Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

зашифрованы xtbl

sm3r4
 Поделиться

Рекомендуемые сообщения

sm3r4 Новичок

sm3r4

Опубликовано
  • Автор
Опубликовано
Ваши файлы были зашифрованы.

Чтобы расшифровать их, Вам необходимо отправить код:

BE9EB0A483B23538B5FF|233|2|15

на электронный адрес post8881@gmail.com или post24932@gmail.com .

Далее вы получите все необходимые инструкции.  

Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.

 

 

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

BE9EB0A483B23538B5FF|233|2|15

to e-mail address post8881@gmail.com or post24932@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

CollectionLog-2015.07.01-22.59.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Вадим\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','');
QuarantineFile('C:\Users\Вадим\appdata\local\smartweb\swhk.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Temp\nsr49CD.tmp\D1989.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Temp\nsjE10F.tmp\D1989.dll','');
QuarantineFile('C:\Users\Вадим\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\f_003543','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','');
QuarantineFile('C:\Users\Вадим\AppData\Roaming\eTranslator\eTranslator.exe','');
TerminateProcessByName('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe');
QuarantineFile('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe','');
TerminateProcessByName('c:\users\Вадим\appdata\local\mediaget2\mediaget.exe');
TerminateProcessByName('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe');
TerminateProcessByName('c:\users\Вадим\appdata\local\smartweb\smartwebapp.exe');
TerminateProcessByName('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe');
QuarantineFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','');
TerminateProcessByName('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe');
QuarantineFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','');
DeleteFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','32');
DeleteFile('c:\program files (x86)\cinemaplus-4.5vv09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\smartweb\smartwebapp.exe','32');
DeleteFile('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\mediaget2\mediaget.exe','32');
DeleteFile('c:\users\Вадим\appdata\local\smartweb\smartwebhelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windesk Winsearch');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
DeleteFile('C:\Users\Вадим\AppData\Roaming\eTranslator\eTranslator.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','eTranslator Update');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV09.06\b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe','32');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-7.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-6.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-3.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-11.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-10_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.job','64');
DeleteFile('C:\WINDOWS\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.job','64');
DeleteFile('C:\WINDOWS\Tasks\EBjPYBvIDD5g.job','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-1-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-11','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-3','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-5','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\b19de1f9-0e08-4924-9143-76e3740fd50c-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\LaunchSignup','64');
DeleteFile('C:\WINDOWS\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Users\Вадим\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
DeleteFile('C:\Users\Вадим\AppData\Roaming\istartsurf\UninstallManager.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\{9B199DA1-3C35-47AD-9138-EDD329D4C362}','64');
DeleteFile('C:\WINDOWS\system32\Tasks\{DE5BE4DC-A4D4-496C-839B-704ECC83806F}','64');
DeleteFile('C:\Users\Вадим\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\f_003543','32');
DeleteFile('C:\Users\Вадим\AppData\Local\Temp\nsjE10F.tmp\D1989.dll','32');
DeleteFile('C:\Users\Вадим\AppData\Local\Temp\nsr49CD.tmp\D1989.dll','32');
DeleteFile('C:\Users\Вадим\appdata\local\smartweb\swhk.dll','32');
DeleteFile('C:\Users\Вадим\appdata\roaming\mediahit\shadow\mediahit.update\mediahit.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

Ссылка на комментарий
Поделиться на другие сайты
sm3r4 Новичок

sm3r4

Опубликовано
  • Автор
Опубликовано

KLAN-2935456582

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

b19de1f9-0e08-4924-9143-76e3740fd50c-10.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-11.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-1-6.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-1-7.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-3.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-5.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-6.exe,
b19de1f9-0e08-4924-9143-76e3740fd50c-7.exe - not-a-virus:WebToolbar.Win32.CrossRider.amqa

Это - потенциально опасное ПО. Детектирование файлов будет добавлено в следующее обновление.

D1989.dll,
D1989_0.dll

Вредоносный код в файлах не обнаружен.

eTranslator.exe,
f_003543,
mediahit.update.process.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

smartwebhelper.exe,
swhk.dll - not-a-virus:AdWare.Win32.PriceGong.a

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • BeckOs
      Зашифрованы все файлы
      Автор BeckOs
      На компьютере зашифрованы все файлы. Атака была ночью 
      FRST.txt files.7z
    • Andrey_ka
      зашифрованные файлы
      Автор Andrey_ka
      Добрый день! Может , кто подскажет... попался диск с архивами одного предприятия , диск стоял на NAS Iomega, со временем hdd был поврежден , но данные с него я смог вытащить , файловая структура целая , но как выяснилось ни один из файлов нормально не открывается, уточни у бывших работников и выяснил , что еще до того как он умер у них начались подобные проблемы и большую часть информации они успели переписать ( все указывает на работу вируса шифровальщика) , взяв несколько файлов попытался онлайн прогнать разными анализаторами вирусов , результат один вирусов не обнаружено ... теперь о самих файлах - неважно это файлы doc, docx, pdf и т.д. тенденция прослеживается такая, начало файла смещение 0x2E0 защифрованно, в конец файла добавлено 1126 байт , код начинается D9 9D 68 и полностью одинаковы во всех файлах кроме последних 0x84 байта. Ни то, что бы информация очень востребована , любопытно, что это за вирус и тд... если кому интересно , образцы файлов выложу и дамп концовки ....    
          вставить выделенную цитату в окно ответа
            xТитульный.docx Титульный.docx titdump.txt
    • paradox197755
      Зашифрованы диски на сервере.
      Автор paradox197755
      Зашифрованы диски на сервере.

    • KasatkinMihail
      Зашифровали рабочий сервер
      Автор KasatkinMihail
      Доброго всем дня, в нерабочий день путем взлома RDP зашифровали сервер, поиск подобных случаев не дал результат, на письма по адресам в письме не отвечаю на вопрос сколько денег просят.
       
      ШИФР.rar Logs.rar
    • ngor
      Зашифровались базы1С и не только
      Автор ngor
      Добрый день можете проверить пожалуйста у нас он повредил все быза(((
      Файлы.rar
×
×
  • Создать...