Перейти к содержимому


Фотография
- - - - -

Поймали вирус-шифровальщик [Thomaskey@cock.li].ROGER

Друзья!

 В данном разделе форума действуют дополнительные правила — тема «Общие правила раздела "Уничтожение вирусов"». Пожалуйста, ознакомьтесь с ними перед размещением любого сообщения в данном разделе.

Для оформления запроса о помощи, внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 9

#1 OFF   DJSTR

DJSTR

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 20 March 2020 - 09:31

Добрый день!

 

Сегодня придя на работу обнаружил на рабочем столе картинку, смысл которой 

Ваши файлы зашифрованы и т.д. и т.п.

Все файлы поменялись на вот такое расширение [Thomaskey@cock.li].ROGER 

Скачал по ссылке Вашего форума программу  Farbar Recovery Scan Tool и запустил как было описано. Получил два файла FRST.txt и Addition.txt и заархивировал.

 

Прошу помощи. Есть ли шанс расшифровать файлы?


Архив с файлами FRST.txt и Addition.txt

Прикрепленные файлы

  • Прикрепленный файл  FRST.rar   36.18К   скачиваний 1

  • 0

#2 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 11689

Отправлено 20 March 2020 - 10:04

Здравствуйте!
 

Ran by inna (ATTENTION: The user is not administrator)

Утилиту нужно запускать правой кнопкой от имени администратора. Переделайте.
  • 0
Изображение

#3 OFF   DJSTR

DJSTR

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 20 March 2020 - 10:21

Здравствуйте!

 

Зашёл под администратором: выдало две ошибки при входе в систему, в архиве принт скрин

 

От имени администратора запустил и переделал: Архив с файлами FRST.txt и Addition.txt

Прикрепленные файлы


  • 0

#4 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 11689

Отправлено 20 March 2020 - 10:36

Пользователь с именем user111 - ваш? Если нет, отключите или удалите.
Тип вымогателя Dharma или Crysis по терминологии ЛК. К сожалению, расшифровки нет.

Ошибки вероятно из-за того, что повреждены ярлыки запуска этих программ.
Смените пароли на RDP.

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

  • 0
Изображение

#5 OFF   DJSTR

DJSTR

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 20 March 2020 - 10:58

user111 наш пользователь

Скачал Вашу программу и сделал так как описано. 

Лог прикрепил

Прикрепленные файлы


Сообщение отредактировал DJSTR: 20 March 2020 - 10:59

  • 0

#6 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 11689

Отправлено 20 March 2020 - 12:01

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.19596 [+]
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer 7 v.7.0.43148 Внимание! Скачать обновления
-------------------------------- [ Arch ] ---------------------------------
7-Zip 9.20 (x64 edition) v.9.20.00.0 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 231 (64-bit) v.8.0.2310.11 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u241-windows-x64.exe)^
--------------------------- [ AdobeProduction ] ---------------------------
Adobe AIR v.26.0.0.127 Внимание! Скачать обновления
----------------------------- [ EmailClient ] -----------------------------
Mozilla Thunderbird 52.6.0 (x86 ru) v.52.6.0 Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
Skype Click to Call v.8.5.0.9167 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.


Перечисленное постарайтесь по возможности обновить/исправить.

Смените пароли на RDP


Читайте Рекомендации после удаления вредоносного ПО
  • 0
Изображение

#7 OFF   DJSTR

DJSTR

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 20 March 2020 - 13:02

Sandor, спасибо, приехал системный администратор, сказал что бесполезно что-либо дешифровать.

Подскажите, а дешифраторы вообще существуют для таких вирусов или это как пишут на всех без исключениях форумах физически трудоёмкий процесс занимающий огромное количество времени?

 

В корневой папке диска c:\ кстати появилась папка ($$$wintemp _$$$), совпадающая по времени с изменениями по шифрованию всех файлов на компьютере.

Запаковал на всякий случай эту папку и прикладываю сюда, может там как раз есть ключ к разгадке.

 

 

Прикрепленные файлы


  • 0

#8 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 11689

Отправлено 20 March 2020 - 13:20

а дешифраторы вообще существуют

Да, но не для вашего типа вымогателя.

Запаковал на всякий случай эту папку

Нет, там тоже зашифрованы файлы.
  • 0
Изображение

#9 OFF   DJSTR

DJSTR

    Новичок

  • Новички
  • Cообщений: 5

Отправлено 20 March 2020 - 14:53

С администратором поманипулировали с компьютером где всё зашифровало, поставили 10 WINDOWS и при входе под User111 нашелся Avast-ом этот вирус:

Win32:RansomX-gen [Ransom] FUFIRID.exe

 

извлёк файл FUFIRID.exe, поместил его в папку RansomWare и добавил в архив, БУДЬТЕ КРАЙНЕ ОСТОРОЖНЫ - не запустите его

 

С этим можно что-то сделать или любые попытки тщетны?

 


Сообщение отредактировал Sandor: 20 March 2020 - 14:58
Убрал вредоносное вложение

  • 0

#10 OFF   Sandor

Sandor

    Вежливый хелпер

  • Консультанты
  • Старожилы
  • PipPipPipPipPipPipPipPipPipPipPipPipPip
  • Cообщений: 11689

Отправлено 20 March 2020 - 14:59

Не поможет. Без ключа расшифровать не возможно.
  • 0
Изображение




Количество пользователей, читающих эту тему: 0

0 пользователей, 0 гостей, 0 анонимных