Шифровальщик no_more_ransom

[pgm]

Здравствуйте.

23.12.2016 поймали на шифровальщик, который зашифровал все фото, документы и др., расширение no_more_ransom.

В почту пришло письмо якобы от банка и т.д. с .js файлом.

Архив с письмом проверен Касперским. Файл был извлечен из архива и опять проверен касперским и был запущен 22.12.2016.

23.12.2016  все файлы были зашифрованы прежде чем Касперский обнаружил заражение.

 

Ключ Касперского 4EC8AA55.key

 

Что делать?

Содержание файла README1.txt

 

Baши фaйлы были зaшифровaны.

Чmoбы рacшифрoвamь ux, Вам необxoдuмо отпpaвumь кoд:

5CDAE1B63491DA3A3BF1|759|6|40

на элekтpoнный адpeс lukyan.sazonov26@gmail.com .

Далеe вы nолучume вcе необxoдuмыe uнстрyкции.

Пoпытku pacшuфpовaть сaмocmoятeльнo нe nрuвeдyт нu k чeму, kрoме бeзвозвpатной поmери uнфоpмацuu.

Если вы всё жe xоmитe nопытamься, mо npeдваpumельнo cдeлaйте резеpвныe кonuи фaйлов, uнaче в cлyчаe

иx изменeнuя рaсшuфровкa сmанem невoзможнoй ни nрu kaкux yсловияx.

Ecли вы не nолyчили отвеma no вышеyказанномy адpeсу в теченue 48 часов (и moлько в этoм cлyчаe!),

вocnoльзуйmeсь фоpмой обратной связu. Эmо можнo сделать двумя споcобами:

1) Скaчaйтe и устанoвuте Tor Browser пo ссылke: https://www.torproje...ad-easy.html.en

В адpеснoй cтpokе Tor Browser-a ввeдuте адрес:

http://cryptsen7fo43rr6.onion/

u нaжмumе Enter. 3arрузитcя cтрaнuца с фopмoй обpamнoй связu.

2) В любoм бpаyзерe пеpейдume nо однoму uз aдpесoв:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[pgm]

Файл протоколов.

CollectionLog-2016.12.27-09.05.zip

[Sandor]

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Search App by Ask

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[pgm]

 

Прикрепленные файлы

Addition.txt

FRST.txt

Shortcut.txt

Изменено 28 декабря, 2016 пользователем pgm

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKLM\...\Run: [Schedule] => "C:\ProgramData\Schedule\timetasks.exe"
GroupPolicy\User: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-299502267-764733703-839522115-1003\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://www.search.ask.com/?tpid=ORJ-SPE&o=APN11406&pf=V7&trgb=IE&p2=%5EBBE%5EOSJ000%5EYY%5ERU&gct=hp&apn_ptnrs=BBE&apn_dtid=%5EOSJ000%5EYY%5ERU&apn_dbr=ie&apn_uid=299568C5-B710-46AA-A260-7825E94FCB6D&itbv=12.23.0.15&doi=2015-01-23&psv=&pt=tb
2016-12-23 09:51 - 2016-12-23 09:51 - 03686454 _____ C:\Documents and Settings\Ponomarev\Application Data\3188E2D23188E2D2.bmp
2016-12-23 09:51 - 2016-12-23 09:51 - 00004190 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2016-12-23 07:59 - 2016-12-23 10:01 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README9.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README8.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README7.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README6.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README5.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README4.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README3.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README2.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README10.txt
2016-12-23 07:58 - 2016-12-23 07:58 - 00004190 _____ C:\README1.txt
2016-12-22 16:39 - 2016-12-26 16:07 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[pgm]

Сделал.

Fixlog.txt

[Sandor]

Антивирус Касперского 6.0 для Windows Workstations - устаревшая версия и больше не поддерживается. Обновите до KES10.

 

Создайте запрос на расшифровку.

[pgm]

Не могу создать запрос на расшифровку, нужен код активации, а все файлы зашифрованы.

 

Сообщение от модератора Mark D. Pearlstone

Данные пользователя удалены.

[Sandor]

Спросите здесь как правильно поступить.