Перейти к содержанию

Зашифрованы файлы no_more_ransom

Ildarkozyrev
 Поделиться

Рекомендуемые сообщения

Ildarkozyrev Новичок

Ildarkozyrev

Опубликовано
Опубликовано (изменено)

Вaшu фaйлы были зашифровaны.

Чтoбы pасшuфpоваmь их, Вам необходuмо отправить kод:
6F2082CB24EAEA2F8501|0
нa элeкmронный адреc yvonne.vancese1982@gmail.com 
 

Addition.txt

FRST.txt

README1.txt

CollectionLog-2017.01.26-11.32.zip

Изменено пользователем Ildarkozyrev
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\l5f9\AppData\Local\Temp\nvgames\runme.exe', '');
 QuarantineFile('C:\ProgramData\services\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\ProgramData\services\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\nvgames','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Session Manager','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на комментарий
Поделиться на другие сайты
Ildarkozyrev Новичок

Ildarkozyrev

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Windows\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Drivers\csrss.exe', '');
 QuarantineFile('C:\ProgramData\Csrss\csrss.exe', '');
 QuarantineFile('C:\Users\l5f9\AppData\Local\Temp\nvgames\runme.exe', '');
 QuarantineFile('C:\ProgramData\services\csrss.exe', '');
 DeleteFile('C:\ProgramData\Windows\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Drivers\csrss.exe', '32');
 DeleteFile('C:\ProgramData\Csrss\csrss.exe', '32');
 DeleteFile('C:\ProgramData\services\csrss.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CSRSS','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NetworkSubsystem','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\nvgames','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Session Manager','command');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

 

KLAN-5707918097

Антивирус Касперского проверил файлы.

 

В файлах найдены вредоносные программы

csrss.exe - Trojan-Ransom.Win32.Shade.lnm

csrss_0.exe - Trojan-Ransom.Win32.Agent.ivm

csrss_1.exe - Trojan.Win32.Agent.nevnwq

csrss_2.exe - Trojan-Ransom.Win32.Agent.ivl

 

Вредоносные программы не найдены в файлах:

runme.exe

 

Мы исследуем эти файлы. Если результат исследования будет отличаться, мы сообщим вам по электронной почте в течение пяти дней.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Ildarkozyrev Новичок

Ildarkozyrev

Опубликовано
  • Автор
Опубликовано

  •  

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Addition.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
2017-01-26 10:22 - 2017-01-26 13:08 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-26 10:22 - 2017-01-26 13:08 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-26 10:22 - 2017-01-26 13:07 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-26 10:22 - 2017-01-26 13:07 - 00000000 __SHD C:\ProgramData\services
2017-01-26 10:22 - 2017-01-26 10:22 - 04410054 _____ C:\Users\l5f9\AppData\Roaming\EE0BB500EE0BB500.bmp
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README9.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README8.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README7.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README6.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README5.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README4.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README3.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README2.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README10.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README1.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README9.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README8.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README7.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README6.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README5.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README4.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README3.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README2.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README10.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README1.txt
2017-01-26 09:42 - 2017-01-26 13:08 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-26 09:42 - 2017-01-26 13:08 - 00000000 __SHD C:\ProgramData\Windows
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README9.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README8.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README7.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README6.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README5.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README4.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README3.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README2.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README10.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README1.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 1497600 _____ () C:\Users\l5f9\AppData\Local\Temp\3204804E.exe
2017-01-26 10:22 - 2017-01-26 10:22 - 0887296 _____ (Microsoft Corporation) C:\Users\l5f9\AppData\Local\Temp\922A6678.exe
2017-01-26 10:22 - 2017-01-26 10:22 - 1032704 _____ (Microsoft Corporation) C:\Users\l5f9\AppData\Local\Temp\979C541B.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Ildarkozyrev Новичок

Ildarkozyrev

Опубликовано
  • Автор
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
2017-01-26 10:22 - 2017-01-26 13:08 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-01-26 10:22 - 2017-01-26 13:08 - 00000000 __SHD C:\ProgramData\Csrss
2017-01-26 10:22 - 2017-01-26 13:07 - 00000000 __SHD C:\Users\Все пользователи\services
2017-01-26 10:22 - 2017-01-26 13:07 - 00000000 __SHD C:\ProgramData\services
2017-01-26 10:22 - 2017-01-26 10:22 - 04410054 _____ C:\Users\l5f9\AppData\Roaming\EE0BB500EE0BB500.bmp
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README9.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README8.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README7.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README6.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README5.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README4.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README3.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README2.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README10.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\Public\Desktop\README1.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README9.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README8.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README7.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README6.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README5.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README4.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README3.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README2.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README10.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 00004170 _____ C:\Users\l5f9\Desktop\README1.txt
2017-01-26 09:42 - 2017-01-26 13:08 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-01-26 09:42 - 2017-01-26 13:08 - 00000000 __SHD C:\ProgramData\Windows
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README9.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README8.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README7.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README6.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README5.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README4.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README3.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README2.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README10.txt
2017-01-26 09:42 - 2017-01-26 09:42 - 00004170 _____ C:\README1.txt
2017-01-26 10:22 - 2017-01-26 10:22 - 1497600 _____ () C:\Users\l5f9\AppData\Local\Temp\3204804E.exe
2017-01-26 10:22 - 2017-01-26 10:22 - 0887296 _____ (Microsoft Corporation) C:\Users\l5f9\AppData\Local\Temp\922A6678.exe
2017-01-26 10:22 - 2017-01-26 10:22 - 1032704 _____ (Microsoft Corporation) C:\Users\l5f9\AppData\Local\Temp\979C541B.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
Ildarkozyrev Новичок

Ildarkozyrev

Опубликовано
  • Автор
Опубликовано

Вымогатель и его следы очищены. С расшифровкой помочь не сможем.

частично восстановил с помощью одной программы (нашел бесплатную в интернете), по крайней мере фотографии, спасибо

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Смените важные пароли. Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • Mep3aBEz
      Зашифровались файлы
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
    • robocop1974
      Зашифрованные файлы
      Автор robocop1974
      Добрый день. Если есть возможность выяснить есть ли дешифратор?
      Система была переустановлена (но имеется клон, для анализа смогу без проблем предоставить логи Farbar Recovery Scan Tool, но к сожалению позже).
      В архиве несколько зашифрованных файлов.
      *.txt, *.html файлов для выкупа не было. Но была папка с названием "DontDeleteThisFolder" в ней лежал файл "enc". Файл так же в архиве.
       
      Пробовал некоторые дешифраторы с сайта Касперского и Крипто-шерифа, но к сожалению безуспешно.
       
      Заранее спасибо за уделенное время!
       
      files.zip
    • MidgardS1
      Зашифрованы файлы
      Автор MidgardS1
      Привет! Столкнулись с таким же шифровальщиком. Подскажите, есть возможность расшифровать данные?
       
      Сообщение от модератора Mark D. Pearlstone Перенесено из темы.
    • zsvnet
      файлы зашифрованы вирусом
      Автор zsvnet
      obrazec.zipAddition.txtShortcut.txtFRST.txtДобрый день! Зашифровали файлы.
      Скорее всего проникли через RDP. Исходный ПК неработоспособен. Диск подключен к другому ПК и на нем запускали FRST.
×
×
  • Создать...