Перейти к содержанию

Шифровальщик NO_MORE_RANSOM [Shade Ransomware]

crow1234
 Поделиться

Рекомендуемые сообщения

crow1234

crow1234

Опубликовано
Опубликовано (изменено)

Добрый день! При связи по удалёнке со СБИС схватили шифровальщик no_more_ransom. В итоге все по стандарту: все файлы в виде "saarwh39rjdxiu3jk.NO_MORE_RANSOM".

Сможете ли чем либо помочь? Заранее спасибо!

Отчёт  Автологгера, AdwCleaner и FRST прилагаю.

AdwCleanerS0.txt

CollectionLog-2016.12.01-09.30.zip

FRST.txt

Shortcut.txt

Addition.txt

Изменено пользователем crow1234
mike 1

mike 1

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

crow1234

crow1234

Опубликовано
  • Автор
Опубликовано (изменено)

Отчёт.

 

И насчёт расшифровки файлов - есть какая-нибудь возможность их расшифровать?

AdwCleanerC0.txt

Изменено пользователем crow1234
mike 1

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
mike 1

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR Extension: (Экономия трафика) - C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\pfmgfdlgomnbgkofeojodiodmgpgmkac [2016-05-05]
2016-11-30 11:28 - 2016-11-30 11:28 - 03888054 _____ C:\Users\Admin\AppData\Roaming\4619530146195301.bmp
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README9.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README8.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README7.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README6.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README5.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README4.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README3.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README2.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README10.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README1.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README9.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README8.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README7.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README6.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README5.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README4.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README3.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README2.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README10.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-11-30 11:28 - 2016-11-30 11:28 - 00000000 __SHD C:\ProgramData\System32
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README9.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README8.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README7.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README6.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README5.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README4.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README3.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README2.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README10.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README1.txt
Folder: C:\Users\Admin\Downloads\Uvedomlenie11272016
2016-09-07 11:24 - 2016-12-01 08:53 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-07 11:24 - 2016-12-01 08:53 - 00000000 __SHD C:\ProgramData\Windows
2016-11-30 11:28 - 2016-11-30 11:28 - 3888054 _____ () C:\Users\Admin\AppData\Roaming\4619530146195301.bmp
2016-12-01 08:48 - 2016-12-01 08:49 - 0006144 ___SH () C:\Users\Admin\AppData\Roaming\Thumbs.db
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  • Согласен 1
crow1234

crow1234

Опубликовано
  • Автор
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR Extension: (Экономия трафика) - C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\pfmgfdlgomnbgkofeojodiodmgpgmkac [2016-05-05]
2016-11-30 11:28 - 2016-11-30 11:28 - 03888054 _____ C:\Users\Admin\AppData\Roaming\4619530146195301.bmp
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README9.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README8.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README7.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README6.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README5.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README4.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README3.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README2.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README10.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Public\Desktop\README1.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README9.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README8.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README7.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README6.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README5.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README4.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README3.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README2.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00004186 _____ C:\Users\Admin\Desktop\README10.txt
2016-11-30 11:28 - 2016-11-30 11:28 - 00000000 __SHD C:\Users\Все пользователи\System32
2016-11-30 11:28 - 2016-11-30 11:28 - 00000000 __SHD C:\ProgramData\System32
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README9.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README8.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README7.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README6.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README5.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README4.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README3.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README2.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README10.txt
2016-11-30 09:42 - 2016-11-30 09:42 - 00004186 _____ C:\README1.txt
Folder: C:\Users\Admin\Downloads\Uvedomlenie11272016
2016-09-07 11:24 - 2016-12-01 08:53 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-09-07 11:24 - 2016-12-01 08:53 - 00000000 __SHD C:\ProgramData\Windows
2016-11-30 11:28 - 2016-11-30 11:28 - 3888054 _____ () C:\Users\Admin\AppData\Roaming\4619530146195301.bmp
2016-12-01 08:48 - 2016-12-01 08:49 - 0006144 ___SH () C:\Users\Admin\AppData\Roaming\Thumbs.db
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Архива на рабочем столе не создался.

Fixlog.txt

mike 1

mike 1

Опубликовано
Опубликовано

AV: ESET NOD32 Antivirus 8.0 (Disabled - Out of date) {19259FAE-8396-A113-46DB-15B0E7DFA289}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку своего вендора.
crow1234

crow1234

Опубликовано
  • Автор
Опубликовано

 

AV: ESET NOD32 Antivirus 8.0 (Disabled - Out of date) {19259FAE-8396-A113-46DB-15B0E7DFA289}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку своего вендора.

 

Эмм, прошу прощения, получается увели все пароли, сохраненные на данном пк?

И не совсем понял "За расшифровкой обращайтесь в техподдержку своего вендора." Не могли бы чуть подробнее? Заранее спасибо!

mike 1

mike 1

Опубликовано
Опубликовано

Эмм, прошу прощения, получается увели все пароли, сохраненные на данном пк?

А что им помешало это сделать? Ничего. Поэтому меняйте. 

И не совсем понял "За расшифровкой обращайтесь в техподдержку своего вендора." Не могли бы чуть подробнее? Заранее спасибо!

В техподдержку Eset Antivirus обращайтесь. Вы же все таки их антивирус используете.
crow1234

crow1234

Опубликовано
  • Автор
Опубликовано

 

Эмм, прошу прощения, получается увели все пароли, сохраненные на данном пк?

А что им помешало это сделать? Ничего. Поэтому меняйте.

И не совсем понял "За расшифровкой обращайтесь в техподдержку своего вендора." Не могли бы чуть подробнее? Заранее спасибо!

В техподдержку Eset Antivirus обращайтесь. Вы же все таки их антивирус используете.
Огромное спасибо за помощь!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • AlexeySam
      Шифровальщик, предположительно RCRU64 Ransomware
      Автор AlexeySam
      Добрый день!
      Сервер заражен шифровальщиком. Судя по именам файлов это какая то разновидность RCRU64 Ransomware. 
      Dr.Web CureIt определил его как Trojan.Encoder.43907 (Xinfecter.exe)
      При сканировании системы были найдены файлы (см скриншот)
      FRST.txtAddition.txtзашифрованные файлы и записка.zip
    • Rival
      Шифровальщик LockBit Black Ransomware
      Автор Rival
      Добрый день! Просим Вашей помощи в возможности расшифровки файлов. FRST запускался к сожалению уже после проверки системой через KVRT - тот нашёл и вычистил потенциального зловреда (во вложении).
      FRST.txt unity.zip Addition.txt
      decrypted_files.zip
    • Warlocktv
      Ransomware Phobos
      Автор Warlocktv
      Добрый день,
      Через RDP словили шифровальщик Phobos (на основании ID Ransomware https://id-ransomware.malwarehunterteam.com/identify.php?case=52c4281ece07330467137e30a150ae4130e52132).
      Отчеты Recorded Future Triangle https://tria.ge/241216-tdxdrsvpek и Joe Sand Cloud https://www.joesandbox.com/analysis/1576226/1/executive.
      Зараженные системы удалены. Остались зараженные файлы которые требуется дешифровать. Необходима помощь. В архиве два зараженных файла и сообщения от шифровальщиков.Encrypted.zip
    • Carbamazepine
      enkacrypt Mimic/Pay2Key Ransomware
      Автор Carbamazepine
      Всем привет, постигла участь один из компьютеров подхватить enkacrypt. 
      Имеет смысл попытаться спасти систему? Установлен kaspersky premium.
      Пароль на архив virus - там ransom-нота и 2 примера зашифрованных файлов. 
       
      Addition.txt FRST.txt example.zip
    • LamerMan
      Помощь с расшифровкой Elbie Ransomware
      Автор LamerMan
      Здравствуйте, 04.10.2022 на комп попал вирус-шифровальщик Elbie Ransomware, все файлы стали с расширением .lnk.id[E2638681-3398].[helprequest@techmail.info].Elbie
      Обратились в компанию по расшифровке, сказали цену 250 тыс. рублей. Сотрудник подключился удаленно и просканировал систему, оставив за собой софт(приложу во вложения)
      На момент заражения был открыт порт 3389 и настроено рдп с несложными паролями, на компе стоял Kaspersky Free (AVP21.3), есть предположение, что злоумышленник ботнетом пинговал айпишники с к классическими портами, затем забрутфорсил пароль
      Программа сотрудника аутсорс компании сканирует файлы, а затем выдает какой-то код, я так и не разобрался что с ним делать, он сказал что этим кодом пишется дешифратор. Так же там есть .exe программа, в которой ей кнопка decrypt, но она требует какой-то ключ, надеюсь, найдется человек, который сможет с этим разобраться
      Elbie Decrypt.zip
×
×
  • Создать...