ransom.shade Trojan-Ransom.Win32.Shade.yq и его порождения

[KamradXandro]

Здравствуйте.

 

Компьютер родственницы пострадал от вируса-шифровальщика.

Вашим антивирусом он опознается как Trojan-Ransom.Win32.Shade.yq.

 

Вирус пришел почтой, имеется в архивированном виде сам исполняемый файл вируса, пришедший с электронной почтой.

Имеется также README файл с посланием авторов вируса.

Зараженная ОС - Win7, учетная запись  пользователя обладала правами администратора.

 

Жесткий диск с ноутбука снят и переставлен на "чистый" компьютер в качестве дополнительного.

ShadowExplorer показал, что теневые копии файлов на обоих логических дисках с зараженного ноутбука отсутствуют.

 

Сразу после обнаружения симптоматики вируса компьютер по моей рекомендации был выключен и не включался до замены жесткого диска на новый с чистой ОС.

Пострадали не все файлы - вирус не успел зашифровать все.

 

Восстановление восстановление утилитами типа "Undelete" позволило восстановить часть файлов-оригиналов, удаленных вирусом после шифрования, правда, с утратой оригинального имени.

Но все равно не удалось восстановить большую часть пострадавших рабочих документов.

 

Есть ли возможность получить вашу помощь в расшифровке?

В момент заражения на ПК родственницы стоял другой антивирус.

Сейчас приобретен KIS 2017 - имеется действующая лицензия.

 

FRST скачал и установил - но поскольку зараженный диск подключен как дополнительный - имеет ли смысл снимать логи с его помощью? Он сканирует мою чистую Win10.

Выполнял проверку зараженного диска Kaspersky Virus Removal Tool - это позволило идентифицировать вирус (Trojan-Ransom.Win32.Shade.yq) и сохранить его исполняемый файл.

 

Зашифрованных файлов два вида - одни с нечитаемым именем и расширением "da_vinci_code", другие - сохранили оригинальное имя, к которому добавлено расширение "magic_software_syndicate".

 

Есть ли возможность как-то расшифровать эти файлы?

Готов следовать вашим инструкциям, с учетом ситуации - зараженный диск с Win7 подключен как второстепенный к ПК с Win10.

 

С уважением,

Александр.

[mike 1]

Пишите запрос  https://forum.kasperskyclub.ru/index.php?showtopic=48525 . В техподдержке все скажут.