Gracias a la aportación de Wikipedia y a la colaboración de buenos distribuidores que han comprobado la funcionalidad con éxito de los pasos que les hemos dado, hemos logrado, en dichos casos, la restauración de los ficheros cifrados con el CRYPTORBIT, que ha afectado a varios de nuestros usuarios, en base a restaurar versiones anteriores de los archivos codificados, en sistemas operativos recientes (no XP)
En Wikipedia puede verse:
“Shadow Copy (also known as Volume Snapshot Service,[1] Volume Shadow Copy Service[2] or VSS[2]), is a technology included in Microsoft Windows that allows taking manual or automatic backup copies or snapshots of data, even if it has a lock, on a specific volume at a specific point in time over regular intervals. It is implemented as a Windows service called the Volume Shadow Copy service. A software VSS provider service is also included as part of Windows to be used by Windows applications. Shadow Copy technology requires the file system to be NTFS to be able to create and store shadow copies. Shadow Copies can be created on local and external (removable or network) volumes by any Windows component that uses this technology, such as when creating a scheduled Windows Backup or automatic System Restore point.”
Para ello puede probarse el SHADOWEXPLORER.EXE, que puede descargarse de:
http://www.shadowexplorer.com/downloads.html
“Information about ShadowExplorer, a free replacement for the Previous Versionsfeature of Microsoft Windows® VistaTM / 7 / 8. and it seems to work on Windows Server 2003/2008/2008 R2 aswell. It is shown how you can restore lost or damaged files from Shadow Copies. However, this is by no means a replacement for traditional backups!”
Se recomienda arrancar en MODO SEGURO CON FUNCIONES DE RED y lanzar dicha utilidad. Si el virus lo impide por haber modificado las claves de:
KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network
en tal caso, lanzar nuestra utilidad ELISTARA para restaurar dichas claves y luego arrancar en MODO SEGURO CON FUNCIONES DE RED, en dicho modo lanzar la indicada utilidad.
Manualmente, puede restaurarse individualmente cada archivo cifrado por este virus o por carpetas, para lo cual los usuarios pueden probar con versiones anteriores.
Para restaurar puntualmente un archivo, haga clic con el botón derecho del ratón sobre el archivo, seleccione Propiedades y haga clic en la pestaña Versiones anteriores. Si el archivo en cuestión tiene su punto de restauración creado, selecciónelo y haga clic en el botón “Restaurar”.
Por supuesto que conviene eliminar, si aun no se ha hecho, el virus propiamente dicho antes de recuperar dichos ficheros, para lo cual aconsejamos configurar la sensibilidad heuristica del VirusScan a nivel ALTO y lanzar tras ello un escaneo con el VirusScan.
Independientemente, recordamos la conveniencia de instalar el SITEADVISOR de McAfee (www.siteadvisor.com) y de no ejecutar ficheros anexados a mails no solicitados, ni pulsar en sus enlaces ni en sus imágenes, aparte de no visitar webs sospechosas, en lo cual el SITEADVISOR le ayudará.
Por último, sabido que este malware aprovecha un agujero de seguridad de Windows, por lo que es importante tener siempre actualizados los parches, o bien automáticamente, o lanzando un windowsupdate (windowsupdate.microsoft.com) e instalando los que se encuentren a faltar. (Especialmente el MS14-012)
SATINFO, SERVICIO DE ASISTENCIA TÉCNICA INFORMATICA 4 de Abril de 2014