ransom.shade Все файлы на ПК зашифрованы better_call_saul

[Nekst]

Добрый день.

 

Ситуация, судя по темам, не нова. Открыл письмо из почты и все файлы на ПК зашифровались с расширением better_call_saul. 

 

Огромная просьба помочь с дешифровкой.

 

Заранее спасибо.

 

CollectionLog-2016.03.27-14.36.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Пользователь\AppData\Local\YdPack\qsxcibqx.dll','');
 QuarantineFile('C:\Users\Пользователь\AppData\Local\AVworks\sdsbidxs.dll','');
 TerminateProcessByName('c:\users\Пользователь\appdata\local\ydpack\045ef678.exe');
 QuarantineFile('c:\users\Пользователь\appdata\local\ydpack\045ef678.exe','');
 DeleteFile('c:\users\Пользователь\appdata\local\ydpack\045ef678.exe','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\AVworks\sdsbidxs.dll','32');
 DeleteFile('C:\Users\Пользователь\AppData\Local\YdPack\qsxcibqx.dll','32');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-1714645120-2059106948-1436066783-1001\Software\Microsoft\Windows\CurrentVersion\Run','AVworks');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-1714645120-2059106948-1436066783-1001\Software\Microsoft\Windows\CurrentVersion\Run','Eqtion');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Nekst]

Спасибо. Новые логи во вложении. 

 

KLAN-4009691676

CollectionLog-2016.03.27-17.47.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[Nekst]

Готово. Логи во вложении.

FRST+Addition.7z

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
2016-03-27 11:38 - 2016-03-27 17:27 - 00000000 ____D C:\Users\Пользователь\AppData\Local\YdPack
2016-03-27 11:38 - 2016-03-27 17:27 - 00000000 ____D C:\Users\Пользователь\AppData\Local\AVworks
2016-03-27 11:37 - 2016-03-27 11:37 - 03888054 _____ C:\Users\Пользователь\AppData\Roaming\3717DD0E3717DD0E.bmp
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README9.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README8.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README7.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README6.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README5.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README4.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README3.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README2.txt
2016-03-27 11:37 - 2016-03-27 11:37 - 00002712 _____ C:\Users\Пользователь\Desktop\README10.txt
2016-03-27 11:31 - 2016-03-27 12:08 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-03-27 11:31 - 2016-03-27 12:08 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\Пользователь\AppData\Local\Temp\045EF678.exe
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{0BB3F00C-B7EA-42B5-B677-25866B8B4207}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{0F980403-0C3A-41CF-A6DD-96A4A6A44F9A}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{2E3F2257-5717-48F6-B923-F83E908E2311}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{5B979168-5B5D-458E-9A2F-FF214744214D}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{755F9F0A-3FE8-40AF-A98F-E792A697523D}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{7EE04146-327B-49FA-9C99-C06C09E38AF4}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{8D859E11-4D51-4A5E-8FE7-722265E0DE23}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{DC183C33-F7A8-4980-87A5-8718141E8551}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{F7E60974-7F71-4F4A-BC3B-DF67801BD1AC}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{F9997A79-4170-4EC2-AFC9-01BA072CB308}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1714645120-2059106948-1436066783-1001_Classes\CLSID\{FAD24A02-327A-4D82-B07D-6C71C0BB0AE9}\InprocServer32 -> no filepath
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Nekst]

Добрый день. Готово.

Fixlog.txt

[thyrex]

С расшифровкой не поможем

[Nekst]

Уважаемые пользователи, коим посчастливилось стать обладателями кучи зашифрованных файлов с расширением better_call_saul, инфа ниже для вас.

Ниже представлен мой личный опыт по решению данной проблемы.

 

Расшифровать файлы возможно, но трудозатраты и финансовые затраты на это дело не стоят тех данных, которые хранились на компе, если конечно же Вы, уважаемый невнимательный пользователь не министр обороны РФ. Если вы в зеркале видите не господина Шойгу, тогда путь следующий:

 

Единственным решением данного вопроса будет восстановление файлов. Это можно сделать даже в том случае, если вы не делали специальных бэкапов системы.

Единственной проблемой будет то, что актуальность восстановленных файлов будет недельной давности, но, согласитесь, это гораздо лучше, чем потерять их навсегда.

 

Теперь к сути:

Чаще всего после зашифровки компьютера вирус завершает работу и самоудаляется. Чтобы восстановить файлы попробуйте использовать следующие две программы:

1. ShadowExplorer http://www.spyware-ru.com/download/shadowexplorer/ Скачайте и распакуйте программу. Запустите. Выберите диск на котором находятся зашифрованные файлы и дату до заражения компьютера. Затем в окне откроется список теневых копий файлов и каталогов. Найдите нужные вам файлы и восстановите их.
2. Если программа ShadowExplorer не помогла, то попробуйте программу PhotoRechttp://www.cgsecurity.org/wiki/TestDisk_Download , чтобы восстановить удаленные файлы, так как некоторые шифровальщики удаляют исходные файлы после создания их зашифрованных версий.

Мне было достаточно 1-го пункта. Если кому-то этот пост поможет вернуть инфу, то отправьте плюсик мне в карму. Этого будет вполне достаточно.

Спасибо за внимание.