Перейти к содержанию

Очередная жертва better_call_saul. Зашифрованы файлы

Smesharik
 Поделиться

Рекомендуемые сообщения

Smesharik

Smesharik

Опубликовано
Опубликовано

Всё стандартно. Запущен файл из вложения, полученного с письмом не вызвавшим подозрения у сотрудника.

В итоге массив зашифрованных файлов, "убитый" Chrome и обои с предложением "договориться".

В файлах readme1.txt,...,readme10.txt:

Ваши файлы были зашифрованы.
Чтобы расшифровать их, Вам необходимо отправить код:
FFA25B9A9C13A45751D1|0
на электронный адрес files2549@gmail.com .
Далее вы получите все необходимые инструкции.
Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае
их изменения расшифровка станет невозможной ни при каких условиях.

All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
FFA25B9A9C13A45751D1|0
to e-mail address files2549@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.

 

 

Отчёт FRST прикладываю.

FRST.txt

Addition.txt

mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
  • Спасибо (+1) 1
  • Согласен 1
Smesharik

Smesharik

Опубликовано
  • Автор
Опубликовано

Эти отчёты есть в первом сообщении темы. Или после работы AutoLogger нужно создать их заново?

mike 1

mike 1

Опубликовано
Опубликовано

Эти отчеты есть вот только сделаны они не из под админа. 

  • Спасибо (+1) 1
  • Согласен 1
Smesharik

Smesharik

Опубликовано
  • Автор
Опубликовано

Ок. Проблема в том, что компьютер в домене, но пароль администратора домена давно утерян.

Попробовал запустить из под доменного пользователя, но от имени локального администратора.

Подойдёт?

Addition.txt

FRST.txt

mike 1

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
2016-04-04 13:30 - 2016-04-04 13:30 - 03932214 _____ C:\Users\secretary\AppData\Roaming\134A5064134A5064.bmp
2016-04-04 12:19 - 2016-04-05 11:04 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-04-04 12:19 - 2016-04-05 11:04 - 00000000 __SHD C:\ProgramData\Windows
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
 
 
  • Спасибо (+1) 1
  • Согласен 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • xas
      Шифровальщик da_vinci_code
      Автор xas
      Здравствуйте.
      Со слов работника 27.07.2016 приблизительно в 16:50 им на почту пришло письмо с какой то  жалобой в их адрес и вложением, которое им не удалось открыть по этому  письмо они удалили, а вложение осталось в корзине компьютера. К  18:00 компьютер был выключен. На следующий день  у них перестала работать программа Ирбис 64. У меня не было времени  проверить,  к обеду выяснилось что документы на компьютере были зашифрованы.
      Addition_FRST.rar
      1.rar
    • mixon3000
      Файлы зашифровали DA_VINCI_CODE
      Автор mixon3000
      Файлы зашифрованы с расширением da_vinci_code
       
      логи прикрепил
       Помогите пожалйсто, очень нужно.
       

      Сообщение от модератора Mark D. Pearlstone Перемещено из темы logi.rar
    • vasja197676
      расшифровка фотографий better call saul
      Автор vasja197676
      пару месяцев назад словил письмо с этим шифровальщиком.
      после переустановил систему.
      остались только фото 5гб
      есть дубликаты некоторых фото.
      есть письмо с этим вирусом.
      возможно ли по дубликатам части фото расшифровать остальные?
      если возможно что мне надо сделать?
      с уважением василий!
    • flemeng
      Файлы зашифрованы с расширением da_vinci_code
      Автор flemeng
      Добрый день. 27 июля 2016 на почту одного из сотрудников пришло письмо с жалобой и прикрепленным файлом. Сотрудник скачал файл и запустил его. После запуска файла компьютер завис примерно на 20 минут и фон рабочего стола поменялся на черный с красной надписью "Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы", а так же появилось 10 текстовых документов README1 - README10. Прошу помочь с расшифровкой файлов. Необходимые логи, копии зашифрованных файлов и копии файлов вирусов которые пришли на почту прикрепил к данной теме.
       

      Строгое предупреждение от модератора Mark D. Pearlstone Не используйте красный цвет текста и не прикрепляйте вредоносные файлы. Сообщение отредактировано. Readme1-10.rar
      примеры зашифрован. файлов.rar
      CollectionLog-2016.07.30-13.00.zip
    • Алексей Морданов
      Файлы зашифровали DA_VINCI_CODE
      Автор Алексей Морданов
      Добрый день.
      Прошу помочь расшифровать мне файлы, которые были зашифрованы после открытия письма пришедшего по электронной почте.
       
      Ваши файлы были зашифрованы.
      Чтобы расшифровать их, Вам необходимо отправить код:
      AD38434BA3B3590EB125|0
      на электронный адрес VladimirScherbinin1991@gmail.com .
      Далее вы получите все необходимые инструкции.
      Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.
      Если вы всё же хотите попытаться, то предварительно сделайте резервные копии файлов, иначе в случае
      их изменения расшифровка станет невозможной ни при каких условиях.
      Если вы не получили ответа по вышеуказанному адресу в течение 48 часов (и только в этом случае!),
      воспользуйтесь формой обратной связи. Это можно сделать двумя способами:
      1) Скачайте и установите Tor Browser по ссылке: https://www.torproject.org/download/download-easy.html.en
      В адресной строке Tor Browser-а введите адрес:
      http://cryptsen7fo43rr6.onion/
      и нажмите Enter. Загрузится страница с формой обратной связи.
      2) В любом браузере перейдите по одному из адресов:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
       
       
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      AD38434BA3B3590EB125|0
      to e-mail address VladimirScherbinin1991@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
      If you still want to try to decrypt them by yourself please make a backup at first because
      the decryption will become impossible in case of any changes inside the files.
      If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
      use the feedback form. You can do it by two ways:
      1) Download Tor Browser from here:
      https://www.torproject.org/download/download-easy.html.en
      Install it and type the following address into the address bar:
      http://cryptsen7fo43rr6.onion/
      Press Enter and then the page with feedback form will be loaded.
      2) Go to the one of the following addresses in any browser:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
      CollectionLog-2016.07.15-16.22.zip
×
×
  • Создать...