Вірус .cbf (вірус-шифрувальник): розшифрувати. Розширення .cbf

З 2014 року в Мережі з'явилося кілька нових різновидів вірусів-шифрувальників, подібних їх предку – вірусу під назвою I Love You. На жаль, CBF-вірус-шифрувальник розшифрувати навіть доступними способами, пропоновані провідними розробниками антивірусного, НА сьогодні не вдається. Проте деякі рекомендації по відновленню зашифрованої інформації все-таки є.

Вірус CBF: одного поля ягоди

На сьогоднішній день відомо як мінімум три вірусу-здирника. Це вірус CBF, а також віруси XTBL і VAULT. Ведуть вони себе практично однаково, пропонуючи після зашифровки важливих файлів і документів заплатити за отримання коду, який би зміг зробити дешифрування даних (як правило, після появи повідомлення на моніторі приходить лист з вимогою оплати послуг по розшифруванню).


На жаль, наївні юзери поспішають заплатити n-ну суму або навіть відправляють приклади заражених файлів зловмисникам. Адже якщо розібратися, така інформація для багатьох компаній є конфіденційною, а при відправці стає надбанням громадськості.

Чим загрожує проникнення вірусу в комп'ютерну систему або мережу?

Сам вірус у більшості випадків проникає в систему через листи, одержувані за допомогою електронної пошти, рідше – при відвідуванні сумнівних сторінок в Мережі. Помітити появу загрози може далеко не кожен, навіть самий потужний антивірусний пакет. Більш того, на самій ранній стадії він не визначається навіть портативними утилітами начебто Dr. Web Cure It!. Оскільки вірус є самокопирующимся, з часом він своїми щупальцями захоплює всю систему.


При перших симптомах може відразу ж проявитися надмірне навантаження на центральний процесор, а також несанкціоноване використання оперативної пам'яті. В даному випадку, наприклад, при вході в той же «Диспетчер завдань» можна побачити процес під назвою Build.exe. До речі, в основній адміністраторської директорії або папці поточного користувача створюється розділ програмних файлів x86 в якому присутня папка RarLab, що містить шуканий файл Build.exe, checkdata.dif та winrar.tmp. Крім того, файл Build з'являється і на «Робочому столі». Потім у браузері, що використовується для серфінгу по Всесвітній павутині, можуть з'явитися картинки, що містять порно або посилання на сайти еротичного змісту. Далі слід зараження. Як правило, перейменовувати файли офісних додатків на зразок Microsoft Excel, Access і Word. Також проблеми можуть виникати з базами даних форматів .db .dbf (найчастіше «1С: Бухгалтерія». До основного розширенню додається .cbf, але прочитати (відкрити) такі файли не представляється можливим, оскільки сам CBF-вірус-шифрувальник розшифрувати заражені об'єкти не може (просто не вміє). Як вчинити в цьому випадку?

CBF-вірус-шифрувальник: як видалити і чи варто це робити?

По-перше, потрібно чітко розуміти, що тут потрібно діяти максимально коректно. Якщо вірус визначається яким-небудь програмним забезпеченням, його не можна видаляти!!! Потрібно помістити загрозу в карантин, який присутній практично у всіх додатках такого типу.
Видалення або очищення призведуть тільки до того, що основні виконувані елементи зникнуть, але зашифрована інформація все одно буде нечитабельна. Зате з карантину можна буде відправити файл на перевірку в онлайн-лабораторію виробника встановленого антивіруса в системі. Але і це працює далеко не завжди.

Як вчинити в найпростішому випадку?

Отже, розширення .cbf вірус файлів вже привласнив. Залежно від терміну дії, може спостерігатися кілька ситуацій: або файли просто зашифровані, або блокується вхід Windows (навіть «Робочий стіл» недоступний). Обмовимося відразу: про перерахування грошових коштів і мови бути не може. Для початку краще пошукати бази даних в інтернеті з іншого комп'ютера, які містять більшість відомих кодів для розблокування доступу (можна скористатися хоча б розділом Unlocker на офіційному сайті Dr. Web). Правда, не факт, що такі коди підійдуть. Доведеться лікувати систему власноруч.

Відновлення системи

CBF-вірус розшифрувати (точніше, наслідки його впливу на файли), якимось стандартним способом не вийде, адже в ньому застосовується алгоритм 1024-бітного шифрування. Якщо хто не знає, сьогодні актуальною є 256-бітна система AES. Можна спробувати відновити вихідні дані шляхом звернення до Windows Restore. Якщо вхід у систему можливий, знайти даний розділ можна в «Панелі управління» і зробити відкат з контрольної точки, що передує зараження. Якщо вхід в Windows блокується повідомленням з вимогою перерахування грошей, можна спробувати кілька разів примусово перезавантажити комп'ютерний термінал або ноутбук. Доведеться робити це до тих пір, поки система «не дозріє» для відновлення в автоматичному режимі. Природно, можна спробувати використовувати відновлювальний диск, спробувати робити дії з командним рядком і повністю заміняти завантажувальні сектори, хоча шансів на успіх мало. Це працює тільки на ранніх стадіях, коли вірус-шифрувальник CBF тільки проник в систему або мережу.

Відновлення попередніх версій файлів

Якщо відкат системи не допомагає, слід скористатися спеціальними можливостями відновлення попередніх версій файлів, які закладені у самих ОС Windows. Для цього потрібно через «Провідник» зайти у властивості вибраного диска або розділу і використовувати вкладку попередніх версій файлів. Після таких дій, знову ж таки, потрібно вибрати контрольну точку, потім відкрити і скопіювати потрібні файли в інше місце. Такий спосіб у багатьох випадках виявляється більш дієвим.

Використання дешифраторів

Якщо розглядати методи, запропоновані розробниками антивірусного ПЗ, розширення CBF-вірусу можна прибрати за допомогою спеціальних програм-дешифраторів (але тільки офіційних, а не користувальницьких розробок начебто декодерів незрозумілого походження). Однак відразу варто відзначити, що вони працюють тільки за умови наявності встановленої офіційної версії антивірусного сканера з відповідним ліцензійним ключем. В іншому випадку можна тільки нашкодити. Вірус просто піде, після чого навіть можливості зв'язатися зі зловмисниками не буде. Тут доведеться займатися повторної інсталяцією всієї системи.

Чого не варто робити ні в якому випадку?

Як вже зрозуміло, CBF-вірус-шифрувальник розшифрувати файли, їм же і заражені, не може. Окремо варто звернути увагу на дії, які виконувати не рекомендується категорично. Зазначимо найважливіші пункти:

використання дешифраторів при встановленій «крэкнутой» версії антивірусу;

перейменування заражених файлів з метою зміни розширення;

очищення кешу та історії браузера до відправлення підозрілих файлів на аналіз розробника антивірусного ПЗ;

переустанавка операційки без форматування дисків або логічних розділів;

відправка грошей та файли на розшифровку невідомим або підозрілим джерел, наприклад, на поштові адреси зразок iizomer@aol.com з якоюсь ще припискою.

В цілому ж треба чітко розуміти, що CBF-вірус-шифрувальник розшифрувати власними силами просто не вийде. Вже краще звернутися до офіційних сайтів антивірусних лабораторій кшталт «Касперського», де в спеціальному розділі можна залишити проблемні файли для аналізу, або відправити карантинний файл безпосередньо з програми. Однак (це стверджується усіма розробниками) краще до зараженому файлу прикласти оригінал, якщо такий є, скажімо, в вигляді копії на певному знімному носії. В даному випадку розшифровка стане набагато простіше, хоча далеко не факт, що потрібні користувачу файли буду відновлені. Як правило, і це підтверджує більшість відгуків користувачів, служба підтримка зазвичай мовчить дуже довго, а якщо і розшифровує дані, це стосується одиничних файлів. А що робити з масивами в десятки або сотні гігабайт? Такий об'єм навіть при допомогою спеціальних «хмарних» сервісів відправити, а тим більше відновити, просто нереально. Але будемо сподіватися, що розробники все-таки знайдуть засіб лікування заражених файлів і спосіб протидії проникненню загроз цього типу в комп'ютерні системи і мережі.