Перейти к содержанию

[РЕШЕНО] Файлы зашифрованы неизвестным шифровальщиком


Рекомендуемые сообщения

Добрый день!

Прошу Вашей помощи.

Файлы были зашифрованы неизвестным шифровальщиком, расширение .crypted. Инструмент RakhniDecryptor.exe найденный на ransome сказал неподдерживаймый тип зашифрованного файла.

Мошенники запросили сумму около тысячи рублей в криптовалюте dash. Файл с текстом вымогателей прилагаю. Также прилагаю пример зашифрованного файла в архиве пример.zip и лог согласно правилам форума.

Надеюсь на Вашу помощь, спасибо!

CollectionLog-2019.06.15-11.51.zip

ПРОЧТИ МЕНЯ!!!.TXT

пример.zip

Ссылка на сообщение
Поделиться на другие сайты

Попробуйте поискать пару шифрованный-нешифрованный одного и того же файла и прикрепите в архиве к следующему сообщению.

  • Согласен 1
Ссылка на сообщение
Поделиться на другие сайты

Вроде вот пара. Оригинал из отправленных в почте, а зашифрованный откуда был отправлен.

И еще пара, ориг сейчас загружен из входящих, а зашифрованный загружен до шифровки.


Вот ещё стопроцентная пара экселевских файлов.

ORIGINAL_Blank_otveta_k_zadaniju_3.2.zip

CRYPTED_Blank_otveta_k_zadaniju_3.2.docx.zip

ORIG_!76с Борченко И.Д. (для дистанта).zip

CRYPT_!76с Борченко И.Д. (для дистанта).docx.zip

Пара XLS_orig_crypt.zip

Ссылка на сообщение
Поделиться на другие сайты

Пока неясно, что это. Предположение про Nemucod не подтвердится скорее всего.

 

Сами что-то запустили перед шифрованием или к Вам зашли удаленно по RDP?

Ссылка на сообщение
Поделиться на другие сайты

Ну тогда уточняйте, что именно. И если сохранился вредоносный файл, присылайте в архиве с паролем virus.

Ссылка на сообщение
Поделиться на другие сайты

Ничего не знают, ничего не запускали.

Перелопатил историю до 28 мая. Ничего особенного, ютуб, поиск рефератов, мтс коннект. По подозрительным ссылкам прошел, всё прогрузил. Ничего.

Всё что есть на компе вы видели в логах. Из подозрительно некий Win Tonic есть в приложениях, но походу дохлый. В Program Files живет какая то папка windows nt, в ней почти ничего нет, и wordpad зачем то. На компе в тот момент жили avast и avg. 


в папке Roaming нашел файл созданный примерно во время заражения 13.06.2019 в обед, дата изменения 5 июня. 

win tonic это из состава pc tonic от от дядюшки Nortona

1ed92dd5-fcc2-4f72-b78d-262dbc5bcd7d.zip

Ссылка на сообщение
Поделиться на другие сайты

В общем поймали https://id-ransomware.blogspot.com/2019/05/shkolotacrypt-ransomware.html

 

Как пишут зарубежные коллеги, он перезаписывает файлы (как минимум часть, причем большую) мусором и сохраняет их с новым расширением

Ссылка на сообщение
Поделиться на другие сайты

Думал, стоит тут об этом писать или нет, с точки зрения поощрения мошеннических действий конечно не не стоит, но когда вопрос стоит о сохранении материалов накопленных на ноуте за несколько лет, то конечно лучше другим пользователям, попавшим в такое положение, знать об этом.

Деньги небольшие и от безнадёги были отправлены вымогателю. И как бы это смешно не звучало, но мошенник оказался честный :) Прислал дешифратор. Никакого мусора как писалось выше в файлах нет, всё расшифровалось.  :cool2: Вот воистину, хочешь сделать человеку хорошо - сделай сначала плохо, а потом верни как было  :)

Ответ пришел отсюда: Cryptor t310ea89b4347@protonmail.com с таким текстом:

Скачайте дешифратор отсюда: https://dropmefiles.com/JJvFm(его нельзя прикрепить к сообщению, поскольку там exe файл), распакуйте все файлы из архива в одну папку, после чего запустите дешифратор

 

 

Скаченный архив прилагаю. Прошу Вас проверить не оставляет ли он после расшифровки каких нибудь подводных камней. Спасибо!

Сегодня же установлю себе антивирус Касперского, до шифровки стояли и AVG и Avast, оба прохлопали ушами этого шифровальщика.

Дешифратор.zip

Изменено пользователем TanetchkaV
Ссылка на сообщение
Поделиться на другие сайты

@Игорь Малыхин,

1. Не стоит вторгаться в чужую тему. Создавайте свою и выполняйте правила раздела.

2. Ключ уникальный для каждого пострадавшего.

Ссылка на сообщение
Поделиться на другие сайты

Мы были рады Вам помочь!
Надеемся, что Вы остались довольны результатом.
На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!
Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы!
Будем рады видеть Вас в наших рядах!
Всегда ваш, фан-клуб "Лаборатории Касперского".

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • tized-NSK
      От tized-NSK
      Здравствуйте, у меня точно такаяже проблема с шифрованием файлов формат rty не подскажете как их расшифровать?  ShadeDecryptor не помог ,Kaspersky XoristDecryptor тоже не помог
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Александр Нефёдов
      От Александр Нефёдов
      Добрый день.
      Столкнулся с проблемой блокировки загрузки ОС Windows Server 2016, и других.
      За ночь заблочило десять машин, которые не выключались.
      Пример блокировки на скрине.
      Диски не читаются, типа raw формат, поэтому как таковых зашифрованных файлов нет, вероятно зашифрован весь диск.
      вариант из статьи(https://id-ransomware.blogspot.com/2023/04/dchelp-ransomware.html) с AOMEI не помог.
       
      За любые идеи которые помогу восстановить информацию буду благодарен .

    • AlexDreyk
      От AlexDreyk
      Добрый день! Просьба помочь с расшифровкой
      Addition.txt FRST.txt Зашифрованные файлы.zip
    • dsever
      От dsever
      Сегодня после выходных обнаружили проблему. Два сервера - все данные зашифрованы.  основная проблема с 1С файлы зашифрованы + бэкапы тоже. DrWEB пишет, что вирус попал по RDP, "Файл шифровальщика находится по пути
      C:\users\администратор.win-8anssg9mkch\appdata\local\7af1be1c-1606-8166-99e6-80b4a9786b07\BABKAALYOEBALO.exe". Так же вирус зашифровал все расшаренные файлы на других серверах, но до баз SQL не добрался.
       
      BABKAALYOEBALO_DECRYPTION.txt
    • vyz-project
      От vyz-project
      На рабочем компьютере 19.11.23 начиная примерно в 22:30 (судя по дате изменения) были зашифрованы все файлы. Теперь они все с расширением .id[705C9723-3351].[blankqq@tuta.io].elpy
      На данный момент зараженный компьютер изолирован. Но он был в локальной сети до этого момента.
      Логи и файлы приложил.
      pdf_files.7z Addition.txt FRST.txt
×
×
  • Создать...