ransom.shade Шифровальщик no_more_ransom

[alexnv1976]

Зашифровались все документы и базы 1С

 

Помогите пожайлуйста расшифровать

Файл АВЗ прилагаю

CollectionLog-2016.12.13-15.19.zip

[SQ]

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~2\Mozilla\sawelca.dll','');
 QuarantineFile('C:\Windows\system32\drivers\jrnccalw.sys','');
 DeleteFile('C:\PROGRA~2\Mozilla\sawelca.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Подготовьте лог AdwCleaner и приложите его в теме.

[alexnv1976]

Зашифрованные документы после выполнения скриптов не удалятся?

[SQ]

Зашифрованные документы после выполнения скриптов не удалятся?

Персональные данные скрипт AVZ не затрагивает, поэтому не должны ничего кроме вредоносного ПО удалиться.

[alexnv1976]

Не получается отправить файл Quarantin, возвращается письмо с указанием, что письмо без вложенных файлов. Что возможно почтовый сервер его удалил с подозрением на вирус.

Пароль поставил, все-равно та же история. В Облаке майла я его вижу и ссылка есть

Вот ссылка:

https://cloud.mail.ru/public/Dmea/ZagyRCc81

 

Что делать дальше? Подскажите.

[SQ]

Пожалуйста, не прикладываете ссылки и карантин (даже пустые) к сообщениям, только отправляйте на адрес newvirus@kaspersky.com, результат прикрепляте к следующему сообщению.

- Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
  

 

[alexnv1976]

Я вам пишу что видимо сам почтовик касперского удаляет файл карантина. Как его отправить не знаю, может кто столкнулся с той же проблемой. Подскажите.

Отправляю файлы отчетов Фарбара (только зачем они нужны?)

 

 

Addition.txt

FRST.txt

[SQ]

Подскажите.Отправляю файлы отчетов Фарбара (только зачем они нужны?)

Для зачистки, того чтобы другие антивирусные утилиты не видят.

 

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  HKU\S-1-5-21-961471569-1968420889-2979697651-1001\...\Winlogon: [Shell] C:\Windows\Explorer.exe [2972672 2016-08-29] (Microsoft Corporation) <==== ATTENTION
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]
  FF Plugin HKU\S-1-5-21-961471569-1968420889-2979697651-1001: ksks.com/XCrypt -> C:\Users\пользователь\Desktop\XCrypt\npXCrypt.dll [No File]
  CHR Plugin: (Shockwave Flash) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\PepperFlash\pepflashplayer.dll => No File
  CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32_11_7_700_224.dll => No File
  CHR Plugin: (Native Client) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\ppGoogleNaClPluginChrome.dll => No File
  CHR Plugin: (Chrome PDF Viewer) - C:\Program Files\Google\Chrome\Application\43.0.2357.130\pdf.dll => No File
  CHR Plugin: (Download Master integration plugin) - C:\Users\пользователь\AppData\Local\Google\Chrome\User Data\Default\Extensions\ehfanjejklfmnldbbclpocdbceaeemkn\1.2_0\npDownloadMasterPlugin.dll => No File
  CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Acrobat 7.0\Reader\Browser\nppdf32.dll => No File
  CHR Plugin: (Google Update) - C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll => No File
  CHR Plugin: (XCrypt) - C:\Program Files\Keysystems\XCrypt 1.0.6.25\npXCrypt.dll => No File
  File: C:\Windows\system32\drivers\jrnccalw.sys
  Folder: C:\Users\пользователь\AppData\Roaming\gnupg
  2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\Users\Все пользователи\services
  2016-12-12 13:17 - 2016-12-12 13:29 - 00000000 __SHD C:\ProgramData\services
  2016-12-12 13:15 - 2016-12-12 13:15 - 04320054 _____ C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README9.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README8.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README7.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README6.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README5.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README4.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README3.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README2.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README10.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 00004170 _____ C:\Users\пользователь\Рабочий стол\README1.txt
  2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\Users\Все пользователи\Windows
  2016-12-12 10:21 - 2016-12-12 14:25 - 00000000 __SHD C:\ProgramData\Windows
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README9.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README8.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README7.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README6.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README5.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README4.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README3.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README2.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README10.txt
  2016-12-12 10:21 - 2016-12-12 10:21 - 00004170 _____ C:\README1.txt
  2016-12-12 13:15 - 2016-12-12 13:15 - 4320054 _____ () C:\Users\пользователь\AppData\Roaming\2EFC83752EFC8375.bmp
  File: C:\ProgramData\cf
  Task: {AD3CCD89-1849-45A5-86AD-C5EEE1A0928F} - \rypelck -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [129]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [129]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[alexnv1976]

А как бы восстановить базы и файлы, если (к большому сожалению ) нет сохраненных копий? Даже R-Studio и RS-Рикавери не помогли

[SQ]

Уточните пожалуйста если выполняли фикс?

Пробуйте создать запрос:https://forum.kasperskyclub.ru/index.php?showtopic=48525

P.S. Не удаляйте каталог C:\FRST пока не решите вопрос с расшифровкой.

[alexnv1976]

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

 

Вот Фикслог:

Fixlog_15-12-2016 15.42.48.txt

Изменено 15 декабря, 2016 пользователем alexnv1976

[SQ]

Там упоминался XCrypt, это программа (или библиотека) для подписи электронных документов. Придется переустановить ее.

Согласно логу, обращение плагина идет на несуществующую библиотеку, обратите внимание на "No File"

FF Plugin HKU\.DEFAULT: keysystems.ru/XCrypt -> C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll [No File]

Также фикс это показал:

 

C:\Program Files\Keysystems\XCrypt 1.0.5\npXCrypt.dll => not found.