Перейти к содержанию

Шифровальщик Trojan-Ransom.Win32.Xorist.ln, так же Not-a-virus:NetTool.Win32.Scan.qj, несколько уровней шифрования.

TiGenome
 Поделиться

Рекомендуемые сообщения

TiGenome

TiGenome

Опубликовано
Опубликовано

Доброго времени суток, взломали моего знакомого через открытый RDP во внешку (теперь все закрыто) был Windows 7

Вирус нашел, сохранил себе все файлы, по запросу знакомого переставил систему на windows 10 (лога нет соответственно), тогда о дешифровке как бы и разговора не было.

По файлам: злоумышленник использовал несколько утилит для шифровки 2 из них типа (опознаются каспером как XORIST),  в архиве обозначены у него как V1 and V2, там же шифрованные батники(расшифровал есть нормальные если нужно).

И еще NL.exe (Not-a-virus:NetTool.Win32.Scan.qj) по компу 4 вида файлов .VoNiX" ".VoNiX.XiNoV" и .VoNiX.XiNoV.oparish, так же немного есть и ".oparish" но это в основном его же требования в шифре

Файлы > ".VoNiX" и ".VoNiX.XiNoV"дешифровал emsisoft_howto_xorist, вторые как то странно, ибо юзабельны не все, но это ничего все зашифрованное забэкаплено, файлы .VoNiX.XiNoV.oparish дешифровать не получается при помощи того что мне удалось найти.  Возможно у мастеров своего дела получится правильно расшифровать .VoNiX.XiNoV.oparish

Требования: файл _ReadME.txt и файл HOW TO DECRYPT FILES.txt, архив с оригиналами и шифрами различных вариаций прикрепил.

Заранее спасибо!

Оригиналы и зашифрованные.zip

TiGenome

TiGenome

Опубликовано
  • Автор
Опубликовано

с  .VoNiX.XiNoV к .VoNiX подобрался таки адекватный ключ, дешифрует без ошибок и артефактов.

TiGenome

TiGenome

Опубликовано
  • Автор
Опубликовано
5 часов назад, thyrex сказал:

Ответил на Ваше ЛС

Здравствуйте! Дико извиняюсь, но я удалил это ЛС перед тем как топик завести, чтобы как говорится глаза не мозолила, может по этому не вижу ответ.

 

thyrex

thyrex

Опубликовано
Опубликовано

Наверняка шифрование Xorist было в 2 прохода с разными расширениями. А вот с опарышем неизвестно, будет ли шанс помочь.

Пришлите все, что обнаружили, заархивировав с паролем malware123. Архив выложите на  https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения.

thyrex

thyrex

Опубликовано
Опубликовано

Шифровальщика для опарыша в архиве не оказалось. Файлы, пострадавшие только от Xorist, расшифровать можно.

  • Спасибо (+1) 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • foroven
      [РАСШИФРОВАНО]Шифровальщик Trojan-Ransom.Win32.Xorist.ln
      Автор foroven
      Добрый день. Схватили шифровальщик. Кажется что взломали RDP доступ т.к был открыт наружу с слабым паролем. Зашифрованные файлы имеют расширение *.er
      Файлы с обычным расширением где есть файл *.er не открываются. В основном зашифрованы базы 1С и полностью пропал из системы один диск, отображается в диспетчере дисков, как нераспределенный. Но программой восстановления удалось восстановит все файлы, но они также зашифрованы.

      Копии.7z
    • Ruslan01
      Шифровальщик Trojan-Ransom.Win32.Mimic.gen Zero_day
      Автор Ruslan01
      Добрый день, в понедельник 29 января все файлы оказались зашифрованы. В архиве файлы и текст выкупа. Мошенники скидывали дешифратор, но он не сработал, остался файл, если понадобится (касперский определил его как HEUR:Trojan.MSIL.Agent.gen). Файл шифровальщика "zero_day.exe" тоже остался (касперском определил как HEUR:Trojan-Ransom.Win32.Mimic.gen)
      FRST.txt Addition.txt Files_zero_day.zip
    • Alegrius
      Поймал шифровальщика trojan-ransom.win32.Phobos.vho
      Автор Alegrius
      trojan-ransom.win32.Phobos.vho определил КАВ.
      Стоит на сервере КА-сервер, но он его почему то пропустил, возможно через рдп.
      Лицензия на кав есть.
       
      FRST.txt kes_win.kud.id[2402B24C-3352].[antidata@tuta.io].rar
    • DoctorRS
      Trojan-Ransom.Win32.Mimic
      Автор DoctorRS
      Добрый день. Зашифровали файлы Trojan-Ransom.Win32.Mimic, не работает 1С и файлы офис. Помогите пожалуйста есть ли варианты дешифрации ? 
       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Компьютерная помощь"
    • Netyfrey
      Trojan-Ransom.Win32.Rakhni
      Автор Netyfrey
      Зашифрованы все файлы на ПК, к многим добавлено расширение. К архивам расширение не добавилось, но при попытке их открыть - "архив поврежден"
      fails.rar FRST.txt unlock-info.rar
×
×
  • Создать...