В конце февраля 2017 года была обнаружена новая программа-вымогатель, заражающая компьютеры Mac. Вирус, названный FindZip, заражает устройства, притворяясь взломанной версией платных приложений (Adobe Premiere Pro и др.). Заразив устройство, шифровальщик преобразует документы в ZIP-архивы, действуя по той же схеме, которую использует программа-вымогатель Bart для Windows, расшифрованная нами прошлым летом.

Компания MalwareBytes уже публиковала технический анализ программы FindZip и описание процесса дешифровки данных. Однако инструкция MalwareBytes может показаться слишком сложной, потому мы создали более простую в использовании бесплатную программу-дешифратор.

Дешифратор FindZip, как и другие подобные инструменты, можно скачать на нашей странице бесплатных утилит по удалению программ-вымогателей. Объясняем, как удалить FindZip с вашего Mac.

Запуск дешифратора на Windows

Если вы решите скопировать зашифрованные файлы с Mac на Windows, вы сможете с легкостью восстановить доступ к ним. не устанавливая дополнительных программ.

Запуск дешифратора на Mac

Наши утилиты работают на Windows. Для их использования пользователям Mac и Linux потребуется установить эмулятор. Дешифратор был проверен на CrossOver и Wine, хотя могут подойти и другие эмуляторы.

Эта инструкция расскажет, как запустить программу по удалению вируса-шифровальщика с помощью эмулятора Wine для Mac. Она была протестирован на версиях 10.10 (Yosemite) и 10.12 (Sierra).

Установка XQuartz

Для начала установим систему управления окнами для Mac. Перейдите по ссылке https://www.xquartz.org (или введите в строку поиска «XQuartz для Mac») и скачайте установочный файл DMG.

Если загруженный файл не открывается автоматически, откройте его вручную из папки «Загрузки».

Двойное нажатие на значок Quartz.pkg откроет окно установки.

Следуйте инструкциям на экране. Скорее всего, вам будет предложено согласиться с условиями лицензии и ввести свой пароль для установки нового приложения. Процесс установки может занять несколько минут. Для завершения установки, возможно, вам будет нужно выйти из системы и войти в нее снова.

Следует отметить, что если вы пропустили установку XQuartz, сразу начав инсталляцию Wine, программа может отказаться работать, пока вы не установите XQuartz.

Установка Wine

Перейдите по ссылке https://wiki.winehq.org/MacOS (или введите в строку поиска «Wine для Mac») и для скачивания пакетов PKG. Скачайте файл «Installer for Wine Staging».

После скачивания он появится в папке Загрузки.

Запустите установочный файл, дважды щелкнув по нему.

Нажмите Продолжить и выберите пункт Установить для всех пользователей на этом компьютере (Install for all users on this computer). Далее нажимайте Продолжить и Установить. Для установки нового приложения вам может отобразиться просьба ввести свой пароль. Когда установка завершится, кликните на Закрыть.

Теперь вы с легкостью можете использовать утилиту для удаления FindZip.

Важно! Если программа Wine была установлена до заражения, вся его конфигурация могла быть зашифрована. В этом случае следует удалить папку \Users\<YourUserName>\.wine перед запуском утилиты.

Запуск дешифратора

Чтобы запустить программу, скачайте ее из каталога бесплатных утилит по удалению программ-вымогателей и дважды на значок приложения:

На данный момент программа доступна на международной версии каталога. Чтобы переключиться на русскоязычную страницу, поменяйте .com на .ru в адресной строке.

Первый запуск займет некоторое время.

• Если программа предлагает установить «Mono», нажмите Cancel.
• Если будет предложено установить «Gecko», нажмите Install для установки программы.

Когда настройка первоначальной конфигурации будет завершена, программа запустится, и отобразится окно приветствия.

В следующем окне (после нажатия кнопки Next) можно выбрать одно или несколько расположений зашифрованных файлов. По умолчанию в окне указано имя домашней папки текущего пользователя.

Как правило, изменений вносить не нужно. Нажмите кнопку Next, а затем укажите пару файлов: первоначальный и зашифрованный. Вы можете перетянуть файлы мышью из папки либо найти их, нажав кнопку «...».

После выбора обоих файлов нажмите Next.

Далее нажмите Start и подождите, пока утилита подберет пароль. Обычно для файлов, зашифрованных FindZip, это занимает около минуты. Когда взлом пароля будет завершен, нажмите кнопку Next. В последнем окне можно отказаться от создания резервных копий в процессе расшифровки. Мы не рекомендуем этого делать.

Нажмите кнопку Decrypt для расшифровки всех файлов в указанной ранее папке. После ее завершения нажмите Close. Готово! Ваши файлы расшифрованы.

Выражаем благодарность Питеру Конраду (Peter Conrad), автору программы PkCrack, который разрешил нам использовать свою библиотеку для наших дешифраторов. Особая благодарность моему коллеге, Ладиславу Зезуле (Ladislav Zezula), за разработку утилиты.

Индикаторы IOC:

c68814901d0af5de410c152e62a06a51c16ec7fe118f1e5251bbcdbb27364709

d19b903adbd0f8c119d0d8f25b194bdd24b737357a517f23ca5cdc6c75b35038