Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Зашифрованы файлы

brusnikin.andrey
 Поделиться

Рекомендуемые сообщения

brusnikin.andrey

brusnikin.andrey

Опубликовано
Опубликовано

Здравствуйте!

 

 

Вчера при перезагрузке компа, все файлы были зашифрованы.

 

На рабочем столе появились документы следующего содержания:

 

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
78F3B3E39872CC4C0ACE|242|2|2
на электронный адрес files1147@gmail.com или post100023@gmail.com .
Далее вы получите все необходимые инструкции.  
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
 
утилиты XoristDecryptor, RannohDecryptor, RectorDecryptor не помогли. 
 
Прикрепил зашифрованный файл.
 
Помогите пожалуйста!

зашифрованый файл.rar

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Добрый день. Чтобы консультанты оказали помощь выполните http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]и приложите логи.

 

Добрый день. Чтобы консультанты оказали помощь выполните http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]и приложите логи.

 

Приложил еще файл README и архив в котором поврежденный файл и его нормальная версия.

CollectionLog-2015.06.29-18.17.zip

README1.txt

thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Простите не понял : Полученный ответ сообщите здесь (с указанием номера KLAN) 

CollectionLog-2015.06.29-19.39.zip

thyrex

thyrex

Опубликовано
Опубликовано

Карантин отправьте так, как Вам было сказано

 

+ Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
B92LqRQ.png
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

Addition и FRST


 

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Windows\csrss.exe','');
DeleteFile('C:\ProgramData\Windows\csrss.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Client Server Runtime Subsystem');
DeleteFile('C:\Users\Andrey\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте новые логи по правилам

Простите не понял : Полученный ответ сообщите здесь (с указанием номера KLAN) 

 

KLAN-2929244525

Addition.txt

FRST.txt

thyrex

thyrex

Опубликовано
Опубликовано

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

 

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
BHO-x32: No Name -> {259F616C-A300-44F5-B04A-ED001A26C85C} ->  No File
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} ->  No File
2015-06-28 22:27 - 2015-06-28 22:27 - 03148854 _____ C:\Users\Andrey\AppData\Roaming\721DF708721DF708.bmp
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README9.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README8.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README7.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README6.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README5.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README4.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README3.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README2.txt
2015-06-28 22:17 - 2015-06-28 22:17 - 00000905 _____ C:\Users\Andrey\Desktop\README10.txt
2015-06-28 16:28 - 2015-06-29 19:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
2015-06-28 16:28 - 2015-06-29 19:25 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Andrey\AppData\Local\Temp\utt99F3.tmp.exe
C:\Users\Andrey\AppData\Local\Temp\uttA04E.tmp.exe
Reboot:

  • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

brusnikin.andrey

brusnikin.andrey

Опубликовано
  • Автор
Опубликовано

С расшифровкой не поможем

Купил дешифратор и ключ.  Все дешифровалось.  Могу скинуть если надо.

thyrex

thyrex

Опубликовано
Опубликовано

Ключ шифрования уникальный для каждого компьютера. Потому не стоит

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • DenisTurdiev
      Ваши файлы зашифрованы
      Автор DenisTurdiev
      Добрый день у меня такая же история, помогите пожалуйста.
       
      вот что пишет у меня
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 1EADD1496105A1D2958B|0 на электронный адрес files1147@gmail.com или post100023@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 1EADD1496105A1D2958B|0 to e-mail address files1147@gmail.com or post100023@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Сообщение от модератора Mark D. Pearlstone Перенесено из темы
    • mea
      Не могу открыть файлы с фотографиями и документами
      Автор mea
      Не могу открыть файлы с фотографиями и документами. Что делать? CollectionLog-2015.07.05-17.20.zip
       

      Сообщение от модератора Mark D. Pearlstone Перемещено из темы
    • oborotov
      зашифровались файлы в расширение .xtbl
      Автор oborotov
      Сегодня с утра все фотографии и картинки зашифровались. изменилось название файлов и расширение. провел проверку с помощью утилиты avz. Возможно ли вернуть исходное состояние файлам!? логи прикрепляю
      CollectionLog-2015.02.07-15.13.zip
    • Poseidon007
      Файлы зашифрованы xtbl
      Автор Poseidon007
      Зашифровались файлы, фото, видео и документы.
      Прикрепляю логи.
      Как можно восстановить файлы.
       
      P.S. Заранее спасибо
       
      CollectionLog-2015.07.05-00.17.zip
      README1.txt
    • Yuliya
      Файлы зашифрованы .xtbl
      Автор Yuliya
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      F6A8B4C7C095FFB38B9F|0
      на электронный адрес files09990@gmail.com или files09991@gmail.com .
      Далее вы получите все необходимые инструкции.  
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
       
       
       
      Кстати, одна из папок, файлы в которой зашифрованы, синхронизировалась с Гугл Диском. Так вот если скачать эти файлы с гугл диска, то с ними все в порядке. Единственное, названия файлов изменились. Возможно кому-то поможет.
      CollectionLog-2015.07.04-19.38.zip
×
×
  • Создать...