шифровальщик email-200usd@india.com

[Jackie]

Здравствуйте!

Помогите пожалуйста расшифровать файлы! 

Прислали вирус шифровальщик в виде видео-приграшения на свадьбу, открыв псевдо-видео запустил вирус.

Зашифровались абсолютно все фотографии, плоть до системных картинок, текстовые документы, пдф презентации.

Еще повсюду появились текстовые документы с таким содержанием: файлы зашифрованы, для дешифровки

пиши на почту 200usd@india.com

Обнаружив такое, прочистил системный диск и удалил все сомнительные папки и программы.

Могу прикрепить файл нажав на который запустилось шифрование

CollectionLog-2017.02.03-15.05.zip

Изменено 3 февраля, 2017 пользователем Jackie

[mike 1]

 

Прислали вирус шифровальщик в виде видео-приграшения на свадьбу, открыв псевдо-видео запустил вирус.

Ну вот чем думали, когда вложение из письма открывали? Как дети прям, ведутся на всякую ерунду. Вот зачем открывать что-то от неизвестных вам адресатов? Слов порой нет.

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Изменено 3 февраля, 2017 пользователем mike 1

[Jackie]

У меня просто работа связанна с мероприятиями, в том числе со свадьбами. Так как видеоприглашение для меня привычное дело, отрыл без задних мыслей. В следующий раз буду внимательнее, буду бесконечно благодарен если с вашей помощью получится восстановить свадебные работы которые ждут клиенты(((

Addition.txt

FRST.txt

[mike 1]

Следующего раза может и не быть. Бэкапы нужно делать заранее!

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CloseProcesses:
  2017-02-03 08:32 - 2017-02-03 08:32 - 01377224 _____ C:\Users\S\Desktop\СВАДЬБА!!!ПРИГЛАШЕНИЕ В РЕСТОРАН!!!avi.rar
  2017-02-01 11:56 - 2017-02-02 03:55 - 00000095 _____ C:\Program Files (x86)\DC5B-34E9
  2017-02-01 11:55 - 2017-02-01 22:19 - 00000000 ____D C:\install
  2017-02-01 11:55 - 2017-02-01 11:55 - 00154283 ____H C:\Users\S\AppData\Roaming\S-wchelper.dll
  zip:C:\FRST\Quarantine
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Jackie]

Сделал

Fixlog.txt

[mike 1]

Зашифрованный файл в архиве пришлите.
 

 

S (S-1-5-21-2105017889-2962857375-61212732-1000 - Administrator - Enabled) => C:\Users\S

Эту учетную запись сами создавали? 

Изменено 4 февраля, 2017 пользователем mike 1

[Jackie]

Учетную запись с таким названием я не создавал

email-200usd@india.com.ver-CL 1.3.1.0.id-CDEEFGHIIIJJKLLMMMNOPPQRRRSSTUUVVVWX-01.02.2017 11@56@062919976@@@@@DC5B-34E9.randomname-WZZACDEEEFGHIIJKKLMMNOPPQRRSTT.VVV.rar

[mike 1]

Удаляйте ее. Ее вирус создал. Рекомендую сменить все пароли, т.к. с шифровальщиком еще шел в комплекте Backdoor (https://www.virustotal.com/ru/file/54b32c28ebd0f17b45fbac84f56ba1fe8423a125519de8e6ee62d805d6f2021f/analysis/), который открывает удаленный доступ к вашему ПК. По поводу файлов пока до понедельника. 

[Jackie]

Спасибо, буду ждать.

А как удалить? где ее найти?

[mike 1]

Пуск => Панель управления => Администрирование => Управление компьютером => Локальные пользователи и группы => Пользователи

[Jackie]

Спасибо, удалил. 

Жду понедельника)

[mike 1]

Уточнил, с расшифровкой не поможем.

[Jackie]

Очень жаль. А вообще реально восстановить? Может подскажете кто сможет восстановить за деньги? Могу прикрепить сам вирус в архиве, чтоб вы могли его изучить

Изменено 6 февраля, 2017 пользователем Jackie

[mike 1]

Боюсь, что только злодеи, либо их посредники. Если будете обращаться к посредникам, то в любом случае переплатите. 

 

 

 

Могу прикрепить сам вирус в архиве, чтоб вы могли его изучить

Вы его уже отправляли в архиве. 

 

 

 

А вообще реально восстановить?

Без 3 приватных RSA ключей нет. 

[Jackie]

Если честно, мне сейчас совсем без разницы, злодей это будет или добрый человек. Тот кто восстановит мне фото, очень выручит меня! 

В архиве я вам отправлял то, во что превратился JPEG файл. 

Фаил с вирусом прикрепляю в этом сообщении.

Изменено 8 февраля, 2017 пользователем Sandor
Убрал подозрительный файл