Перейти к содержимому


Фотография
- - - - -

[РЕШЕНО] Помогите с расшифровкой файлов Trojan-Ransom.Win32.Xorist.ln

Trojan-Ransom.Win32.Xorist.ln EnCiPhErEd

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Закрытая тема Тема закрыта
Сообщений в теме: 17

#1 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 17:22

Здравствуйте.

Поймал троян Trojan-Ransom.Win32.Xorist.ln. Все файлы зашифрованы имеют следующий вид (устав pdf_10.jpg.EnCiPhErEd)

Пробовал воспользоваться Xorist Decryptor (не помог) и RectorDecryptor. После работы RectorDecryptor появились файлы без расширения EnCiPhErEd, но файлы не открываются. Письмо требование прикрепляю. Есть ли надежда на расшифровку?


  • 0

#2 OFF   kmscom

kmscom

    Консультант по продуктам ЛК

  • Модераторы
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 7 613

Отправлено 22 Июнь 2019 - 17:29

Забыли прикрепить. и логи тоже
внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • 0
MSI-Neo

#3 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 18:18

Отправляю Логи

Прикрепленные файлы


Сообщение отредактировал Dimamusz: 22 Июнь 2019 - 18:21

  • 0

#4 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 22 Июнь 2019 - 18:33

Выполните скрипт в AVZ из папки Autologger
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('wmmdservdrver', 4);
 DeleteService('wmmdservdrver');
 SetServiceStart('winsdrvsrvs', 4);
 DeleteService('winsdrvsrvs');
 SetServiceStart('pocfiso', 4);
 DeleteService('pocfiso');
 SetServiceStart('dspfsrto', 4);
 DeleteService('dspfsrto');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','32');
 DeleteFile('C:\Users\Лариса\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip загрузите по ссылке https://virusinfo.in...s.php?tid=37678
Полученный после загрузки ответ сообщите здесь.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#5 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 19:22

Выполнил.

 

Результат загрузки Файл сохранён как 190622_160012_quarantine_5d0e508c582fb.zip Размер файла 464117 MD5 a5f8bbd65cb6731978431d6f91c74231

Прикрепленные файлы


  • 0

#6 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 22 Июнь 2019 - 19:28

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.
  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#7 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 19:48

Выполнил.

Прикрепленные файлы


  • 0

#8 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 22 Июнь 2019 - 20:18

1. Выделите следующий код:
Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\Users\USR1СV82\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] () [File not signed]
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {01D687EB-341A-4DC9-88A7-D9ED9B9BF8CF} - \{E12F0422-8364-4E2B-9016-C8275B5D859F} -> No File <==== ATTENTION
Task: {633276D9-3F6C-4878-86AC-B5866B68CFA7} - \{D50A9C64-7515-4FD4-B59F-CB6DB4411EFB} -> No File <==== ATTENTION
Task: {8424D195-50C5-44DF-857E-DF5EA8069EE3} - \{A522F511-350E-4CA7-84F4-F0468C09B071} -> No File <==== ATTENTION
Task: {A747203B-9FC6-442A-AD55-62732C46937B} - \{70C1DDA1-1C14-435B-83D2-BB934D0C99CF} -> No File <==== ATTENTION
Task: {B139DE16-9358-4CC1-AF0D-8F449CD2F4CD} - \{EA0829A9-E1EC-45DE-A07B-AACCA62BA162} -> No File <==== ATTENTION
Task: {B2CCF146-8F74-498B-9C53-94DD5F39DA6D} - \{22689240-C81C-48D0-877B-AEBE68EEA56A} -> No File <==== ATTENTION
Task: {BCEE19CF-6B4B-491D-B8DA-C339AD5DDE59} - System32\Tasks\{60DFB645-C6AB-4B59-B2A6-088AB2517984} => C:\Windows\system32\pcalua.exe -a C:\Users\Лариса\AppData\Local\Temp\Temp1_RDPWrap-v1.6.2.zip\RDPWInst.exe <==== ATTENTION
Task: {DB55A28E-9E13-4983-A3AA-C996C761BD60} - \{526BD3F0-B579-4DE3-9C4C-B6EA30345C7E} -> No File <==== ATTENTION
Task: {DC05625A-3494-45CF-A8E9-32BF69EEC98A} - \{49BDC307-CC5E-420F-BC74-3AFF028663D4} -> No File <==== ATTENTION
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#9 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 20:33

готово

Прикрепленные файлы

  • Прикрепленный файл  Fixlog.txt   5,99К   скачиваний 1

  • 0

#10 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 22 Июнь 2019 - 20:41

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщению.
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#11 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 22 Июнь 2019 - 21:36

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.r.../4fHM/443v5FKQm


 

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.r.../4fHM/443v5FKQm

 

Загружал не архиве

Прикрепленные файлы


  • 0

#12 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 22 Июнь 2019 - 22:12

Загрузить не получилось

Читали невнимательно, вот и не получилось. Я же просил в архиве прикрепить :)

Используйте присланный Вами файл, расшифрованный файл https://www.sendspace.com/file/35axmyи утилиту https://www.emsisoft...download/xorist для подбора ключа (будет подобран около 48,5%) и расшифровки.
Инструкция на английском https://decrypter.em...owto_xorist.pdf
  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#13 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 23 Июнь 2019 - 12:37

Большое спасибо. Получилось. :)


  • 0

#14 OFF   thyrex

thyrex

    Абориген

  • Модераторы
  • Консультанты
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 14 529

Награды

           

Отправлено 23 Июнь 2019 - 12:39

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Процитируйте содержимое файла в своем следующем сообщении.

  • 0
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect



m4303.gif

#15 OFF   Dimamusz

Dimamusz

    Новичок

  • Новички
  • Cообщений: 9

Отправлено 23 Июнь 2019 - 12:49

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 23.06.2019 12:45:56
Path starting: C:\Users\Лариса\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Лариса
VersionXML: 6.57is-18.06.2019
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x86) HomeBasic Lang: Russian(0419)
Дата установки ОС: 15.06.2010 17:13:05
Статус лицензии: Windows® 7, HomeBasic edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Mozilla Firefox\firefox.exe
Системный диск: C: ФС: [NTFS] Емкость: [48.8 Гб] Занято: [43.8 Гб] Свободно: [5 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
Запрос на повышение прав для обычных пользователей отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Windows Update (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2003 v.11.0.8173.0
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Avast Free Antivirus v.19.5.2378
--------------------------- [ OtherUtilities ] ----------------------------
FastStone Image Viewer, версия 5.3 v.5.3
K-Lite Codec Pack 5.0.5 (Full) v.5.0.5 Внимание! Скачать обновления
TeamViewer 13 v.13.2.36215 Внимание! Скачать обновления
Microsoft Office - профессиональный выпуск версии 2003 v.11.0.8173.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office FrontPage 2003 v.11.0.5614.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
TeamViewer 13 (TeamViewer) - Служба работает
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.71 (32-bit) v.5.71.0
7-Zip 19.00 v.19.00.00.0
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 ActiveX v.32.0.0.207
------------------------------- [ Browser ] -------------------------------
Google Chrome v.75.0.3770.100
Mozilla Firefox 67.0.4 (x86 ru) v.67.0.4 [+]
Opera 11.60 v.11.60 Внимание! Скачать обновления
Yandex v.19.6.1.153
------------------ [ AntivirusFirewallProcessServices ] -------------------
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
C:\Program Files\AVAST Software\Avast\AvastUI.exe v.19.5.4444.0
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
Avast Antivirus (avast! Antivirus) - Служба работает
C:\Program Files\AVAST Software\Avast\AvastSvc.exe v.19.5.4444.0
Защитник Windows (WinDefend) - Служба остановлена
Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
SkyMonk Client v.1.54 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Кнопка "Яндекс" на панели задач v.2.0.0.2116 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------
 


  • 0





Темы с аналогичными тегами: Trojan-Ransom.Win32.Xorist.ln, EnCiPhErEd

Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных