Перейти к содержанию

Шифровальщик no more ransom


Рекомендуемые сообщения

Доброго времени суток.

Словили шифровальщика. 

Проверил систему Kaspersky Virus Removal Tool 2015, все что он нашел - удалил. Но при последующей проверке все же находит один вирус windows \ csrss.exe - он не удаляется.

Сейчас делается лог автоматическим сборщиком логов.
Скажите есть какая-то вероятность дешифровки?

Спасибо.

Изменено пользователем Tribian
Ссылка на комментарий
Поделиться на другие сайты

Лог в приложении


У меня нет лицензии, но могу приобрести. Гарантий естественно нет, что после покупки вы сможете расшифровать? Можно уточнить возможность расшифровки до покупки лицензии? Чтобы деньги не тратить если не сможете расшифровать.


Скажите пожалуйста что это за файлы? Они не опасны в дальнейшем? .tyson

CollectionLog-2017.01.22-21.43.zip

tyson.7z

Ссылка на комментарий
Поделиться на другие сайты

Вроде удалил вирус. Сделал еще один лог файл, проверьте пожалуйста что вируса нет.

По поводу расшифровки связался с организацией dr-shifro.ru они говорят 100% расшифровывают. Отпишусь по результатам.

Свежий лог в приложении 

CollectionLog-2017.01.23-14.14.zip

Ссылка на комментарий
Поделиться на другие сайты

В конторе по расшифровке озвучили цену в 58 тр. Утверждают, что удалось расшифровать. Смущает лишь то, что сначала деньги, а через ~2 часа дешефратор - доверия нет. Так что будем своими силами восстанавливать данные, благо базы 1С шифровальщик не смог испортить. 

Хорошая статья жаль только поздно прочитал её - https://forum.kasperskyclub.ru/index.php?app=blog&module=display&section=blog&blogid=320&showentry=2139

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Включите Восстановление системы.

 

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
2017-01-21 20:37 - 2017-01-22 19:14 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-21 20:37 - 2017-01-22 19:14 - 00000000 __SHD C:\ProgramData\services
2017-01-21 20:36 - 2017-01-21 20:36 - 03888054 _____ C:\Users\Тинатин\AppData\Roaming\D7D5398FD7D5398F.bmp
2017-01-21 20:31 - 2017-01-21 20:31 - 06220854 _____ C:\Users\Бухгалтер\AppData\Roaming\2AC700A42AC700A4.bmp
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README9.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README8.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README7.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README6.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README5.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README4.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README3.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README2.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README10.txt
2017-01-21 20:31 - 2017-01-21 20:31 - 00004154 _____ C:\Users\Бухгалтер\Desktop\README1.txt
2017-01-17 19:10 - 2017-01-23 01:24 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-17 19:10 - 2017-01-23 01:24 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Следы вымогателя очищены.

 

Гарантий естественно нет, что после покупки вы сможете расшифровать?

Правильно, гарантии нет.

 

озвучили цену в 58 тр. Утверждают, что удалось расшифровать.

Скорее всего, очередные вымогатели.
Ссылка на комментарий
Поделиться на другие сайты

Следы вымогателя очищены.

 

Гарантий естественно нет, что после покупки вы сможете расшифровать?

Правильно, гарантии нет.

 

озвучили цену в 58 тр. Утверждают, что удалось расшифровать.

Скорее всего, очередные вымогатели.

 

Спасибо!

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Tarhunchik
      Автор Tarhunchik
      Здравствуйте. В процессе работы, через RDP, зависла сессия, после чего сервер был перезагружен. После загрузки получили сообщение, что файлы зашифрованы. Зашифрованными оказались файлы 1С баз, файловые и sql, их копии, 1С обработки, doc, xls и многие другие форматы. Причём, форматы pdf, docx, xlsx, почти не были зашифрованы - как - то, очень, выборочно! Также, были убиты службы sql, сервер 1С и ещё, с дюжину других, отвечающих за теневое копирование, логирование, бэкапы. После этого, система была просканирована, свежими KVRT, Cureit, avz и перезагружена. Затем была выполнена команда sfc /scannow, которая показала, что все файлы, на 100% в порядке.
      Addition.txt FRST.txt Зашифрованные.7z
    • vasia15
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • norma.ekb
      Автор norma.ekb
      Добрый день.
      Открыли архив, полученный по почте и после этого все файлы на ПК  изменились на тип FONL. Прошу помочь с расшифровкой.
      Файл шифровальщик сохранен (из полученного архива). 
      Файлы для примера и сообщение вымогателей .rar FRST.rar
    • Andrew Vi Ch
      Автор Andrew Vi Ch
      Добрый день.
      Поймали указанный шифровальщик, в системных логах были ошибки службы ngrok, перехватили AD, остановили KES, зашифрованы все виртуальные машины (Hyper-V), базы данных... в общем - 99% инфраструктуры. Вычищены теневые копии.
      Приложены архивы: 
      encrypted.zip - 2 зашифрованных файла + текстовик с единственной строкой "message us for decrypt" (расширение зашифрованных файлов .X1g2d2vbb)
      frst.zip - логи FRST
      lock.zip - запароленный в соответствии с инструкцией архив с исполняемым файлом шифровальщика.
      Прошу оказать содействие в расшифровке.
      Спасибо.
    • KOMK
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
×
×
  • Создать...