Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Зашифрованы файлы

brusnikin.andrey
 Поделиться

Рекомендуемые сообщения

brusnikin.andrey

brusnikin.andrey

Опубликовано
Опубликовано

Здравствуйте!

 

 

Вчера при перезагрузке компа, все файлы были зашифрованы.

 

На рабочем столе появились документы следующего содержания:

 

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
78F3B3E39872CC4C0ACE|242|2|2
на электронный адрес files1147@gmail.com или post100023@gmail.com .
Далее вы получите все необходимые инструкции.  
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
 
утилиты XoristDecryptor, RannohDecryptor, RectorDecryptor не помогли. 
 
Прикрепил зашифрованный файл.
 
Помогите пожалуйста!

зашифрованый файл.rar

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Добрый день. Чтобы консультанты оказали помощь выполните http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]и приложите логи.

 

Добрый день. Чтобы консультанты оказали помощь выполните http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]и приложите логи.

 

Приложил еще файл README и архив в котором поврежденный файл и его нормальная версия.

CollectionLog-2015.06.29-18.17.zip

README1.txt

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Простите не понял : Полученный ответ сообщите здесь (с указанием номера KLAN) 

CollectionLog-2015.06.29-19.39.zip

thyrex

thyrex

Опубликовано
Опубликовано

Карантин отправьте так, как Вам было сказано

 

+ Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
B92LqRQ.png
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Addition и FRST


 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Простите не понял : Полученный ответ сообщите здесь (с указанием номера KLAN) 

 

KLAN-2929244525

Addition.txt

FRST.txt

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
BHO-x32: No Name -> {259F616C-A300-44F5-B04A-ED001A26C85C} ->  No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} ->  No File
2015-06-28 22:27 - 2015-06-28 22:27 - 03148854 _____ C:\Users\Andrey\AppData\Roaming\721DF708721DF708.bmp
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README9.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README8.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README7.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README6.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README5.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README4.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README3.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README2.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README10.txt
2015-06-28 16:28 - 2015-06-29 19:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-28 16:28 - 2015-06-29 19:25 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Andrey\AppData\Local\Temp\utt99F3.tmp.exe
C:\Users\Andrey\AppData\Local\Temp\uttA04E.tmp.exe
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

С расшифровкой не поможем

Купил дешифратор и ключ.  Все дешифровалось.  Могу скинуть если надо.

thyrex

thyrex

Опубликовано
Опубликовано

Ключ шифрования уникальный для каждого компьютера. Потому не стоит

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • olegi
      xtbl шифровальщик помогите восстановить файлы
      Автор olegi
      Здравствуйте, прошу помощи в расшифровке файлов, очень надеюсь на Вашу помощь.
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      38BA3B442DEEFAACE540|71|2|14
      на электронный адрес decode010@gmail.com или decode1110@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      38BA3B442DEEFAACE540|71|2|14
      to e-mail address decode010@gmail.com or decode1110@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
       
      Сообщение от модератора Mark D. Pearlstone Не прикрепляйте quarantine.zip на форум. Файл удалён.
      13072814MАВМ.txt
      AdwCleanerR0.txt
      CollectionLog-2015.07.13-15.19.zip
      CollectionLog-2015.07.13-15.19.zip
    • mspuz
      Зашифровали файлы.
      Автор mspuz
      Добрый день. Принесли ноутбук, на котором зашифрованы файлы (в основном изображения и документы). Что я сделал:
       
      1. Очистил от всех временных файлов.
      2. Почистил автозагрузку, службы, планировщик.
      3. Прошелся CureIt
      4. Собрал логи.
       
      На данный момент подозрительной активности не заметно, но основная проблема - попытаться расшифровать файлы, возможно ли это? Спасибо.
       
      В файлах Readme написана вот такая инфа:
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 406D46D2AAF6030133D1|272|2|15 на электронный адрес post8881@gmail.com или post24932@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     На всякий случай прилагаю логи и от FRST. CollectionLog-2015.07.12-15.56.zip
      frst.rar
    • niknasmak
      Файлы зашифрованы
      Автор niknasmak
      Помогите! Вот логи.
      Addition.txt
      FRST.txt
    • Miky_30
      Файлы зашифрованы расширение .xtbl
      Автор Miky_30
      Вся нужная информация на флеш носителе и ноутбуке зашифрована с расширением xtbl 
      В Readmi информация: Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код: B0D5F17763BE78C1865E|0 на электронный адрес files1147@gmail.com или post100023@gmail.com . 
      CollectionLog-2015.07.12-15.00.zip
      report1.log
      report2.log
    • Лёвка
      вирус зашифровал файлы
      Автор Лёвка
      Вирус зашифровал все важные файлы в системе,я пробовал ваши сканеры и не один не помог вот сразу шлю вам отчёт от  Farbar Recovery Scan Tool                               
      Addition.txt
      FRST.txt
×
×
  • Создать...