Перейти к содержанию

Шифровальщик

studionuance
 Share

Рекомендуемые сообщения

studionuance Новичок

studionuance

Опубликовано
Опубликовано
Здравствуйте! У меня возникла проблема с шифровальщиком файлов neitrino

Получил письмо с резюме на почту, в котором были вложены файл WORD и в нем был прикреплен PDF

После распаковки файла не перезагружал компьютер, работало вроде нормально. После ближайшей перезагрузки, файлы приняли расширение neitrino.

Пробовал сделать откат системы, но это не помогло.

 

Запросить стоимость декриптора можно, написав письмо на адрес:danny.walswen@protonmail.com

В ТЕМЕ письма укажите ваш ID:6938314603

Письма без указания ID игнорируются.

Убедительная просьба не пытаться расшифровать файлы сторонними инструментами.

Вы можете их окончательно испортить и даже оригинальный декриптор не поможет.

Приобрести декриптор можно до 17.04.2016

Заявки обрабатываются автоматической системой.

 

Воспользовался  Farbar Recovery Scan Tool получил два текстовика.

Addition

FRST

 

Сможете помочь с моей проблемой?

 

Сообщение от модератора Mark D. Pearlstone
Перемещено из темы

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
Elly Мудрец

Elly

Опубликовано
Опубликовано

нет, не разобрались. Карантин не нужно выкладывать.

Написано же:

  • вложите в сообщение файл протоколов (логов) - CollectionLog-yyyy.mm.dd-hh.mm.zip

     

     

     

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано
Выполните скрипт в AVZ

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

if not IsWOW64

 then

  begin

   SearchRootkit(true, true);

   SetAVZGuardStatus(True);

  end;



 QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-7.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-6.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-5.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-4.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-11.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-1-7.exe','');

 QuarantineFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-1-6.exe','');

 TerminateProcessByName('c:\users\Андрей\appdata\roaming\utorrent\updates\3.4.6_42094\utorrentie.exe');

 QuarantineFile('c:\users\Андрей\appdata\roaming\utorrent\updates\3.4.6_42094\utorrentie.exe','');

 DeleteFile('c:\users\Андрей\appdata\roaming\utorrent\updates\3.4.6_42094\utorrentie.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-1-6.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-1-7.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-11.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-4.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-5.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-6.exe','32');

 DeleteFile('C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-7.exe','32');

 DeleteFile('C:\Windows\Tasks\UTH.job','32');

 DeleteFile('C:\Windows\Tasks\NCOEFRAN.job','32');

 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-6.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-5_user.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-5.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-4.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-11.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-1-7.job','32');

 DeleteFile('C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-1-6.job','32');

 DeleteFile('C:\Users\Андрей\AppData\Roaming\mystartsearch\UninstallManager.exe','32');

 DeleteFile('C:\Windows\system32\Tasks\{F0C24D45-740D-4D05-A41B-D73B76C35A2A}','64');



 BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(false);

end.
Будет выполнена перезагрузка компьютера.

 


Выполните скрипт в AVZ

begin

CreateQurantineArchive('c:\quarantine.zip');

end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)


 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
Ссылка на комментарий
Поделиться на другие сайты
studionuance Новичок

studionuance

Опубликовано
  • Автор
Опубликовано

Спасибо. Отослал архив по рекомендованной почте.

Правило выполнить после " Полученный ответ сообщите здесь (с указанием номера KLAN)"?


[KLAN-4099533679]

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

utorrentie.exe

Получен неизвестный файл, он будет передан в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ru http://www.viruslist.ru"


Отправляю Вам новые логи

Addition.txt

FRST.txt

hijackthis.log

CollectionLog-2016.04.16-20.18.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано
1. Откройте Блокнот и скопируйте в него приведенный ниже текст



CreateRestorePoint:



HKLM-x32\...\Run: [mbot_ru_58] => [X]



HKU\S-1-5-21-3143464042-1504714972-1720448807-1001\...\Run: [AdobeBridge] => [X]



HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.mystartsearch.com/web/?type=ds&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX&q={searchTerms}

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.mystartsearch.com/web/?type=ds&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX&q={searchTerms}

HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.mystartsearch.com/?type=hp&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.mystartsearch.com/?type=hp&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX

HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX&q={searchTerms}

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX&q={searchTerms}



HKU\S-1-5-21-3143464042-1504714972-1720448807-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.mystartsearch.com/?type=hp&ts=1423001874&from=amt&uid=HGSTXHTS541010A9E680_JD100A1V29LGEM29LGEMX



CHR StartupUrls: Default -> "hxxp://www.yoursearching.com/?type=hp&ts=1450684002&z=b23c3c7326825efacdebd7bg7zfw6e7qab1mecbgcq&from=face&uid=ST1000DM003-9YN162_S1D3VBTKXXXXS1D3VBTK"



S2 be0fb33b; "C:\Windows\system32\rundll32.exe" "c:\Program Files (x86)\Supporter\Supporter.dll",serv



2016-04-14 19:25 - 2015-02-04 01:19 - 00000000 ____D C:\Users\Все пользователи\IHProtectUpDate

2016-04-14 19:25 - 2015-02-04 01:19 - 00000000 ____D C:\ProgramData\IHProtectUpDate

2016-04-14 19:25 - 2015-02-04 01:18 - 00000000 ____D C:\Users\Все пользователи\WindowsMangerProtect

2016-04-14 19:25 - 2015-02-04 01:18 - 00000000 ____D C:\ProgramData\WindowsMangerProtect



Task: {3A74B321-09A7-4A86-BEDF-5FE07781D664} - \{F0C24D45-740D-4D05-A41B-D73B76C35A2A} -> No File <==== ATTENTION



Task: {458D8091-1CCA-4312-820D-D461752FEE67} - \74cffd73-9393-4ea5-866a-774e8965ca62-7 -> No File <==== ATTENTION



Task: C:\Windows\Tasks\74cffd73-9393-4ea5-866a-774e8965ca62-7.job => C:\Program Files (x86)\CinemaPlus12bV04.02\74cffd73-9393-4ea5-866a-774e8965ca62-7.exe <==== ATTENTION

Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
studionuance Новичок

studionuance

Опубликовано
  • Автор
Опубликовано (изменено)

А что возможно сделать и куда обратиться в моем случае? Писать злоумышленникам?

Изменено пользователем studionuance
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      Шифровальщик BlackBit
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • yarosvent
      поймали шифровальщика
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
    • WL787878
      Шифровальщик
      От WL787878
      Key2030_Help.txt
      Здравствуйте. Возможно ли получить помощь в расшифровке файлов? Логи прилагаю.
      Addition.txt FRST.txt
×
×
  • Создать...