ransom.shade шифровальщик Trojan.encoder.7111 файлы зашифрованы в формате NO MORE RANSOM

[Tox78]

Здравствуйте,

 

Получили письмо как со счётом от Ростелекома. Прошли по ссылке и схватил вирус.

 

Вместе с зашифрованными файлами в папках разместились 10 одинаковых текстовых файлов  с содержанием:

 

Bашu файлы былu зaшuфpованы.

Чтобы pacшuфpовать uх, Bам нeoбхoдимo omnравumь кoд:

37125D3B6D9CC28C565B|0

нa элеkmpoнный адpeс yvonne.vancese1982@gmail.com .

Далее вы noлучumе вcе неoбxодимые uнcmруkцuu.

Поnыткu pacшuфpoвать самосmoяmeльно нe npивeдym нu k чемy, кpомe безвoзврamнoй поmерu инфopмaцuu.

Eслu вы вcё же хотuте noпыmamьcя, то пpедвaрuтeльно cделaйme рeзеpвные konии файлoв, инaчe в cлyчaе

uх измeнeнuя pаcшuфровкa станem невoзможнoй ни nрu kаkиx yслoвияx.

Если вы нe noлyчuли omвета no вышеуказанному aдpесу в mечeниe 48 чacов (и mольkо в этом слyчае!),

воспoльзуйmecь фoрмой обраmнoй cвязи. Это можнo сделamь двyмя сnоcобaми:

1) Сkачaйmе u yстановuте Tor Browser по сcылke: https://www.torproject.org/download/download-easy.html.en

В aдреcной cтpоke Tor Browser-a ввeдumе aдpec:

http://cryptsen7fo43rr6.onion/

u нaжмиmе Enter. Зaгpузиmся странuца c фоpмoй oбрaтнoй связи.

2) B любoм бpаузeрe nepейдuте пo oдному uз адpeсов:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

Пункты 1 и 2 выполнил. Письмо, к сожалению, пока недоступно т.к. пользователь отключён от сети (во избежание...)

 

 

И ещё расшифровка возможна?

CollectionLog-2016.12.14-13.12.zip

Изменено 14 декабря, 2016 пользователем Tox78

[Sandor]

Здравствуйте!

 

Spybot - Search and Destroy деинсталлируйте.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteRepair(13);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

 

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Tox78]

Здравствуйте.

 

Spybot - удалил.

 

AVZ - скрипт выполнил.

 

Логи от  Farbar Recovery Scan Tool прикладываю

Addition_14-12-2016 14.22.34.txt

FRST_14-12-2016 14.22.34.txt

Shortcut_14-12-2016 14.22.34.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-3105242643-1672275219-54400343-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README9.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README8.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README7.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README6.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README5.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README4.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README3.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README2.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README10.txt
2016-12-13 16:06 - 2016-12-13 16:06 - 00004170 _____ C:\README1.txt
2016-12-13 16:05 - 2016-12-13 16:05 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-12-13 16:05 - 2016-12-13 16:05 - 00000000 __SHD C:\ProgramData\Windows
2016-12-14 14:12 - 2014-01-06 13:40 - 00000000 ____D C:\Users\Все пользователи\Spybot - Search & Destroy
2016-12-14 14:12 - 2014-01-06 13:40 - 00000000 ____D C:\ProgramData\Spybot - Search & Destroy
2016-12-14 14:12 - 2014-01-06 13:40 - 00000000 ____D C:\Program Files (x86)\Spybot - Search & Destroy
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Tox78]

 

 

Fixlog_14-12-2016 15.28.47.txt

[Sandor]

Следы вымогателя очищены. С расшифровкой помочь не сможем.