ransom.shade Прошу помощи с дешифровкой файлов (.no_more_ransom)

[Nsol]

Добрый день!

 

Пришло письмо с архивом - открыли - после этого все файлы .no_more_ransom). Возможно ли дешифрировать эти файлы.

Спасибо.

CollectionLog-2017.02.06-20.50.zip

[Roman_Five]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log из папки автологгера на ClearLNK как показано на рисунке

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\saebqcb.exe','');
 QuarantineFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Kometa\Application\kometa.bat','');
 QuarantineFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.bat','');
 SetServiceStart('bybukyzo', 4);
 DeleteService('bybukyzo');
 QuarantineFile('C:\Program Files\11001300-1437800281-7901-EEA5-001D6080846F\knsx29F.tmp','');
 DeleteFile('C:\Program Files\11001300-1437800281-7901-EEA5-001D6080846F\knsx29F.tmp','32');
 DeleteFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Kometa\Application\kometa.bat','32');
 DeleteFile('C:\WINDOWS\Tasks\zvpizui.job','32');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\saebqcb.exe','32');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. 

Для создания архива с карантином выполните скрипт:

 

begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.

 

Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Online Scanner.

Порядок действий на портале Kaspersky Online Scanner::

1) Нажмите "Выбрать файл" и укажите путь к архиву.

2) После проверки нажмите на "Не согласиться с результатом", выберите "Получить уведомление о доставке файла" и укажите адрес своей электронной почты.

3) Нажмите "Отправить".

Полученный через электронную почту ответ сообщите в этой теме.

 

Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O1 - Hosts: autohuita
O1 - Hosts: 198.23.244.144 ok.ru
O1 - Hosts: 198.23.244.144 ok.ru
O1 - Hosts: 198.23.244.144 m.ok.ru

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe
O4 - HKLM\..\Run: [NetWorx] "C:\Program Files\NetWorx\networx.exe" /auto

O17 - HKLM\System\CCS\Services\Tcpip\..\{36B546A2-3F3F-42A1-B21A-22927C1A99F9}: NameServer = 52.18.92.32,52.17.204.69
O17 - HKLM\System\CCS\Services\Tcpip\..\{4510E231-7D7D-46FB-A8FC-075C6FDA291B}: NameServer = 52.18.92.32,8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{597411D1-F2C0-44E6-9839-3539FE54E407}: NameServer = 52.18.92.32,8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{8837454E-AD95-45FE-B794-84A7353E749C}: NameServer = 213.87.0.1 213.87.1.1

 

Сделайте новые логи по правилам (только пункт 2).

+ логи FRST

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=647696

и приложите пару зашифрованных файлов

[Nsol]

Добрый вечер! Выполнил все действия. 2 ЗАШИФРОВАННЫХ ФАЙЛА В АРХИВЕ.

ClearLNK-10.02.2017_22-18.log

CollectionLog-2017.02.10-23.09.zip

FRST.txt

Addition.txt

ЗашифрованныеДваФайлаляПримера.rar

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{36B546A2-3F3F-42A1-B21A-22927C1A99F9}: [NameServer] 52.18.92.32,52.17.204.69
Tcpip\..\Interfaces\{4510E231-7D7D-46FB-A8FC-075C6FDA291B}: [NameServer] 52.18.92.32,8.8.8.8
Tcpip\..\Interfaces\{597411D1-F2C0-44E6-9839-3539FE54E407}: [NameServer] 52.18.92.32,8.8.8.8
Tcpip\..\Interfaces\{8837454E-AD95-45FE-B794-84A7353E749C}: [NameServer] 213.87.1.1 213.87.0.1
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
2017-01-31 20:49 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\services
2017-01-31 20:49 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Csrss
2017-01-31 20:48 - 2017-01-31 20:48 - 03888054 _____ C:\Documents and Settings\Дом\Application Data\372D4230372D4230.bmp
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README9.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README8.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README7.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README6.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README5.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README4.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README3.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README2.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README10.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README1.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-01-31 18:23 - 2017-01-31 20:49 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README9.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README8.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README7.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README6.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README5.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README4.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README3.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README2.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README10.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README1.txt
2017-01-31 18:12 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2017-01-31 20:57 - 2017-01-31 20:57 - 1012224 ___SH () C:\Documents and Settings\Дом\Local Settings\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
HKU\.DEFAULT\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\.DEFAULT\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1003\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1003\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1006\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1006\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
CMD: ipconfig /flushdns
CMD: IPCONFIG /release
CMD: IPCONFIG /renew
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Nsol]

Добрый вечер! Выполнил эти действия , файлы README.*  удалились  с рабочего стола.

Fixlog.txt

[Sandor]

При наличии лицензии на антивирус Касперского создайте запрос на расшифровку.

[Nsol]

При наличии лицензии на антивирус Касперского создайте запрос на расшифровку.

Отправлял запрос пару дней назад - получил ответ 

 

"по зашифрованным файлам выполнена проверка. К сожалению, восстановление данных, зашифрованных Trojan-Ransom.Win32.Shade, не представляется возможным, вредоносная программа использует стойкий алгоритм шифрования, а ключ находится у злоумышленников. Вполне возможно, что в будущем ключ дешифровки всё-таки будет найден и нам удастся восстановить зашифрованные данные, поэтому рекомендуем не удалять зашифрованные файлы и через некоторое время снова обратиться к нам, мы повторно попытаемся расшифровать ваши файлы."

 

Отправлю повторный запрос через некоторое время + мониторю сайт https://www.nomoreransom.org/ru/ - возможно появится дешифратор , только вопрос где взять теперь взять файлы README для проверки наличия дешифратора?

Спасибо,

[Sandor]

Они находятся в папке C:\FRST\quarantine

 

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Nsol]

Выполнил проверку.

SecurityCheck.txt

[Sandor]

--------------------------- [ OtherUtilities ] ----------------------------

TeamViewer 11 v.11.0.66695 Внимание! Скачать обновления

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 ActiveX v.24.0.0.194 Внимание! Скачать обновления

Adobe Flash Player 24 NPAPI v.24.0.0.194 Внимание! Скачать обновления

Adobe Reader 7.0.9 v.7.0.9 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.

------------------------------- [ Browser ] -------------------------------

Opera 12.14 v.12.14.1738 Внимание! Скачать обновления

Opera Stable 30.0.1835.125 v.30.0.1835.125 Внимание! Скачать обновления

^Проверьте обновления через меню О программе!^

Yandex v.17.1.0.2033 Внимание! Скачать обновления

^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

---------------------------- [ UnwantedApps ] -----------------------------

Friendly Error Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

GamesDesktop 033.005010055 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Trojan Killer v.2.2.5.6 Внимание! Подозрение на демо-версию антишпионской программы или программы-оптимизатора - scareware или badware. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

mystartsearch uninstall Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Html5 geolocation provider v.3.6.3.901 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Setup Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Update for Html5 geolocation provider v.3.7.1.909 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Unity Web Player v.5.3.5f1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

 

Программы из секции [ UnwantedApps ] если решите удалять, пробуйте стандартно, через Панель управления - Удаление программ.