Добрый день!
Как то столкнулся с Trojan-Ransom.Win32.Onion, для шифрования, он использует криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной. Так пишет Касперский. Вопрос, может ли Ваша компания написать дишефратор?

А Касперский смог его "тюкнуть"?

_________________
Каждый человек бессмертен, по своему.

Дело в том, что если открыт доступ по сети, на изменения в директории на doc, docx, zip, и так далее, то он их шифрует в *.bmp.fcfafqf, т.е. он не пытается проникнуть в машину, а только портит данные. Т.к. идет обращение к таким файлам Касперский не видит в этом угрозы, т.к. то же самое можно с эмулировать к примеру, обращение к файлу тем же самым Word, или банально с Explorer переименование типа файлов))). Вот такая бяка.

Здравствуйте.

К сожалению, зашифрованные файлы можно восстановить только зная ключ (который сейчас, как правило, уникален для каждого зараженного ПК и хранится на удаленном сервере). Криптостойкие алгоритмы получили свое название не просто так - приведу цитату из Википедии:

В первых вариантах троянцев-шифрователей использовались относительно простые алгоритмы шифрования, это оставляло возможность написать утилиту дешифровки. К сожалению, вредоносное ПО не стоит на месте - вирусописатели освоили криптографию и теперь активно её используют.

Спасибо, за очень подробное объяснение!

А если следить за выполняемым процессом, который уже запущен (который является трояном-шифровальшиком) , запоминая какие команды выполнил процессор - а потом эти команды в обратном порядке выполнить - не получится расшифровать файлы ? Почему ?

Если дизассемблером узнать, какие команды троян выполняет (exe-файл) , и потом эти команды задом наперед выполнить - файлы не расшифруются ?

Как выше было отмечено, вирусописатели освоили криптографию и во всю используют так называемое асимметричное шифрование. Соответственно и ответ, если коротко, то нет.
Если долго, то Вам сюда
Если на пальцах: для шифрования нужен один пароль (ключ), а для расшифровки нужен совсем другой пароль (ключ), который известен только злоумышленнику.
Также нельзя упускать из виду шанс простого "кидалова", когда первый ключ формируется случайным образом, а второго просто не существует.

_________________
И лишь ненависть к windows
В глазах огонь зажигает,
Как индикатор hard-диска.

Простое средство защиты и не допускание данных инцидентов - домен, закрыть все)...

XMack, все верно описал. Даже если антивирус на конкретной машине пользователя будет сохранять всю информацию о действиях процесса (что само по себе требует значительных вычислительных ресурсов), этого наверняка окажется недостаточно для расшифровки.

Если в HIPS конкретной программе (которая является трояном-шифровальшиком, но его нет в вирусных базах) запрещено создание, изменение конкретных файлов, и когда троян ( файл e54673.exe) будет запущен, и процесс e54673.exe создает поток в процессе explorer.exe - то процесс explorer.exe будет шифровать все файлы ?

Этот поток, созданный в процессе explorer.exe, наследует ли права от e54673.exe ? Всем потокам, которые создал процесс e54673.exe, запрещено создание, изменение конкретных файлов, верно ?

Или процесс "explorer.exe" не сможет изменить эти файлы, а в журнале будет записано, что "e54673.exe" внедрился в другой процесс и "explorer.exe" пытался изменить эти файлы ? Если включено "записывать в журнал ."