proxima Trojan-Ransom.Win32.Generic зашифрованы файлы, расширение .flash

[Kotozavr]

В понедельник пришел на работу, вся информация на компьютере зашифрована. Виндовс только запускается и браузер.

Kotozavr.zip

[safety]

Добавьте так же логи FRST из зашифрованной системы.

На первый взгляд, это похоже на Proxima/BTC=azadi.

+

Если систему сканировали Cureit. KVRT или штатным антивирусом, добавьте отчеты по сканированию, в архиве, без пароля. (Судя по детекту Ransom.Genetik было срабатывание на какой-то файл, возможно что этот файл и есть сэмпл шифровальщика, если возможно - покажите, пожалуйста запись с данным срабатыванием)

 

Изменено 27 января пользователем safety

[Kotozavr]

45 минут назад, safety сказал:

Добавьте так же логи FRST из зашифрованной системы.

На первый взгляд, это похоже на Proxima/BTC=azadi.FRST1.zip

+

Если систему сканировали Cureit. KVRT или штатным антивирусом, добавьте отчеты по сканированию, в архиве, без пароля. (Судя по детекту Ransom.Genetik было срабатывание на какой-то файл, возможно что этот файл и есть сэмпл шифровальщика, если возможно - покажите, пожалуйста запись с данным срабатыванием)

 

FRST сделал. Полное сканирование в Касперском делаю. Долго идёт. Лог быстрой проверки ещё. Я не очень понимаю что конкретно требуется, если не трудно, пишите как совсем новичку.)
Полную проверку тоже выкладываю. на 94% сделано правда. Завтра утром сделаю полную тогда. Надо идти просто..

А конкретного срабатывания не видел. До этого стоял антивирус 360, я его снёс и касперский поставил.

Проверки_27_01.zip

2 минуты назад, Kotozavr сказал:

FRST сделал. Полное сканирование в Касперском делаю. Долго идёт. Лог быстрой проверки ещё. Я не очень понимаю что конкретно требуется, если не трудно, пишите как совсем новичку.)
Полную проверку тоже выкладываю. на 94% сделано правда. Завтра утром сделаю полную тогда. Надо идти просто..

А конкретного срабатывания не видел. До этого стоял антивирус 360, я его снёс и касперский поставил.FRST1.zip

Проверки_27_01.zip 914 B · 0 загрузок

 

[safety]

Просьба не цитировать, и так все понятно.

Цитата

А конкретного срабатывания не видел

Я имею ввиду вот этот детект "Ransom.Genetiс" в названии вы откуда взяли? Чье это было срабатывание: 360, или Касперского?

Trojan-Ransom.Win32.Generic --- это более походит на детектирование Касперского, значит в логах обнаружения должна быть запись по этому детекту

+

Добавьте так же логи FRST из зашифрованной системы.

Изменено 27 января пользователем safety

[Kotozavr]

FRST1.zip

Я с зашифрованного компьютера пишу, у меня тут ничего не работает просто.

Сейчас полную проверку сделаю и отдельно выложу логи.

Сработка вот была. В скриншоте видно. Самая нижняя строка.  Не знаю как логи старые сделать просто, вчера вроде как выложил всё что было.

 

[safety]

Да, это похоже на сэмпл.

Пробуйте его восстановить из карантина, он восстановится в ту же папку, откуда был удален.

Переименуйте файл на расширение *.vexe, добавьте восстановленный файл в архив с паролем virus, загрузите архив в ваше сообщение.

[Kotozavr]

Пробовал найти утилиту которая может помочь.
Начала искать и вроде как могла что-то дешифровать "Утилита Kaspersky RectorDecryptor для расшифровки файлов после заражения Trojan-Ransom.Win32.Rector". Но как-то стрёмно её запускать на лечение. Там написано что удаляет зашифрованные файлы после расшифровки. А вдруг не расшифрует?
Да и в поддержке касперского сказали что не знают как эта утилита будет работать потому что она бесплатная... Нафига тогда её вообще выкладывать? Не понимаю.

8 часов назад, safety сказал:

Да, это похоже на сэмпл.

Пробуйте его восстановить из карантина, он восстановится в ту же папку, откуда был удален.

Переименуйте файл на расширение *.vexe, добавьте восстановленный файл в архив с паролем virus, загрузите архив в ваше сообщение.

А он заново не зашифрует мне тут всё? 

 

Не могу его восстановить, он сразу удаляется.

[safety]

7 минут назад, Kotozavr сказал:

Пробовал найти утилиту которая может помочь.

Утилит по расшифровке достаточно много, но они предназначены только расшифровки определенного типа.

Нет такого универсального дешифратора который расшифрует все что было зашифровано за несколько лет назад, и новые типы, которые будут в последующие годы.

Вначале надо определять правильно тип шифровальщика, затем уже искать дешифратор для данного типа, если он есть в природе.

 

Цитата

А он заново не зашифрует мне тут всё? 

Не должен, он запускается вручную. Но сразу измените ему расширение.

3 минуты назад, Kotozavr сказал:

Не могу его восстановить, он сразу удаляется.

Временно отключите защиту.

Изменено 28 января пользователем safety

[Kotozavr]

Поменял расширение и всё равно удалился файл

[safety]

Только что, Kotozavr сказал:

Поменял расширение и всё равно удалился файл

Временно отключите защиту антивируса.

[Kotozavr]

вот он

Изменено 28 января пользователем safety
архив без пароля удален

[safety]

Пароль установили к архиву? Восстановленный файл удалите.

Изменено 28 января пользователем safety

[Kotozavr]

нет

[safety]

Написано ведь было:

Переименуйте файл на расширение *.vexe, добавьте восстановленный файл в архив с паролем virus, загрузите архив в ваше сообщение.

 

А вы просто архив переименовали.

Пробуйте еще раз сделать архив с паролем.

[Kotozavr]

virus.zip