QNAP [ Malware Qlocker ] Encryption 7z avec mot de passe

tu es sur de cela

il faudrait comparer une dizaine de clé pour voir...

si c'est vrai , il est alors possible de générer une wordlist et lancer un brute force
 
QoolBox a dit:
tu es sur de cela
il faudrait comparer une dizaine de clé pour voir...
si c'est vrai , il est alors possible de générer une wordlist et lancer un brute force


Stephane, il serait interessant de demander les clés de ceux ayant payés... ou de voir si les 50 récupéres sont de la meme typo...

car effectievement sur ya seulement les 6 derniers caractères qui changent, une Brute force sur 1000000 de clés se fait vite :)
 
A tous ceux qui ont payés ou récupéré la clé de décryptage, pouvez vous donner les clés en public svp afin de voir si cela est bien vrai ?
 
QoolBox a dit:
pas trop le temps pour ça....

il faut voir si on peut en récupérer dans le forum ...

Si cette piste est vraie ( même si ça me paraît étonnant, car serai " trop facile " ), c'est tout de même pas déconnant de la part de Qnap de travailler cette piste en demandant à ceux qui ont payé de leur fournir leur mot de passe de dezip pour vérifier cette piste. Si c'est vrai, alors Qnap peut éditer un script pour tester les différentes combinaisons sur un fichier qui a été zippé. Si ça fonctionne, je pense que vous sortirez du pétrin pas mal de personnes dans le monde.

Si au final la piste n'est pas bonne et les password sont bien tous différents sur les 32 caractères, alors ça aura coûté quoi à l'entreprise ? un employé quelque part dans le monde qui a fait des mails / articles sur des forums pendant une journée pour récolter les passwords, et il verra vite si c'est en parti identique ou absolument pas, et c'est plié.
 
schwinny a dit:
car effectievement sur ya seulement les 6 derniers caractères qui changent, une Brute force sur 1 000 000 de clés se fait vite :)
Un peu plus quand même

Avec 5 caractères (chiffre, majuscule, minuscule) on obtient (10+26+26) Puissance(5) = 916 132 832 combinaisons
QoolBox a dit:
voici la sortie

a -mx=0 -sdel -pmFyBIvp55M46kSxxxxxYv4EIhx7rlTD [FOLDER PATH]

mFyBIvp55M46kSxxxxxYv4EIhx7rlTD est le mot de passe de décrypage

Mais effectivement si tous les forumeurs qui ont pu obtenir un mot de passe d'une façon ou d'une autre, publiaient, celui-ci, cela permettrait de conforter cette hypothèse et cette voie de recherche
 
après si c'est vrai est que l'on peu générer une wordlist (avec crunch par exemple : https://www.securitynewspaper.com/2018/11/28/create-your-own-wordlist-with-crunch/)

je peux compiler pour les architecture un brute force 7zip, y en a pas mal sur Github

mais c'est à verifier... j'ai envoyé dans le groupe Skype TSD de Qnap .. peut être j'aurais une réponse mais pas sur... sont assez discret au HQ
 
Bonsoir,

De mon côté la méthode de data recovery avec Photorec n'a donné que de maigres résultats alors que je n'avais que 300 GO de data sur le volume corrompu de 1T (j'ai un autre volume de 4T qui ne semble pas avoir été touché) :
- quelques pdf, xls et word récupérés
- pour les photos, beaucoup de vignettes miniatures et peu d'originaux
- les videos sont toutes corrompues
- et beaucoup de fichiers illisibles.
Par contre, pour moi qui suis sous Mac, je confirme que la procédure est jouable comme sur PC (merci pour l'aide que j'ai trouvé ici pour créer mon partage distant)

Bon, même si une telle faille chez QNAP me saoule, ma colère va finalement principalement contre moi-même car je n'ai pas de backup intégral de mes datas.
Ca va être une belle galère pour reconstruire toute cette collection de données à partir de multiples sources ...
Mais ça me servira de leçon pour le futur.

Même si je pense que le cryptage est terminé depuis le 21/04 chez moi, j'ai quand même installé Qlocker Inspector au cas où
Mais je rencontre le même souci que certains ici, il est installé (ça a mis du temps de manière inhabituelle d'ailleurs) et le service semble lancé puisqu'on ne peut que l'arrêter.
Mais je n'ai aucun message dans le centre de notification (pas de début / fin de scan).
Une idée de où cela vient ?

Pour finir, je vais suivre avec attention l'idée du craquage de mdp par force brute, s'il est avéré qu'il n'y a qu'une sous partie qui change d'une victime à l'autre.
(je ne sais pas si QNAP essaiera de participer à l'aventure mais ce serait sympa de leur part)
Et je souhaite bon courage à vous tous, qui comme moi, êtes dans la panade.
 
Si on a eu l'idée, j'ai bon espoir que les "génies" de Qnap sont déjà en train de plancher dessus ( avec les retours mondiaux). Après, les hackers ont du y penser mais j'ai l'impression qu'il y a aussi des failles chez eux. Et pour les Nas ayant été éteints, y a t'il une possibilité avec la Master Key ?? Des boites spécialisées dans la récupération des données vont se frotter les mains si on est obligé de passer par elles car on ne connaitra qu'une partie du crypte et .... qu'il faudra chercher pour chacun la suite. De mon côté, ni compétent, ni équipé pour !!
 
ZSTEPH28 a dit:
. Après, les hackers ont du y penser mais j'ai l'impression qu'il y a aussi des failles chez eux.
Oui d'ailleurs, leur site présenté une faille qui permettais de récupérer sa clé de decryptage sans payer. Une 50ene de personne on visiblement pu profiter de cette astuce avant que les "pirates" s'en rendent compte et la fix.
 
Je pensais à un autre truc : en regroupant les données des fichiers piratés avec ceux sauvegardés .... à très grande échelle, on doit pouvoir retrouver une certaine cohérence de cryptage. L'informatique, c'est bien des suites, des algorithmes etc ... ça prends juste du temps et de l'envie j'imagine :?:
 
En attendant, QNAP me demande des nouvelles. Plutôt sérieux le suivi ... mais comme je n'ai toujours pas refais mon install, wait and see !!
 
Je pense que c’est mort.
Il suffit de faire un formule du style: Aléatoire^aléatoire/aléatoire%aléatoire afin d’ obtenir une clé totalement unique a chaque fois

Cependant, la fonction aléatoire ne l’étant pas tout à fait, il suffit d’avoir une fonction Qui inclut la en plus la date et l’heure dans le calcul et vous êtes morts
 
J'ai fait plein de manips en suivant les infos de ratana, mais à l'arrivée j'ai rien...

Je n'ai toujours pas redémarré mon NAS.

Quand je navigue dans les fichiers du NAS , je retrouve un 7z.orig, un 7z.so, un 7z.bak et un 7z

est-ce que ça peut aider ?
 
Normalement c'est le fichier 7z.log où il y a le mdp, mais je laisse les experts te répondre car j'y connais rien.

Pour ma part je tente la méthode de testdisk pour récupérer les data, mais je bloque à peine au début ....( si certain veule donner un coup de pouce, j ai fais un message dédié dans cette rubrique Dépannage - merci )

En lisant un peu les forums anglophones ( avec google traduc) pour tenter d'avancer sur testdisk, j'ai cru comprendre ( je met des " " car avec la traduction auto .... ) que le mdp admin était dans HBS, incroyable tout de même. J'ai effectué quelques lignes de commande citées dans ce thread ici même, et en lisant les résultats je trouve une adresse mail qui est souvent présente : waltershao@gmail.com. Je ne comprend pas bien ce que ce mail fout là, et il y a des cloud server de noté qui suive le mail.

Il y a pas des infos de connexion ou autre qui sont envoyé à cette adresse ou sur un serveur cloud lié à cette adresse ?

Merci
 
En lisant un peu les forums anglophones ( avec google traduc) pour tenter d'avancer sur testdisk, j'ai cru comprendre ( je met des " " car avec la traduction auto .... ) que le mdp admin était dans HBS, incroyable tout de même. J'ai effectué quelques lignes de commande citées dans ce thread ici même, et en lisant les résultats je trouve une adresse mail qui est souvent présente : waltershao@gmail.com. Je ne comprend pas bien ce que ce mail fout là, et il y a des cloud server de noté qui suive le mail.

c'est bien sur faux.. cela a été démenti pas le HQ et Walter lui même... faut pas croire que ce que l'on dit dans les forums

FYI : Walter est l'un des principaux développeurs de HBS3
 
J'ai bien mis des guillemets car la subtilité de la traduction automatique, d'où mon message pour confirmer. ça me rassure car je trouvais ça incroyable si c'était avéré.
Donc normal qu'il y ai son mail un peu partout alors ( j'aurai pensé à une adresse en qnap et non gmail, j'ai préféré demander )
merci :-)
 
l'ayant vu œuvrer pour dépanner des clients en Teamviewer..
il utilise ce compte pour partager via Google drive des correctifs HBS3 ;)
 
QoolBox a dit:
l'ayant vu œuvrer pour dépanner des clients en Teamviewer..
il utilise ce compte pour partager via Google drive des correctifs HBS3 ;)

Merci pour ta réponse, au moins c'est clair :-)
 
Question pour @qoolbox
Je n'espère plus trop trouver de solution mes snapshot étant vides...
Nas que j'ai fait acheter à ma mère en lui disant au moins t'es données sont secure... (Oops) Et je pensais donc :
1 / Faire un backup de tout le nas sur disque usb
2/ refaire une seconde copie et retirer tous les .7z, les readme*txt >> en gros recup ttes les données non cryptées
3/ testdisk pour tenter de récupérer ce que l'on peut en vrac...

Ça permettrait en 1 de conserver qqch si un jour une master key keygen ou autre venait à sortir, d'utiliser les données exploitables en 2 et la "me*rde" en vrac en dernier recours...

Tu en penses quoi ? Naturellement tjs pas redémarré, uptime de 60days environ

Merci