Gpcode tym razem pozostawia plik tekstowy o nazwie crypted.txt, który zawiera żądanie zapłacenia 10 dolarów okupu. W pliku umieszczone są także dane kontaktowe autora: adres e-mail, numer ICQ i adres URL. Po wejściu na stronę internetową znajdziemy tekst w języku rosyjskim - poniżej podajemy polskie tłumaczenie:

Witaj
Mamy dla ciebie 3 wiadomości, 1 nie jest dobra, 2 są bardzo dobre, zaczniemy od tej złej.
Zła wiadomość to taka, że wszystkie twoje pliki zostały zaszyfrowane przy użyciu nowoczesnego algorytmu AES-256.
Program wykorzystuje metodę publicznych i prywatnych kluczy.
Do szyfrowania użyto 99999 kluczy, na każdej zainfekowanej maszynie wykorzystywany jest unikatowy klucz. Nie ma duplikatów.
Złamanie kluczy dla AES-256 za pomocą metody "brute-force" nie jest możliwe w przeciągu kolejnych 1000 lat.
Nie należy liczyć na firmy antywirusowe.
Algorytm AES-256 jest wykorzystywany przez amerykańskie służby specjalne do szyfrowania ich dokumentów.
Pierwsza dobra wiadomość jest taka, że pliki mogą zostać odszyfrowane.
Druga bardzo dobra wiadomość: aby odszyfrować swoje pliki, musisz zapłacić tylko 10 dolarów.

fot. Viruslist.pl - Tapeta umieszczana przez Gpcode na pulpicie

Analitycy znaleźli klucz deszyfrujący pliki przetworzone przez starsze wersje szkodnika. W przypadku nowszych mutacji można skorzystać z darmowego narzędzia PhotoRec w celu odzyskania oryginalnych plików, które zostały usunięte przez Gpcode'a po utworzeniu ich zaszyfrowanych wersji. Szczegółowe instrukcje dostępne są na stronie Kaspersky Lab. "Z posiadanych relacji ofiar tego wirusa szantażysty wynika, że metoda ta częściowo przywraca zaszyfrowane pliki" - czytamy w Dzienniku Analityków.

AKTUALIZACJA

Analitycy z Kaspersky Lab poinformowali dziś, że najnowsza mutacja wirusa Gpcode stanowi o wiele mniejsze zagrożenie niż jego poprzednicy. Twierdzenie autora o wykorzystaniu przez niego algorytmu AES-256 oraz ogromnej liczbie unikatowych kluczy to blef. Twórca robaka nie użył nawet publicznego klucza do szyfrowania, tak więc wszystkie informacje potrzebne do odszyfrowania plików znajdują się w ciele szkodliwego programu.

Opisany wyżej wariant wirusa otrzymał nazwę Trojan-Ransom.Win32.Gpcode.am. Antywirusowe bazy danych Kaspersky Lab zostały już uzupełnione o procedury przywracania zaszyfrowanych przez niego plików. Istnieje duże prawdopodobieństwo, że podczas skanowania zainfekowanego komputera zostanie znaleziony także P2P-Worm.Win32.Socks.fe, za pomocą którego rozprzestrzenia się Gpcode.