xorist шифровальщик sunliga

[dmoska]

шифровальщик sunliga

помогите получить доступ к данным

в папках с зашифрованными данными лежит txt файлик.

OS не важна нужны данные.

Спасибо.

 

CollectionLog-2016.12.29-16.25.zip

Изменено 29 декабря, 2016 пользователем dmoska

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[dmoska]

примеры зашифрованных файлов

sunliga files encripted.rar

[Mark D. Pearlstone]

@dmoska, выполните правила по ссылке из второго сообщения темы.

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Windows\Temp\ntshrui.dll', '');
 QuarantineFile('C:\Windows\Fonts\Fonts\csrss.exe', '');
 QuarantineFile('C:\Users\ADMINI~1.SBC\AppData\Local\Temp\3\WinRar\Windate.exe', '');
 QuarantineFile('C:\Users\ADMINI~1.SBC\AppData\Local\Temp\4\7IZPqBg5Oq1lYM4.exe', '');
 DeleteFile('C:\Windows\Temp\ntshrui.dll', '32');
 DeleteFile('C:\Windows\Fonts\Fonts\csrss.exe', '32');
 DeleteFile('C:\Users\ADMINI~1.SBC\AppData\Local\Temp\3\WinRar\Windate.exe', '32');
 DeleteFile('C:\Users\ADMINI~1.SBC\AppData\Local\Temp\4\7IZPqBg5Oq1lYM4.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\FastUserSwitchingCompatibility\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Alcmeter','command');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Поищите, пожалуйста, пару: зашифрованный/не зашифрованный (может остался на флэшке или на другом ПК).

[dmoska]

KLAN-5587969809

Вредоносные программы не найдены в файлах:
csrss.exe

Мы исследуем эти файлы. Если результат исследования будет отличаться, мы сообщим вам по электронной почте в течение пяти дней.

Farbar Recovery Scan Tool
LOG

Shortcut.txt

FRST.txt

Addition.txt

[Sandor]

Поищите, пожалуйста, пару: зашифрованный/не зашифрованный

Не нашли?

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\Users\Administrator.SBCHRSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.VBS - Shortcut.lnk.sunliga [2016-12-17]
Startup: C:\Users\Administrator.SBCHRSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\Users\All Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\Users\griffin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\Users\Guest1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
Startup: C:\Users\UserGuest\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] ()
GroupPolicy: Restriction <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Перезагрузите компьютер вручную.

Подробнее читайте в этом руководстве.

[dmoska]

 

Fixlog

Fixlog.txt

[Sandor]

На вопрос принципиально не отвечаете?

Или не можете найти?

[dmoska]

парных нет все doc xls jpg pdf txt зашифрованны

можно взять дефолтные windows txt файлы и те что мои зашифрованны?

[Sandor]

Попробуйте, но нужны размером более 8 килобайт.

[dmoska]

нашел на удивление пару с этого компа

1c.75_77.rar

0000.zip

1c.75_77.rar

[Sandor]

Проверьте личные сообщения.

[dmoska]

всем спасибо за помощь

отдельное спасибо thyrex за утилиту дешифровки.

[Sandor]

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.