Problema con virus crypto (probabilmente)

[Francizio]

Buonasera,
stamani aprendo una mail in azienda è stato scaricato un file che è andato a cryptare dei (tanti) file di un gestionale che utilizziamo in rete. Ovviamente, nonostante sia stato aperto su un client, è sul server che è andato a fare le "modifiche".
Apparentemente, ciò che ha fatto è stato rinominare l'estensione dei file, aggiungendo un'estensione farlocca (in questo caso un .c9f35 alla fine di ogni file). Per cui tutti i jpg ora sono dei .jpg.c9f35, tutti i pdf son diventati .pdf.c9f35, tutti gli eseguibili dei .exe.c9f35, e così via.

Secondo me, il virus è presente solo sul client da cui è stato scaricato il file dalla posta. Difatti sul server solo i file della cartella del gestionale (che era in rete con il client) sono stati modificati. Un virus presente sul server avrebbe probabilmente attaccato anche altri software o file del S.O.

Per cui per ripristinare il server (almeno quello, i client potrebbero essere pure formattati) sarebbe sufficiente rimuovere questa estensione dai file che la contengono. In questo modo i jpg tornerebbero .jpg, i pdf dei .pdf, e via dicendo.
Chiaramente, essendo stati coinvolti centinaia di file, farlo manualmente è una mazzata.

Esiste qualche modo per poter "automatizzare" il processo?
Alla fine è un'operazione talmente banale che mi sembra strano non esista un modo per farlo.

[dirac_sea]

Con Linux è una operazione banale fare quello che chiedi. Se avete (aveste) installato un server Linux siete (sareste) già a metà dell'opera. In alternativa, una workstation Linux che possa accedere via shell o ssh al contenuto del server avendo pieni permessi di lettura e scrittura su directory e files.

https://www.ostechnix.com/how-to-ren...once-in-linux/

[Francizio]

Originariamente inviato da dirac_sea

Con Linux è una operazione banale fare quello che chiedi. Se avete (aveste) installato un server Linux siete (sareste) già a metà dell'opera. In alternativa, una workstation Linux che possa accedere via shell o ssh al contenuto del server avendo pieni permessi di lettura e scrittura su directory e files.

https://www.ostechnix.com/how-to-ren...once-in-linux/

Lo so, utilizzavamo Linux prima che decidessero di passare a Windows.
Ad ogni modo, è un'operazione inutile quella che chiedevo, in quanto i file cryptati, anche nuovamente rinominati e ripristinati con l'estensione originale, restano corrotti e inutilizzabili.

[Perseverance]

Non avete backup, non avete snapshot, non avete controllo accessi, non avete software adeguato; in questa situazione il guaio era già lì pronto ad accadere o per un virus o per una banale svista.

Se vi interessa riavere i file contattate Kaspersky o altra società e se è possibile vi creeranno un decipher apposito per quel virus specifico. Avrà un costo, valutate il dafarsi.

Da voi potete solo staccare la spina alla macchina incriminata senza più accenderla fino a nuove notizie.

[Nicodemo Timoteo Taddeo]

Originariamente inviato da Perseverance

Non avete backup, non avete snapshot, non avete controllo accessi, non avete software adeguato; in questa situazione il guaio era già lì pronto ad accadere o per un virus o per una banale svista.

Se in quella azienda c'è chi pensa che nei file criptati dal ransomware basta togliere l'estensione per farli tornare visibili, ci si spiega il perché di tutte quelle cose

Per cui per ripristinare il server (almeno quello, i client potrebbero essere pure formattati) sarebbe sufficiente rimuovere questa estensione dai file che la contengono. In questo modo i jpg tornerebbero .jpg, i pdf dei .pdf, e via dicendo.

[Unax]

vabbè se uno tiene una pistola nella cinta carica e senza sicura ogni tanto gli può capitare di spararsi sulle palle però vuoi mettere la comodità?

[Comwave]

Ciao, io più di una volta ho risolto il problema del cryptolocker utilizzando le shadow copy del sistema che anche se non sono abilitate puoi recuperarle con shadow copy explorer.

[lemming]

Le shadow copy funzionano bene, tranne che sul disco C. Abiliatare sul disco C, può comportare qualche problemino.
Se non si vuole spendere molto, basta fare dei backup su 2 dischi USB alternati, un giorno uno, il giorno successivo l'altro disco USB.