xorist Шифровальщик Trojan-Ransom.Win32.Xorist.ln, так же Not-a-virus:NetTool.Win32.Scan.qj, несколько уровней шифрования.

[TiGenome 0]

Доброго времени суток, взломали моего знакомого через открытый RDP во внешку (теперь все закрыто) был Windows 7

Вирус нашел, сохранил себе все файлы, по запросу знакомого переставил систему на windows 10 (лога нет соответственно), тогда о дешифровке как бы и разговора не было.

По файлам: злоумышленник использовал несколько утилит для шифровки 2 из них типа (опознаются каспером как XORIST),  в архиве обозначены у него как V1 and V2, там же шифрованные батники(расшифровал есть нормальные если нужно).

И еще NL.exe (Not-a-virus:NetTool.Win32.Scan.qj) по компу 4 вида файлов .VoNiX" ".VoNiX.XiNoV" и .VoNiX.XiNoV.oparish, так же немного есть и ".oparish" но это в основном его же требования в шифре

Файлы > ".VoNiX" и ".VoNiX.XiNoV"дешифровал emsisoft_howto_xorist, вторые как то странно, ибо юзабельны не все, но это ничего все зашифрованное забэкаплено, файлы .VoNiX.XiNoV.oparish дешифровать не получается при помощи того что мне удалось найти.  Возможно у мастеров своего дела получится правильно расшифровать .VoNiX.XiNoV.oparish

Требования: файл _ReadME.txt и файл HOW TO DECRYPT FILES.txt, архив с оригиналами и шифрами различных вариаций прикрепил.

Заранее спасибо!

Оригиналы и зашифрованные.zip

[TiGenome 0]

с  .VoNiX.XiNoV к .VoNiX подобрался таки адекватный ключ, дешифрует без ошибок и артефактов.

[thyrex 1 407]

Ответил на Ваше ЛС

[TiGenome 0]

5 часов назад, thyrex сказал:

Ответил на Ваше ЛС

Здравствуйте! Дико извиняюсь, но я удалил это ЛС перед тем как топик завести, чтобы как говорится глаза не мозолила, может по этому не вижу ответ.

 

[thyrex 1 407]

Наверняка шифрование Xorist было в 2 прохода с разными расширениями. А вот с опарышем неизвестно, будет ли шанс помочь.

Пришлите все, что обнаружили, заархивировав с паролем malware123. Архив выложите на  https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения.

[thyrex 1 407]

Шифровальщика для опарыша в архиве не оказалось. Файлы, пострадавшие только от Xorist, расшифровать можно.