Перейти к содержанию

Шифровальщик no_more_ransom


Рекомендуемые сообщения

Здравствуйте.

23.12.2016 поймали на шифровальщик, который зашифровал все фото, документы и др., расширение no_more_ransom.

В почту пришло письмо якобы от банка и т.д. с .js файлом.

Архив с письмом проверен Касперским. Файл был извлечен из архива и опять проверен касперским и был запущен 22.12.2016.

23.12.2016  все файлы были зашифрованы прежде чем Касперский обнаружил заражение.

 

Ключ Касперского 4EC8AA55.key

 

Что делать?

Содержание файла README1.txt

 

Baши фaйлы были зaшифровaны.

Чmoбы рacшифрoвamь ux, Вам необxoдuмо отпpaвumь кoд:

5CDAE1B63491DA3A3BF1|759|6|40

на элekтpoнный адpeс lukyan.sazonov26@gmail.com .

Далеe вы nолучume вcе необxoдuмыe uнстрyкции.

Пoпытku pacшuфpовaть сaмocmoятeльнo нe nрuвeдyт нu k чeму, kрoме бeзвозвpатной поmери uнфоpмацuu.

Если вы всё жe xоmитe nопытamься, mо npeдваpumельнo cдeлaйте резеpвныe кonuи фaйлов, uнaче в cлyчаe

иx изменeнuя рaсшuфровкa сmанem невoзможнoй ни nрu kaкux yсловияx.

Ecли вы не nолyчили отвеma no вышеyказанномy адpeсу в теченue 48 часов (и moлько в этoм cлyчаe!),

вocnoльзуйmeсь фоpмой обратной связu. Эmо можнo сделать двумя споcобами:

1) Скaчaйтe и устанoвuте Tor Browser пo ссылke: https://www.torproje...ad-easy.html.en

В адpеснoй cтpokе Tor Browser-a ввeдuте адрес:


u нaжмumе Enter. 3arрузитcя cтрaнuца с фopмoй обpamнoй связu.

2) В любoм бpаyзерe пеpейдume nо однoму uз aдpесoв:



 

Ссылка на комментарий
Поделиться на другие сайты

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Search App by Ask

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKLM\...\Run: [Schedule] => "C:\ProgramData\Schedule\timetasks.exe"
GroupPolicy\User: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-299502267-764733703-839522115-1003\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://www.search.ask.com/?tpid=ORJ-SPE&o=APN11406&pf=V7&trgb=IE&p2=%5EBBE%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BBE&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=ie&apn_uid=299568C5-B710-46AA-A260-7825E94FCB6D&itbv=12.23.0.15&doi=2015-01-23&psv=&pt=tb
2016-12-23 09:51 - 2016-12-23 09:51 - 03686454 _____ C:\Documents and Settings\Ponomarev\Application Data\3188E2D23188E2D2.bmp
2016-12-23 09:51 - 2016-12-23 09:51 - 00004190 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-12-23 07:59 - 2016-12-23 10:01 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README9.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README8.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README7.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README6.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README5.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README4.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README3.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README2.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README10.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README1.txt
2016-12-22 16:39 - 2016-12-26 16:07 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Антивирус Касперского 6.0 для Windows Workstations - устаревшая версия и больше не поддерживается. Обновите до KES10.

 

Создайте запрос на расшифровку.

Ссылка на комментарий
Поделиться на другие сайты

Не могу создать запрос на расшифровку, нужен код активации, а все файлы зашифрованы.

 

Сообщение от модератора Mark D. Pearlstone
Данные пользователя удалены.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Александр94
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • BOBO
      От BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • FineGad
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
×
×
  • Создать...