xorist [РАСШИФРОВАНО]Шифровальщик ransom:Win32/Sorikrypt

[Sidri]

Доброго дня.

Антивирусом Windows найден шифровальщик ransom:Win32/Sorikrypt. Cureit не нашел ничего.

В архиве зашифрованные файлы, файл с требованием денег и папка с каким-то ключом.

 

Addition.txt FRST.txt зашифрованные_файлы.zip

[safety]

Судя по детекту WinDef - это Xorist.

Цитата

Путь: file:_C:\Users\Server\AppData\Local\Temp\39mPX7c7W3CS8qX.exe; regkey:_HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\Alcmeter; runkey:_HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\Alcmeter

 

Пару чистый - зашифрованный сможете предоставить? Так чтобы была чистая незашифрованная копия для файла, который зашифрован.

 

Или если есть в этой папке

C:\Users\Public\Pictures\Sample Pictures

зашифрованные файлы, то любой зашифрованный jpg файл из этой папки.

Изменено 8 января пользователем safety

[Sidri]

Нашел 2 пары файлов, от драйвера

Зашифрованные файлы2.zip

[safety]

хорошо, проверяю возможность получения ключа.

 

Ключ найден.

 

 

Файлы расшифрованы:

Цитата

 

Encrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\P1210OS.HTM.jnajf
Decrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\P1210OS.HTM
Status: Successfully decrypted!

Encrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\P1210SIG.GIF.jnajf
Decrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\P1210SIG.GIF
Status: Successfully decrypted!

Encrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\Карточка реквизитов , ООО Семеновна.jpg.jnajf
Decrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\Карточка реквизитов , ООО Семеновна.jpg
Status: Successfully decrypted!

Encrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\реквизиты Семеновна  новая.doc.jnajf
Decrypted file: D:\DATA\Encoder_files\Xorist\2\зашифрованные_файлы\реквизиты Семеновна  новая.doc
Status: Successfully decrypted!

Finished!

 

Проверьте ЛС.

 

По результату расшифровки напишите здесь.

Изменено 13 января пользователем safety

[Sidri]

Спасибо! Все расшифровалось