большее число файлов вы потеряете.
Повторим: сканирование диска антивирусом, лечение файлов, переустановка системы и прочие стандартные средства лишь снизят вероятность расшифровки данных.
Ни один из разработчиков антивирусного ПО до сих пор не смог создать утилиту для расшифровки информации, подвергнутой действию VAULT.
Точки восстановления системы вирусом уничтожаются. Существует шанс восстановить Windows из теневых копий при помощи утилиты Shadow Editor при работе с Windows Vista /7 /8 /10. Но в большинстве случаев, теневые копии также исчезают.
Если вы обладаете лицензионным продуктом NOD32 или Dr.Web, вы можете обратиться в их техническую поддержку с запросом о расшифровке данных.
Помимо этого, специалисты рекомендуют обратиться в полицию с заявлением , так как в действиях злоумышленников присутствуют признаки преступлений, предусмотренных ст. ст. 159.6, 163, 165, 272, 273 УК РФ.
Файлы с расширением.vault являются следствием работы вируса-шифровальщика. Разные версии этого вируса-шифровальщика ведут себя по-разному, как правило они шифруют содержимое всех документов и изображений до которых могут дотянуться и меняют расширение файла на.vault. Т.е. файлы с расширением.doc, .xls, .jpg, .pdf и прочие, внезапно переименовываются в.doc.vault, .xls.vault, .jpg.vault, .pdf.vault. Открыть их при помощи привычных программ не удается. Обычно такая неприятность сопровождается сообщением на рабочем столе, в котором злоумышленники сообщают, что документы были зашифрованы и для их расшифровки нужно заплатить определенную сумму определенным образом.
Платить деньги изготовителям вируса - последнее дело. Ведь отдавая им деньги, мы тем самым поощряем их дальнейшую деятельность.
Что делать, если на вашем компьютере появились файлы с расширением.vault?
Отключите компьютер! Сразу! Возможно даже выдернув его из розетки или выключив сетевой фильтр. Ведь каждую секунду вредоносная программа зашифровывает ваши файлы. Чем мощнее компьютер, тем быстрее шифруются документы.
Если не чуствуете себя уверенно, вызовите компьютерного специалиста, который сможет помочь.
Если на вашем компьютере был установлен коммерческий антивирус, то стоит обратиться в техническую поддержку компании производителя антивируса. Техподдержка раскажет смогут ли они вам помочь с расшифровкой и дадут все необходимые инструкции: что им прислать и в каком виде.
Ну а если чуствуете в себе силы побороться с вирусом самостоятельно, то стоит вооружиться загрузочной флешкой или диском, чтобы загрузить компьютер в незараженную операционную систему и оттуда разбираться с заразой. (см. «Как лечить компьютер от вирусов?»)
В первую очередь, необходимо удалить сам шифровальщик. Вариаций этих вирусов-шифровальщиков очень много, но очень часто тело самого вируса можно найти в папке временных файлов - C:\Users\ИМЯ-ПОЛЬЗОВАТЕЛЯ\AppData\Local\Temp (для Windows 7, 8, 10) или C:\Documents and Settings\ИМЯ-ПОЛЬЗОВАТЕЛЯ\Local Settings\Temp (для Windows XP). Проверьте реестр, папки автозапуска, там может быть точное указание на сам вирус.
После удаления заразы с компьютера можно приступать к восстановлению данных. В этом вам должны помочь резервные копии и теневое копирование.
Если вы не нашли ответ или нужную информацию, задайте вопрос через
Vault — это шифровальщик файлов, заменяющий расширение документов и файлов на свое, после чего открыть их нереально. Поэтому мы подробно разберем, как восстановить файлы повреждённые вирусом Vault.
При попадании на компьютер, вирус Ваулт начинает шифровать файлы с расширением .pdf, .doc, .docx, .zip, .jpeg, .xls, .xlsx и многие другие. После заражения файлы так и будут иметь свое расширение, но к ним дополнительно будет прикреплено расширение.vault. Естественно, после встречи с таким интересным вирусом пользователь как минимум впадет в ступор, и начнет искать пути, которые позволят снова открывать зашифрованные файлы и восстанавливать их. К большому сожалению, нам придется вас разочаровать, ведь простого и бесплатного решения по восстановлению Vault файлов не существует в силу технических особенностей самого шифровальщика. В общем, обо всем по порядку.
Как Vault может попасть на компьютер
Обычно вирус Vault попадает на компьютер после того, как пользователь открыл письмо, пришедшее на электронную почту, в заглавии котором говорится, что его нужно срочно открыть и прочитать. Как правило, это письмо, высланное от имени банка, партнеров или просто какой-то спам. Собственно в нем находится скрипт с расширением .js , который инициирует процесс загрузки шифровальщика из хакерских серверов.
Тут важно отметить, что шифровальщик Vault — это не запрещенное криптографическое приложение GPG, использующее алгоритм rsa-1024 для шифрования файлов. Само приложение якобы не является вирусом, поэтому антивирусные программы не будут его перехватывать. После того, как шифровальщик начнет действовать на вашем компьютере, то он сразу же создаст на вашем компьютере открытый ключ шифрования, а на сервере мошенников будет сформирован закрытый ключ. Также заметим, что в ряде случаев ПО способно заражать компьютеры, которые находятся в одной сети с вашим, уже пораженным.
Удаление шифровальщика Vault
Как только вы заметите на ваших файлах расширение .vault , то сразу вырубайте сеть, прекращайте выполнять работу в приложениях, не стоит также открывать папки лишний раз. Перезагрузитесь и войдите через безопасный режим.
Удалить ПО несложно — просто вбейте в поиске Google запрос «популярные программы для удаления шифраторов». Но это не решит проблему — все только начинается, к сожалению.
Сам так называемый вирус прячется в папке Temp , и состоит он из таких файлов:
- 3c21b8d9.cmd;
- fabac41c.js;
- VAULT.txt;
- Sdc0.bat;
- VAULT.KEY;
- CONFIRMATION.KEY.
Все вышеперечисленные файлы, кроме двух последних, можно удалять (об этом далее!). Запустите какой-нибудь клинер, почистите реестр, автозагрузку. Те два файла необходимо оставлять на компьютере потому что:
- VAULT.KEY — это ключ шифрования. Если вы его удалите, то навечно заблокируете свои файлы, то есть удалять этот файл нельзя ни в коем случае!;
- CONFIRMATION.KEY — содержит точную информацию о количестве заблокированных файлов, необходим для злоумышленников.
Восстановление файлов Ваулт
Самое страшное и неприятное — файлы останутся зашифрованными до тех пор, пока вы не заплатите злоумышленникам. Бесплатных дешифраторов Vault просто не существует, а файлы с ключом rsa-1024 открываются только исходной программой (которая, конечно, находится у хакеров).
Способы восстановления ПК от Vault:
- Если у вас активен инструмент восстановления системы, то вы сможете восстановить старые версии файлов. Чтобы это сделать зайдите в свойства файла и перейдите на вкладку «Предыдущие версии»;
- В случае с сетевыми дисками — проверьте корзину — там могут находиться нормальные версии файлов;
- Если вы пользуетесь облачным хранилищем, то просмотрите корзину и там. Вдруг там что-то завалялось из ваших документов или файлов.
Если вы ничего не нашли, у нас плохие новости — для восстановления файлов Vault придется платить злоумышленникам. Тут заметим немаловажный момент: на форумах люди пишут, что мошенники реально восстанавливают файлы, но только нужно заплатить. Было бы это не так, об этом бы сразу же «раскричалось» и люди бы не велись на это.
Как платить мошенникам — вы узнаете из текстового файла (появляется при попытке открыть зашифрованный Vault файл). Вам придется запустить браузер Тоr и перейти на сайт злоумышленников. Тут будет мануал по работе с сайтом и внимание — у них имеется даже гибкая система скидок для восстановления файлов поражённых вирусом Vault.
Если у Вас не получается что то сделать самостоятельно, то советуем обратится в скорую компьютерную помощь — pchelp24.com, приемлемые цены, опытные специалисты, бесплатный вызов и диагностика.
Вирусы могут создавать назойливую рекламу и использовать ваш трафик для своих нужд. Но вдвойне неприятно, когда хакеры опускаются к шантажу, ограничивая доступ к вашим файлам и требуют деньги. Если вы потеряли доступ к документам, и для нормальной работы нужно заплатить, то вы стали жертвой опасного вируса Vault который активно распространяется по сети.
Что представляет собой вирус Vault?
Данный вирус относится к программам-шифровальщикам. Он загружает на ваш компьютер простую программу, которая зашифровывает файлы Word, Excel, mp3-файлы, графические изображения, присваивая им расширение *.Vault.
После шифровки, пользователь полностью теряет доступ к данным. Для возобновления доступа, программой создается специальный ключ. Он остается в руках хакеров. За предоставление ключа, шантажисты требуют деньги.
Пути распространения
Вирус распространяется в замаскированном виде через электронную почту, Skype или социальные сети. Представляет собой исполняемый скрипт с расширением.js. В ряде случаев злоумышленники запаковывают вирус в архив, чтобы его сложнее можно было отследить.
После того, как пользователь запускает скрипт, вирус скачивается с серверов хакеров, а затем поселяется в папке TEMP и шифрует файлы. Антивирусы не блокируют Vault, т.к. видят в нем безопасный шифровальщик, - полезную утилиту, которую используют для защиты данных от взломщиков.
Удаление
К тому моменту, когда вы обнаружили вирус, он уже успел сделать грязную работу. Поэтому, хакеры особо не заморачиваются над тем, чтобы создавать какую-либо защиту для своего детища. Файлы трояна расположены в .
Удалять все подряд ни в коем случае нельзя. Перед тем как удалить вирус Vault с компьютера, обязательно сохраните следующие файлы:
- CONFIRMATION.KEY - отображает количество зашифрованных файлов. Это своеобразная «смета» для злоумышленников. Благодаря ей, они определяют количество средств, которые они готовы потребовать за возобновление доступа.
- Vault.KEY - ключ к данным. Он содержит идентификатор, который используют хакеры, чтобы подобрать ключ доступа к именно вашим файлам.
- Vault.txt - общая информация о порядке возобновления и сайте взломщиков.
Не факт, что эти файлы вам понадобятся. Но на всякий случай лучше их хранить.
После того как вы очистили папку, сканируйте систему бесплатной программой CureIT от DrWeb , и . Затем нужно перезагрузить компьютер и запустить диспетчер задач. Если среди процессов нет подозрительных, значит, все прошло правильно, и самая легкая часть пути осталась позади.
Расшифровка файлов после заражения
В своих обращениях к жертвам, хакеры пишут: «Поспешите, у вас мало времени», или «Время работает против вас». Злоумышленникам нужно, чтобы вы паниковали, чтобы приняли спонтанное решение, не думая расстались с деньгами за доступ к важным файлам. Действовать нужно строго наоборот. У вас есть зашифрованные файлы, и способы вернуть к ним доступ:
- Купить ключ у вымогателей.
- Попытаться найти следы ключа на своем компьютере.
- Восстановить резервные копии файлов.
- Воспользоваться решениями от антивирусных лабораторий.
Покупка ключа у хакеров
Покупать ключ у хакеров, это как выполнять требования террористов. С моральной точки зрения – очевидно, худшая затея. Деньги, которыми вы спонсируете собственный обман позже потратят на усовершенствованные виды мошенничества. Но этот вариант имеет место, ведь есть подтвержденные случаи возвращения доступа после оплаты.
Поиск дешифратора в системе
Гораздо лучше – попытаться восстановить файлы самостоятельно. Есть простой способ как восстановить файлы после Vault вируса. Поскольку в основе вредоносного ПО лежит безопасная программа-шифровщик, дешифровальный ключ создается изначально на жестком диске компьютера. Затем он отправляется на сервер взломщиков. А уже потом – удаляется. Поэтому первым делом ищите ключ. Возможно, он еще не удален. Имя ключа secring.gpg. Если удастся найти его в системе – вам повезло.
Восстановление сохраненных копий
Можно также восстановить копии файлов. Если у вас активирована защита системы, Windows применяет к файлам процедуру резервного копирования. Жмем на файл правой кнопкой, открываем вкладку «Свойства». В открывшемся окне нажимаем «Предыдущие версии». Восстанавливаем их, и пользуемся.
Совет! Старайтесь не забывать о . Они могут выручить вас там, где не работают обычные методы устранения проблемы.
Решения от антивирусных лабораторий
И «Лаборатория Касперского» и DrWeb признают, что бороться с шифровальными вирусами тяжело. Также трудно и определить их в системе. Но у антивирусных лабораторий есть дешифраторы, которые в ряде случаев помогают в ситуации. У «Касперского» это RectorDecryptor. Утилита сама ищет и исправляет пораженные файлы.
Если этот вариант не помог, отправляйте файл на анализ в DrWeb, и там подберут дешифратор к конкретному случаю. Запрос с описанием проблемы пишите в поддержку на официальном сайте лаборатории. Ознакомившись с проблемой, специалисты предложат отправить 3 файла:
- CONFIRMATION.KEY;
- Vault.KEY;
- Пример зашифрованного файла.
В результате, вы получите или настроенную под конкретный случай утилиту для разблокировки всех файлов либо существующего файла.
Услуги сторонних компаний
В связи с распространением вируса, участилось количество веб-сервисов, предлагающих разблокировку за деньги. Пользоваться такими услугами нельзя ни в коем случае. Как предупреждают в «Лаборатории Касперского», в случае, когда прогрессивные аналитические центры не способны решить проблему, надеяться на спасение от сомнительной организации не стоит.
Не стоит пользоваться и программами, которые предлагают установить такие организации. Vault часто использует открытый способ шифровки RSA-1024 , и технически, разблокировать его машинным способом просто невозможно.
Как уберечь себя от вируса в будущем
Vault-вирус крайне редко определяется антивирусными программами. Поэтом, есть ряд правил, руководствуясь которыми можно уберечь себя от шифровальщиков в будущем:
- Проверяйте файлы. Документы с расширением.js, которые приходят вам на почту или в социальные сети, априори опасны. Открывать их не стоит, а если вы хотите принять участие в борьбе с хакерами – лучше сразу отправлять на анализ в антивирусные лаборатории.
- Копируйте данные. Храните резервные копии там, где вирус не сможет их повредить. Используйте съемные носители. Синхронизируйте с облачными сервисами, такими как OneCloud, DropBox, GoogleDrive, или Я.Диск.
- Доверяйте проверенным источником. Отказывайтесь от программ, в источниках которых вы не уверены. Если у приложения доступен официальный поставщик – лучше пользоваться им, а не решениями от неизвестных организаций.
- Откажитесь от пиратской продукции. Мошенники не приходят одни. Когда вы скачиваете взломанную игру, или программное обеспечение, то рискуете получить вшитый вирус. Лицензия - это растраты. Вместе с тем и безопасность.
На сегодняшний день тема Vault-вирусов достаточно актуальна. Очень многие пользователи часто интересуются, а что же делать в случае заражения персонального компьютера, и что можно предпринять, чтобы удалить вредоносную программу раз и навсегда.
Vault-вирус – это некий шифровальщик данных. Он проникает в систему и меняет расширения данных, которые находятся на компьютере. Намного серьезнее проблема становится в тот момент, когда вирус поражает системные файлы.
Когда компьютер заражается Vault-вирусом, в первую очередь важно определить, откуда он появился. Шифровальщик данных может выглядеть по-разному. У одних пользователей он выглядит как программа архиватор, у других выступает в качестве расширения для браузера. В любой из этих случаев выход лишь один – это удаление, поэтому рассмотрим подробнее vault вирус и как удалить его.
Как удалить вирус Vault?
Чтобы избавиться от вируса, необходимо просканировать компьютер на наличие вирусов и шпионов. Здесь на помощь придет антивирусная программа. Самым оптимальным вариантом будет Nod32 или Dr.Web. Можно применять и «Аваст». В первую очередь у антивирусной программы необходимо обновить вирусную базу данных. После этого только приступать к глубокой проверке. Процедура обычно занимает достаточное количество времени.
После проверки системы антивирусной программой необходимо проанализировать результаты. В перечне удаленных вредоносных программ должен присутствовать вирус шифровальщик vault. Все вредоносные программы необходимо вылечить либо, в случае если это действие будет недоступно, удалить их. После этого необходимо преступить к следующему этапу.
Vault-вирусы часто любят создавать разный бесполезный контент. при этом зашифровывая данные. Этот контент, а также программы, которые долгое время не использовались, необходимо удалить с компьютера. Удаление этих вещей значительно упрощает решение проблемы.
Для этого необходимо зайти в «Панель управления» и найти «Установка и удаление программ». После загрузки списка, необходимо удалить все незнакомые программы. Важно также удалить и приложения, которыми долгое время уже никто не пользовался. Следующим шагом будет очистка реестра.
Многие пользователи, которые задумываются о vault вирусе и как удалить его, практически не уделяют внимания реестру. Это напрасно, так как в реестре регистрируются все программы, в том числе и вредоносные. Для очистки реестра от вредоносной программы необходимо выполнить следующие действия.
Нажав на клавиатуре Windows+R, появится окно, в котором нужно запустить команду regedit. Откроется реестр. После попадания в редактор реестра в левой части можно увидеть много различных папок, которые имеют длинные названия. Их надо все обойти по возможности удалить все подозрительные ветки. Главной целью является «Правка» этих файлов. Но хочу предостеречь вас, не надо удалять все файлы с упоминанием слова VAULT, некоторые из них нужны для корректной работы системы.
В процессе избавления от вирусов важно прибегать к помощи дополнительных утилит. Они способны искать вирусы и защищать компьютер путем обезвреживания вредоносных программ. Хорошим примером выступает программа Ccleaner. Программа способна отлично чистить компьютер, а также освобождать место на системном диске.
Для избавления от самого вируса шифровальщика vault можно применять программу SpyHunter, способную обнаруживать шпионов, вирусы и различные вредоносные файлы.
Как восстановить файлы после Vault-вируса?
Чтобы восстановить утраченный контент, можно воспользоваться сохраненными копиями и просто перезаписать данные на устройство. Однако бывают ситуации, когда сохраненных копий просто не существует после того, как в компьютере «похозяйничал» вирус Vault. Как расшифровать файлы, если нет копий. В этом случае придется воспользоваться антивирусными программами. Для этого необходимо отправить зашифрованные данные их службам, которые, в свою очередь, возвращают уже расшифрованные данные. Весьма успешно с этой задачей умеет справляться Dr.Web.