Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Зашифровали файлы расширение ANDRE

DennisKo
 Поделиться

Рекомендуемые сообщения

DennisKo

DennisKo

Опубликовано
Опубликовано

Помогите в расшифровке. Файлы kl_to_1C.txt это оригинал файла, а kl_to_1C_crypt.txt ' это зашифрованный файл. andre 

может поможет в понимании как зашифровали. 

kvrt.jpg

Addition.txt Andrews_Help.txt FRST.txt kl_to_1c.txt kl_to_1c_crypt.txt

Ссылка на комментарий
Поделиться на другие сайты
safety

safety

Опубликовано
Опубликовано (изменено)

Других зашифрованных файлов нет? В этом документе все таки есть личная информация.

Тем более, пара не нужна. Не поможет получить ключ. Добавьте только несколько зашифрованных файлов.

+

Добавьте файл secrtes.exe в архиве, с паролем virus

 

Этот процесс закрыть надо. возможно это вайпер, который чистит дисковое пространство на месте удаленных файлов.

С тем, чтобы не было возможно восстановить удаленные файлы.

(C:\Windows\SysWOW64\cmd.exe ->) () [Файл не подписан] C:\ProgramData\secrtes.exe

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
safety

safety

Опубликовано
Опубликовано

Выполните очистку системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
(C:\Windows\SysWOW64\cmd.exe ->) () [Файл не подписан] C:\ProgramData\secrtes.exe
IFEO\aakore.exe: [Debugger] Hotkey Disabled
IFEO\acp-update-controller.exe: [Debugger] Hotkey Disabled
IFEO\acrocmd.exe: [Debugger] Hotkey Disabled
IFEO\acroinst2.exe: [Debugger] Hotkey Disabled
IFEO\acronis_encrypt.exe: [Debugger] Hotkey Disabled
IFEO\acropsh.exe: [Debugger] Hotkey Disabled
IFEO\act.exe: [Debugger] Hotkey Disabled
IFEO\active_protection_service.exe: [Debugger] Hotkey Disabled
IFEO\active_protection_service_no_ic.exe: [Debugger] Hotkey Disabled
IFEO\adp-agent.exe: [Debugger] Hotkey Disabled
IFEO\adp-rest-util.exe: [Debugger] Hotkey Disabled
IFEO\adp-wu-tool.exe: [Debugger] Hotkey Disabled
IFEO\Analyzer.exe: [Debugger] Hotkey Disabled
IFEO\asz_helper.exe: [Debugger] Hotkey Disabled
IFEO\AutoPartNt.exe: [Debugger] Hotkey Disabled
IFEO\CompatTelRunner.exeSecurityHealthHost: [Debugger] Hotkey Disabled
IFEO\ConfigSecurityPolicy: [Debugger] Hotkey Disabled
IFEO\ConnectAgent.exe: [Debugger] Hotkey Disabled
IFEO\cred-store.exe: [Debugger] Hotkey Disabled
IFEO\cyber-desktop-service.exe: [Debugger] Hotkey Disabled
IFEO\cyber-protect-service.exe: [Debugger] Hotkey Disabled
IFEO\cyber-scripting-executor.exe: [Debugger] Hotkey Disabled
IFEO\device-sense.exe: [Debugger] Hotkey Disabled
IFEO\DlpUserAgent: [Debugger] Hotkey Disabled
IFEO\dml_dump.exe: [Debugger] Hotkey Disabled
IFEO\dml_host.exe: [Debugger] Hotkey Disabled
IFEO\dml_migration.exe: [Debugger] Hotkey Disabled
IFEO\dml_update.exe: [Debugger] Hotkey Disabled
IFEO\EdrCawl.exe: [Debugger] Hotkey Disabled
IFEO\EdrTest.exe: [Debugger] Hotkey Disabled
IFEO\emergency-updater.exe: [Debugger] Hotkey Disabled
IFEO\emergency_update_uninstaller.exe: [Debugger] Hotkey Disabled
IFEO\etl-tool.exe: [Debugger] Hotkey Disabled
IFEO\feedback-collector.exe: [Debugger] Hotkey Disabled
IFEO\file_protector_control.exe: [Debugger] Hotkey Disabled
IFEO\grpm-sync-unit.exe: [Debugger] Hotkey Disabled
IFEO\grpm.exe: [Debugger] Hotkey Disabled
IFEO\InputPersonalization.exe: [Debugger] Hotkey Disabled
IFEO\logmc.exe: [Debugger] Hotkey Disabled
IFEO\mi-monitoring.exe: [Debugger] Hotkey Disabled
IFEO\migrate_credvault.exe: [Debugger] Hotkey Disabled
IFEO\mip.exe: [Debugger] Hotkey Disabled
IFEO\mms.exe: [Debugger] Hotkey Disabled
IFEO\MmsMonitor.exe: [Debugger] Hotkey Disabled
IFEO\MpDefenderCoreService: [Debugger] Hotkey Disabled
IFEO\MpDlpCmd: [Debugger] Hotkey Disabled
IFEO\MpDlpService: [Debugger] Hotkey Disabled
IFEO\mpextms: [Debugger] Hotkey Disabled
IFEO\MRT.exe: [Debugger] Hotkey Disabled
IFEO\msinfo32.exe: [Debugger] Hotkey Disabled
IFEO\MsMpEng: [Debugger] Hotkey Disabled
IFEO\msp_port_checker_packed.exe: [Debugger] Hotkey Disabled
IFEO\network-isolation-unit.exe: [Debugger] Hotkey Disabled
IFEO\NisSrv: [Debugger] Hotkey Disabled
IFEO\openssl.exe: [Debugger] Hotkey Disabled
IFEO\permission_tool.exe: [Debugger] Hotkey Disabled
IFEO\pipanel.exe: [Debugger] Hotkey Disabled
IFEO\private-cloud-proxy.exe: [Debugger] Hotkey Disabled
IFEO\product_info.exe: [Debugger] Hotkey Disabled
IFEO\python.exe: [Debugger] Hotkey Disabled
IFEO\register_agent.exe: [Debugger] Hotkey Disabled
IFEO\remediation.exe: [Debugger] Hotkey Disabled
IFEO\schedarq.exe: [Debugger] Hotkey Disabled
IFEO\schedhlp.exe: [Debugger] Hotkey Disabled
IFEO\schedmgr.exe: [Debugger] Hotkey Disabled
IFEO\schedul2.exe: [Debugger] Hotkey Disabled
IFEO\SecurityHealthService: [Debugger] Hotkey Disabled
IFEO\SecurityHealthSystray: [Debugger] Hotkey Disabled
IFEO\service_process.exe: [Debugger] Hotkey Disabled
IFEO\sh-inventory.exe: [Debugger] Hotkey Disabled
IFEO\ShapeCollector.exe: [Debugger] Hotkey Disabled
IFEO\smartscreen.exe: [Debugger] Hotkey Disabled
IFEO\spawn.exe: [Debugger] Hotkey Disabled
IFEO\systeminfo.exe: [Debugger] Hotkey Disabled
IFEO\system_monitor_tool.exe: [Debugger] Hotkey Disabled
IFEO\TabTip.exe: [Debugger] Hotkey Disabled
IFEO\TabTip32.exe: [Debugger] Hotkey Disabled
IFEO\task-manager.exe: [Debugger] Hotkey Disabled
IFEO\tibxread.exe: [Debugger] Hotkey Disabled
IFEO\tib_mounter_monitor.exe: [Debugger] Hotkey Disabled
IFEO\tib_mounter_service.exe: [Debugger] Hotkey Disabled
IFEO\Uninstaller.exe: [Debugger] Hotkey Disabled
IFEO\updater.exe: [Debugger] Hotkey Disabled
IFEO\upgrade_tool.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.CloudService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.MountService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.WmiServer.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.EndPoint.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.VssHwSnapshotProvider.exe: [Debugger] Hotkey Disabled
IFEO\VeeamDeploymentSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamHvIntegrationSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamNFSSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamTransportSvc.exe: [Debugger] Hotkey Disabled
IFEO\vmcompute.exe: [Debugger] Hotkey Disabled
IFEO\vmms.exe: [Debugger] Hotkey Disabled
IFEO\vmwp.exe: [Debugger] Hotkey Disabled
IFEO\VsImmersiveActivateHelper.exe: [Debugger] Hotkey Disabled
IFEO\VSLauncher.exe: [Debugger] Hotkey Disabled
IFEO\vss_requestor.exe: [Debugger] Hotkey Disabled
IFEO\web_installer.exe: [Debugger] Hotkey Disabled
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [ohedcglhbbfdgaogjhcclacoccbagkjg]
S1 ehyqjpmw; \??\C:\Windows\system32\drivers\ehyqjpmw.sys [X]
S2 NPF; \??\C:\Program Files\iVMS-4200 Lite\Drivers\npf64.sys [X]
S1 usandmtc; \??\C:\Windows\system32\drivers\usandmtc.sys [X]
S3 vwifibus; \SystemRoot\System32\drivers\vwifibus.sys [X]
2025-02-13 08:30 - 2025-02-13 08:30 - 002098230 _____ C:\ProgramData\1b.mp
2025-02-13 08:30 - 2025-02-13 08:30 - 000006656 _____ C:\ProgramData\secrtes.exe
2025-02-13 03:42 - 2025-02-13 03:42 - 000003874 _____ C:\Users\администратор.KIA59\advanced_port_scanner_MAC.bin
2025-02-13 03:42 - 2025-02-13 03:42 - 000000015 _____ C:\Users\администратор.KIA59\advanced_port_scanner_Comments.bin
2025-02-13 03:42 - 2025-02-13 03:42 - 000000015 _____ C:\Users\администратор.KIA59\advanced_port_scanner_Aliases.bin
2025-02-13 03:38 - 2025-02-13 03:38 - 000001030 _____ C:\Users\Public\Desktop\Advanced Port Scanner.lnk
2025-02-13 03:38 - 2025-02-13 03:38 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced Port Scanner v2
2025-02-13 03:38 - 2025-02-13 03:38 - 000000000 ____D C:\Program Files (x86)\Advanced Port Scanner
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Ссылка на комментарий
Поделиться на другие сайты
DennisKo

DennisKo

Опубликовано
  • Автор
Опубликовано (изменено)
47 минут назад, safety сказал:

Других зашифрованных файлов нет? В этом документе все таки есть личная информация.

Тем более, пара не нужна. Не поможет получить ключ. Добавьте только несколько зашифрованных файлов.

+

Добавьте файл secrtes.exe в архиве, с паролем virus

 

Этот процесс закрыть надо. возможно это вайпер, который чистит дисковое пространство на месте удаленных файлов.

С тем, чтобы не было возможно восстановить удаленные файлы.

(C:\Windows\SysWOW64\cmd.exe ->) () [Файл не подписан] C:\ProgramData\secrtes.exe

 

ёщё файла.rar

secrtes.rar

Изменено пользователем DennisKo
Ссылка на комментарий
Поделиться на другие сайты
safety

safety

Опубликовано
Опубликовано (изменено)
2 часа назад, safety сказал:

С тем, чтобы не было возможно восстановить удаленные файлы.

(C:\Windows\SysWOW64\cmd.exe ->) () [Файл не подписан] C:\ProgramData\secrtes.exe

https://www.virustotal.com/gui/file/8e3ff1907d973d91167c2d74ac8414496d7f430687eef52e3201721e01513761/detection

 

+ добавьте лог выполнения скрипта очистки.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты
DennisKo

DennisKo

Опубликовано
  • Автор
Опубликовано
2 часа назад, safety сказал:

https://www.virustotal.com/gui/file/8e3ff1907d973d91167c2d74ac8414496d7f430687eef52e3201721e01513761/detection

 

+ добавьте лог выполнения скрипта очистки.

https://drive.google.com/file/d/1U8PNOrUjMB0yit4psqK-d5t2AN5JKLAD/view?usp=sharing

Ссылка на комментарий
Поделиться на другие сайты
safety

safety

Опубликовано
Опубликовано
12 часов назад, safety сказал:

+ добавьте лог выполнения скрипта очистки.

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • SatanicPanzer
      Файлы зашифрованы с расширением Encrypted
      Автор SatanicPanzer
      Скорее всего проник через почту на сервер небольшой фирмы, файлы и логи прикрепляю
      FRST.txt 1.zip
    • Evgeniy Alekseevich
      Файлы зашифрованы, расширение файлов helpo2, как расшифровать ?
      Автор Evgeniy Alekseevich
      05 августа , судя по датам файлов, на нашем сервере был запущен шифровальщик, кем и как пока выясняем, но сегодня утром я обнаружил зашифрованы практически все файлы.
      Файлы имеют расширение helpo2.
      Может кто сталкивался и сможет помочь ?
      Связались с вымогателями, они для примера расшифровали два файла, я вложил в архив два зашифрованных и они же расшифрованные . Там же письмо, которое они оставили.
      Также прикладываю файлы от  Farbar Recovery Scan Tool.
      Может кто сможет помочь....
      С Уважением, Евгений.
       
       
      Addition.txt FRST.txt НаборФайлов5шт.zip
    • MirTa
      Троян ISTANBULTEAM зашифровал файлы
      Автор MirTa
      Здравствуйте, вчера в два этапа  10.00 и  20.00 оказались зашифрованы почти все файлы, в том числе и архиватор, поэтому не могу сложить в архив и не могу их прикрепить, подскажите, пожалуйста, как их сюда добавить
      Important_Notice.txt Addition.txt FRST.txt
    • itman
      История про зашифрованные файлы.
      Автор itman
      Добрый день всем! Хочу поведать вам всем поучительную историю как делать НЕ НАДО!!! В апреле месяце подцепили вирус -шифровальщик! Утром пришли  пользователи, а там все зашифровано на 3 севаках и 2х локалках на которых была расшаренная какая-то папка!! печаль !!! ну а что делать?! благо сисадмин делал копию раз в месяц акрониксом всех серверов, а бухгалтер помимо всего копии на внешний hdd каждое утро и хдд этот хранил в сейфе! (рекомендую всем бухгалтерам так делать!!!) и вот утром сисадмину звонок: -ААА!! Все пропало!! Что делать???? ничего не работает!!!  Помоги!!! и проч))) ну что проснулся от и начал смотреть что все таки произошло! на каждом из серваков при запуске вот такой текст: Encrypted by trust
       Email us for recovery: Rdpdik6@gmail.com
       In case of no answer, send to this email: Rdpp771@gmail.com
      Your unqiue ID:  писать не буду.
       Почти  все файлы (кроме *.dll и тому подобных и системных зашифрованы и переименованы по формуле имя.расширение. [Rdpdik6@gmail.com].lockedfile) и в каждой папке файлик txt c вот таким содержимым:
       Email 1:
      Rdpdik6@gmail.com
      Email 2:
      Rdpp771@gmail.com
      Send messages to both emails at the same time
      So send messages to our emails, check your spam folder every few hours
      ID: эту строчку сотру на всякий случай)
      If you do not receive a response from us after 24 hours, create a valid email, for example, gmail,outlook
      Then send us a message with a new email
      Ну сисадмин начал заниматься восстановлением копии то есть пусть месячные но все же копии а базы 1с так вообще вчерашние!!!  (а это самое главное!) прежде чем все восстанавливать сделал копию того что зашифровали а мало ли)) ну и параллельно всё-таки решил он написать этим недо людям (медикам на букву П), что так и так копии есть ущерб не большой на то что пока будет восстанавливаться копия уйдет время давайте разойдемся все миром и в итоге договорились на 30 баксах. Сисадмин им перевел на их кошелек, а они его кинули ни хрена они ему не прислали!!!!
      Прошло какое-то время (месяца полтора!) и тут пользователи посмотрели что у одного там пара доков осталась в общей папке уже после того как делалась копия у другого тоже какие-то доки  у третьего вообще фото с корпоратива и подумали они что всё-таки давай заплатим этим  людям нетрадиционной ориентации) сумму которую они просят! Скинулись толпой. Вот на переговоры опять отправили сисадмина (как жаль его)! Опять шли переговоры пару дней а то и больше ну вроде нашли они компромисс с шантажистами в размере 250$ те опять прислали адрес куда переводить деньги причем второй раз без гарантий! Типа из всех гарантий попросили прислать любой зашифрованный файл не более мегабайта и они покажут что всё-таки могут расшифровать. Отправили им какой-то pdf они в ответ скрин файла только весь замазанный видно только пару слов по которым надо только больше догадываться! По итогу  Он им опять перевел общий банк:
      Получаете:
      200.0813 Tether TRC20 USDT
      На счет:
      TBgx7szAXYNSwPJz1Ama2K85kTXrCcsnG1
       
      И? что вы думаете? Эти деятели пишут:
      Sinior (это ник в телеге одного из шантажистов )
      Deposit $50
      Sinior
      I won't give you the key until you pay me $50.
      Типа вы не доплатили 50 баксов!! Вот так уважаемые читатели этого поста ни в коем случае не вздумайте им платить так как они вам все равно ничего не пришлют!!! А деньги вы потеряете!!! И ни одного файла не расшифруете там рассчитано не на то чтоб найти компромисс а на то чтоб выдурить с вас побольше денег!!!!!!!
      P.S.    Делайте резервные копии и храните их на внешних hhd  и не оставляйте их подключенными к компьютеру! Сделал копию и отключай да не удобно зато надежно!!!! Всем удачи!!!!
       
      Сообщение от модератора thyrex Перенесено из раздела по шифровальщикам
       
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
×
×
  • Создать...