Перейти к содержанию

Помощь в расшифровке (email-iizomer@aol.com)

Алексей Хлыстун

Автор Алексей Хлыстун
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Алексей Хлыстун

Алексей Хлыстун

Опубликовано
Опубликовано

Добрый День!

Помогите расшифровать фото и видео.

 

Пример нового названия зашифрованного файла:

 

email-iizomer@aol.com.ver-CL 1.3.0.0.id-IJJKKLMMNOOOPPQRSSSTTUVVWXXXYYZAABBB-23.05.2016 22@13@095285762.randomname-CCDDFFGGGHIJJKLLLMMNOOPPPQRRST.TUU.cbf

 

На момент зашифровки файлов антивируса на компьютере не было.

CollectionLog-2016.10.06-22.50.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 TerminateProcessByName('C:\Users\xlist\AppData\Local\VirtualStore\ISSCH\issch.exe');
 DeleteFile('C:\Users\xlist\AppData\Local\VirtualStore\ISSCH\issch.exe','32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
 DeleteFile('C:\Windows\Tasks\UpdaterEX.job','32');
 DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
 DeleteFile('C:\Windows\system32\Tasks\InstallShield Update Service','64');
 DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
 DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
 DeleteFile('C:\Users\xlist\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера
 

Сделайте новые логи Автологгером. 
 

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.

Прикрепите отчет к своему следующему сообщению.


 

Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
  • 3 недели спустя...
mike 1

mike 1

Опубликовано
Опубликовано

Предупреждают обычно если будут отсутствовать длительное время. 

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SearchEngineOrder.1: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SearchEngineOrder.1,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF DefaultSearchEngine,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SelectedSearchEngine,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF Keyword.URL: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86&l=1&q=
FF DefaultSearchUrl: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86&l=1&q=
FF SearchPlugin: C:\Users\xlist\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\WebSearch.xml [2015-04-14]
CHR StartupUrls: DFLTUSER -> "hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86"
CHR Extension: (OpenDyslexic) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\cdnapgfjopgaggbmfgbiinmmbdcglnam [2015-04-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Web Browser Switcher for Chrome) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\dfjohdhhdfnbnleaagegogfdfgkbfgcg [2015-06-03] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (TickTick  Todo  Task List) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\diankknpkndanachmlckaikddgcehkod [2015-06-23] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (eyeCare  Protect your vision and health) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\eeeningnfkaonkonalpcicgemnnijjhn [2015-04-25] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Ed2kHelper) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\kmeeplonmihpchdbfccgmjhcnpecbppk [2015-05-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Google Кошелек) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-03-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Стартовая — Яндекс) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\pjfkgjlnocfakoheoapicnknoglipapd [2016-04-20]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\xlist\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-07]
S2 b73de5e7; "C:\Windows\system32\rundll32.exe" "c:\Program Files (x86)\IncludeModule\IncludeModule.dll",serv
2014-10-12 00:22 - 2014-12-07 01:22 - 0000000 _____ () C:\Users\xlist\AppData\Roaming\smw_inst
2014-09-10 11:42 - 2014-09-10 11:42 - 0000044 _____ () C:\Users\xlist\AppData\Roaming\WB.CFG
Task: {02BA5192-1414-4A99-8115-19A85F32C553} - \extsetup -> No File <==== ATTENTION
Task: {40D9772F-B566-4FC0-9ABB-CB939193D010} - \InstallShield Update Service -> No File <==== ATTENTION
Task: {CEB2055B-85BB-4239-B16C-6E26E43E3B02} - \kbrowser-updater-utility -> No File <==== ATTENTION
Task: {D5AD9779-545D-41C7-8B02-4C1FD8EADA41} - \Safebrowser -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
 
 

 

Ссылка на комментарий
Поделиться на другие сайты
Алексей Хлыстун

Алексей Хлыстун

Опубликовано
  • Автор
Опубликовано

 

Предупреждают обычно если будут отсутствовать длительное время. 

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SearchEngineOrder.1: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SearchEngineOrder.1,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF DefaultSearchEngine,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF SelectedSearchEngine,S: Mozilla\Firefox\Profiles\nahd6ha2.default -> WebSearch
FF Keyword.URL: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86&l=1&q=
FF DefaultSearchUrl: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86&l=1&q=
FF SearchPlugin: C:\Users\xlist\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\WebSearch.xml [2015-04-14]
CHR StartupUrls: DFLTUSER -> "hxxp://websearch.goodforsearch.info/?pid=22171&r=2015/04/14&hid=10688871496653943568&lg=EN&cc=RU&unqvl=86"
CHR Extension: (OpenDyslexic) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\cdnapgfjopgaggbmfgbiinmmbdcglnam [2015-04-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Web Browser Switcher for Chrome) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\dfjohdhhdfnbnleaagegogfdfgkbfgcg [2015-06-03] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (TickTick  Todo  Task List) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\diankknpkndanachmlckaikddgcehkod [2015-06-23] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (eyeCare  Protect your vision and health) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\eeeningnfkaonkonalpcicgemnnijjhn [2015-04-25] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Ed2kHelper) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\kmeeplonmihpchdbfccgmjhcnpecbppk [2015-05-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Google Кошелек) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-03-14] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Стартовая — Яндекс) - C:\Users\xlist\AppData\Local\Google\Chrome\User Data\DFLTUSER\Extensions\pjfkgjlnocfakoheoapicnknoglipapd [2016-04-20]
OPR Extension: (SocialLife for Google Chrome™) - C:\Users\xlist\AppData\Roaming\Opera Software\Opera Stable\Extensions\djnfikhimijfcoaoblganhllmdjejggi [2014-12-07]
S2 b73de5e7; "C:\Windows\system32\rundll32.exe" "c:\Program Files (x86)\IncludeModule\IncludeModule.dll",serv
2014-10-12 00:22 - 2014-12-07 01:22 - 0000000 _____ () C:\Users\xlist\AppData\Roaming\smw_inst
2014-09-10 11:42 - 2014-09-10 11:42 - 0000044 _____ () C:\Users\xlist\AppData\Roaming\WB.CFG
Task: {02BA5192-1414-4A99-8115-19A85F32C553} - \extsetup -> No File <==== ATTENTION
Task: {40D9772F-B566-4FC0-9ABB-CB939193D010} - \InstallShield Update Service -> No File <==== ATTENTION
Task: {CEB2055B-85BB-4239-B16C-6E26E43E3B02} - \kbrowser-updater-utility -> No File <==== ATTENTION
Task: {D5AD9779-545D-41C7-8B02-4C1FD8EADA41} - \Safebrowser -> No File <==== ATTENTION
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Владислав Эпштейн
      Помощь в расшифровке файлов
      Автор Владислав Эпштейн
      Доброго дня, обнаружен троян шифровальщик, расширения файлов - xxpfz2h
      Текст вымогателей найден отдельно, сам шифровальщик был удалён KVRT 
      Имеются только названия угроз: Trojan-Ransom.Win32.Mimic.av     -    HEUR:Backdoor.MSIL.Crysan.gen
      Просканировать систему не представляется возможным через программу которая приложена в правилах.
      Сканирование через KVRT осуществлял из под безопасного режима без сетевых драйверов и заражённый диск подключался через отдельный HDD хаб.
      Образцы зашифрованных файлов имеются, как и текстовый документ вымогателей
      Посоветуйте пожалуйста о дальнейших действиях
    • VNDR
      Вымогальщик. Нужна помощь с расшифровкой.
      Автор VNDR
      Ребята, здравствуйте. Нужна помощь, бухгалтер скачала файл, после этого весь сервер зашифровался. Как расшифровать? На пк база 1с.
      Файлы прикладываю.
      Просим помощи!
      HowToRestoreFiles.txt Новая папка (4).rar
    • Warrr
      Помощь с расшифровкой Mimic
      Автор Warrr
      Прошу помощи с расшифровкой вируса Mimic. В поддержку уже обращался, сказали, не помогут. Есть много пар зашифрованных/оригинальных файлов. Может можно что-то придумать…
       
      спасибо 
    • Helsing13
      Прошу помощи с расшифровкой Trojan.Encoder.31074
      Автор Helsing13
      Добрый день! В результате атаки была зашифрована система. Все файлы стали с расширением lpdVIpAg7.
      После перезагрузки система работает но не все программы запускаются.
      Во вложении: письмо требование, пример зашифрованных файлов, отчеты о работе FRST, и несколько подозрительных исполняемых файлов.
       
      Пароль на оба архива: 1234
       
      virus.zip lpdVIpAg7.README.txt Addition.txt FRST.txt files.zip
    • Tappa
      Петя расшифровка
      Автор Tappa
      Помогите расшифровать ключ 

×
×
  • Создать...