Перейти к содержанию

Тоже шифровальщик Новиков

Наталия Журавлева

От Наталия Журавлева
в Помощь в борьбе с шифровальщиками-вымогателями

 Share

Рекомендуемые сообщения

Наталия Журавлева Новичок

Наталия Журавлева

Опубликовано
Опубликовано

Прилетело письмо, антивирус заблокировал, но успел зашифровать все файлы, во время не успели отключить, требование шифровальщика: Чmoбы расшuфpoвamь uх, Вам нeoбxoдuмo oтпрaвuть kод:

E9EC47A312C1B2E79EA0|0
нa элekmрoнный адрeс Novikov.Vavila@gmail.com .
Дaлeе вы nолyчиmе вce нeобxодuмыe uнстpуkцuи.
Пoпытkи paсшuфрoвamь сaмоcmоятельно не npивeдym ни к чeму, крoмe бeзвозвpaтнoй nomерu uнформaции.
Eслu вы всё же xomите nоnытаться, то nредвapиmeльно cдeлайтe pезeрвныe kоnии фaйлов, иначe в слyчаe
иx измeненuя pаcшuфрoвka станет нeвoзможной нu nрu кakиx yсловияx.
Ecлu вы нe полyчили oтвema no вышeyкaзaннoму адpеcy в mечение 48 чаcoв (u толькo в этoм случае!),
воcпользуйтеcь фopмой oбpamнoй связu. Этo мoжнo сделать двумя cпoсoбами:
1) Сkaчайme u ycmанoвиmе Tor Browser пo cсылkе: https://www.torproject.org/download/download-easy.html.en
B aдрecной сmpoкe Tor Browser-а введuте aдреc:
u нажмитe Enter. 3aгpyзиmcя стpaница с фoрмой oбрaтнoй связи.
2) B любом бpаyзepе nерeйдиme no однoму uз адpecов:

http://cryptsen7fo43rr6.onion.cab

 

Нежелательных ПО нет.

CollectionLog-2016.12.12-14.17.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Наталия Журавлева Новичок

Наталия Журавлева

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

 странно 61 угроза найдена, а каспер не нашел....

очистила,перезагрузила, отчет....

AdwCleanerS0.txt

AdwCleanerC0.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Наталия Журавлева Новичок

Наталия Журавлева

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

FRST.txt

Addition.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Наталья\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Desktop Mania.lnk [2016-12-14]
ShortcutTarget: Desktop Mania.lnk -> C:\Program Files\DesktopMania\DesktopMania.exe (Softi©2011)
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
HKU\S-1-5-21-2859815946-2783138981-3046276448-1000\...\Run: [Green Christmas Tree] => C:\Users\Наталья\Downloads\елка.exe [1170432 2015-08-11] ()
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-12]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2016-12-12]
FF Extension: (No Name) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2016-12-09] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-12-12]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Наталья\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-10-03]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Наталья\AppData\Local\Google\Chrome\User Data\Default\Extensions\odijcgafkhpobjlnfdgiacpdenpmbgme [2016-12-12]
OPR Extension: (No Name) - C:\Users\Наталья\AppData\Roaming\Opera Software\Opera Stable\Extensions\noojglkidnpfjbincgijbaiedldjfbhh [2015-09-18]
2016-12-09 13:34 - 2016-12-09 13:34 - 03932214 _____ C:\Users\Наталья\AppData\Roaming\559FE2DE559FE2DE.bmp
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README9.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README8.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README7.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README6.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README5.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README4.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README3.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README2.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README10.txt
2016-12-09 13:17 - 2016-12-09 15:01 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-09 13:17 - 2016-12-09 15:01 - 00000000 __SHD C:\ProgramData\Windows
Task: {CFD8BED2-0F93-4D83-903A-086840A46E45} - System32\Tasks\Kometa up => C:\Users\Наталья\AppData\Local\Kometa\kometaup.exe
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты
Наталия Журавлева Новичок

Наталия Журавлева

Опубликовано
  • Автор
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Наталья\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Desktop Mania.lnk [2016-12-14]
ShortcutTarget: Desktop Mania.lnk -> C:\Program Files\DesktopMania\DesktopMania.exe (Softi©2011)
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
HKU\S-1-5-21-2859815946-2783138981-3046276448-1000\...\Run: [Green Christmas Tree] => C:\Users\Наталья\Downloads\елка.exe [1170432 2015-08-11] ()
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-12]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2016-12-12]
FF Extension: (No Name) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2016-12-09] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Наталья\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-12-12]
CHR Extension: (Стартовая — Яндекс) - C:\Users\Наталья\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-10-03]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Наталья\AppData\Local\Google\Chrome\User Data\Default\Extensions\odijcgafkhpobjlnfdgiacpdenpmbgme [2016-12-12]
OPR Extension: (No Name) - C:\Users\Наталья\AppData\Roaming\Opera Software\Opera Stable\Extensions\noojglkidnpfjbincgijbaiedldjfbhh [2015-09-18]
2016-12-09 13:34 - 2016-12-09 13:34 - 03932214 _____ C:\Users\Наталья\AppData\Roaming\559FE2DE559FE2DE.bmp
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README9.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README8.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README7.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README6.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README5.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README4.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README3.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README2.txt
2016-12-09 13:34 - 2016-12-09 13:34 - 00004154 _____ C:\Users\Наталья\Desktop\README10.txt
2016-12-09 13:17 - 2016-12-09 15:01 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-09 13:17 - 2016-12-09 15:01 - 00000000 __SHD C:\ProgramData\Windows
Task: {CFD8BED2-0F93-4D83-903A-086840A46E45} - System32\Tasks\Kometa up => C:\Users\Наталья\AppData\Local\Kometa\kometaup.exe
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

AV: Avast Antivirus (Disabled - Up to date) {17AD7D40-BA12-9C46-7131-94903A54AD8B}

Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). За расшифровкой обращайтесь в техподдержку вашего антивируса.

Ссылка на комментарий
Поделиться на другие сайты
Наталия Журавлева Новичок

Наталия Журавлева

Опубликовано
  • Автор
Опубликовано

Доброго времени суток, расшифровка не возможна пока, мне сказали увы, главное знать комп чист? Прочла Вашу тему о "тупости" нашей, по раскрытию таких вот шифровальщицких файлов))) За 7 лет пользования интернетом впервые такое, потому как есть сложности в работе предприятия, и есть суды, а тут письмо, досудебное уведомление.... так то... так, что скажу Вам спасибо, что повозились со мной)), но и не судите так всех) Зануда)) :D  Спа си бо!  :)

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

расшифровка не возможна пока, мне сказали увы, главное знать комп чист?

Компьютер чист, но нужно пароли сменить.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • FineGad
      Шифровальщик WantToCry
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      Шифровальщик BlackBit
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • kiso
      Шифровальщик 1C-FILES
      От kiso
      Добрый день, во такого "друга" поймали. Можно что-то предпринять? 
      11.rar FRST_27-12-2024 20.52.38.txt
×
×
  • Создать...