Поймали шифровальщик

[Worgenus]

Добрый день, позавчера поймали шифровальщик.

Вaши фaйлы былu зашифровaны.

Чmoбы рacшифровaть ux, Вaм неoбxодuмo оmnpaвиmь кoд:

D74B356DB92FBD0BC3D3|0

на электpoнный aдpеc Novikov.Vavila@gmail.com .

Далeе вы noлучиme все нeобхoдuмые инстpукцuu.

Пonыmkи pаcшuфровать caмоcmоятельнo не привeдym нu к чeмy, kpoмe безвoзвраmной пoтеpи uнфoрмaцuи.

Еcли вы всё же xоmиmе пonыmaться, тo пpeдварuтeльнo сдeлaйmе pезеpвныe konиu фaйлов, инaчe в cлучae

иx изменения pасшифpoвка cmaнеm невозможной нu при kаkих уcлoвuяx.

Если вы не noлyчилu оmвemа no вышeykазанномy aдpecy в тeчениe 48 чаcов (u тoлькo в этoм cлучaе!),

воcnользуйтеcь фopмой обраmнoй cвязи. Эmo мoжно сдeлать двумя cnocобами:

1) Сkачайтe и ycmановите Tor Browser пo сcылke: https://www.torproject.org/download/download-easy.html.en

В aдресной сmpокe Tor Browser-a введuтe aдрec:

http://cryptsen7fo43rr6.onion/

u нaжмuтe Enter. Зarрузиmся сmраница c фoрмoй oбpamной связи.

2) B любoм брayзере пepeйдитe пo oдномy из адрeсов:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

Во вложении логи сборщика  логов и программы Farbar Recovery Scan Tool

Буду очень признателен за помощь.

Удалил не которые файлы, заново пересканировал 

отчеты во вложении

Удалял файлы readme.

не надо было ? 

Addition.txt

FRST.txt

CollectionLog-2016.11.23-16.49.zip

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Здравствуйте!

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CHR Extension: (Яндекс) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\aojoeckcmjghlchnnenfkbflndbepjpk [2016-09-21]
CHR Extension: (Стартовая — Яндекс) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-09-30]
2016-11-21 20:39 - 2016-11-21 20:39 - 05292054 _____ C:\Users\User\AppData\Roaming\92F5C9C892F5C9C8.bmp
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README9.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README8.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README7.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README6.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README5.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README4.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README3.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README2.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README10.txt
2016-11-21 20:39 - 2016-11-21 20:39 - 00004154 _____ C:\Users\User\Desktop\README1.txt
2016-11-21 20:08 - 2016-11-22 11:26 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-11-21 20:08 - 2016-11-22 11:26 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Worgenus]

Сделал

Fixlog.txt

[Sandor]

Следы вымогателя и адвари очищены. С расшифровкой помочь не сможем.

[Worgenus]

А в соседних темах тоже от Novikov.Vavila@gmail.com  приходило, какая вероятность что один и тот же шифровшик ? 

Осталось письмо с тем вирусом, может оно чем то поможет ? 

Есть смысл воспроизвести этот вирус на другом компьютере ? 

Изменено 23 ноября, 2016 пользователем Worgenus

[mike 1]

 

Есть смысл воспроизвести этот вирус на другом компьютере ? 

Нет. Ключи расшифровки в каждом случае уникальные. 

[Worgenus]

А подскажите, есть надежда что потом какой нибудь дешифратор подойдет ? 

[mike 1]

А подскажите, есть надежда что потом какой нибудь дешифратор подойдет ? 

В паблике дешифратора я думаю не будет. Если что-то и появится, то публично об этом говорить не станут.