Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)
Прекращение поддержки email

Прошу помощи с дешифровкой файлов (.no_more_ransom)

Nsol
 Поделиться

Рекомендуемые сообщения

Roman_Five

Roman_Five

Опубликовано
Опубликовано
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
Распакуйте архив с утилитой в отдельную папку.
Перенесите Check_Browsers_LNK.log из папки автологгера на ClearLNK как показано на рисунке
move.gif
Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
Прикрепите этот отчет к своему следующему сообщению.
 
Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\saebqcb.exe','');
 QuarantineFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Kometa\Application\kometa.bat','');
 QuarantineFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.bat','');
 SetServiceStart('bybukyzo', 4);
 DeleteService('bybukyzo');
 QuarantineFile('C:\Program Files\11001300-1437800281-7901-EEA5-001D6080846F\knsx29F.tmp','');
 DeleteFile('C:\Program Files\11001300-1437800281-7901-EEA5-001D6080846F\knsx29F.tmp','32');
 DeleteFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.bat','32');
 DeleteFile('C:\Documents and Settings\Дом\Local Settings\Application Data\Kometa\Application\kometa.bat','32');
 DeleteFile('C:\WINDOWS\Tasks\zvpizui.job','32');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\saebqcb.exe','32');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Online Scanner.
Порядок действий на портале Kaspersky Online Scanner::

1) Нажмите "Выбрать файл" и укажите путь к архиву.
2) После проверки нажмите на "Не согласиться с результатом", выберите "Получить уведомление о доставке файла" и укажите адрес своей электронной почты.
3) Нажмите "Отправить".

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O1 - Hosts: autohuita
O1 - Hosts: 198.23.244.144 ok.ru
O1 - Hosts: 198.23.244.144 ok.ru
O1 - Hosts: 198.23.244.144 m.ok.ru

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe
O4 - HKLM\..\Run: [NetWorx] "C:\Program Files\NetWorx\networx.exe" /auto

O17 - HKLM\System\CCS\Services\Tcpip\..\{36B546A2-3F3F-42A1-B21A-22927C1A99F9}: NameServer = 52.18.92.32,52.17.204.69
O17 - HKLM\System\CCS\Services\Tcpip\..\{4510E231-7D7D-46FB-A8FC-075C6FDA291B}: NameServer = 52.18.92.32,8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{597411D1-F2C0-44E6-9839-3539FE54E407}: NameServer = 52.18.92.32,8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{8837454E-AD95-45FE-B794-84A7353E749C}: NameServer = 213.87.0.1 213.87.1.1
 
Сделайте новые логи по правилам (только пункт 2).

+ логи FRST

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=647696


и приложите пару зашифрованных файлов

Sandor

Sandor

Опубликовано
Опубликовано

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{36B546A2-3F3F-42A1-B21A-22927C1A99F9}: [NameServer] 52.18.92.32,52.17.204.69
Tcpip\..\Interfaces\{4510E231-7D7D-46FB-A8FC-075C6FDA291B}: [NameServer] 52.18.92.32,8.8.8.8
Tcpip\..\Interfaces\{597411D1-F2C0-44E6-9839-3539FE54E407}: [NameServer] 52.18.92.32,8.8.8.8
Tcpip\..\Interfaces\{8837454E-AD95-45FE-B794-84A7353E749C}: [NameServer] 213.87.1.1 213.87.0.1
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
2017-01-31 20:49 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\services
2017-01-31 20:49 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Csrss
2017-01-31 20:48 - 2017-01-31 20:48 - 03888054 _____ C:\Documents and Settings\Дом\Application Data\372D4230372D4230.bmp
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README9.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README8.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README7.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README6.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README5.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README4.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README3.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README2.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README10.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\Дом\Рабочий стол\README1.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2017-01-31 20:48 - 2017-01-31 20:48 - 00004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2017-01-31 18:23 - 2017-01-31 20:49 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README9.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README8.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README7.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README6.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README5.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README4.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README3.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README2.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README10.txt
2017-01-31 18:22 - 2017-01-31 18:22 - 00004178 _____ C:\README1.txt
2017-01-31 18:12 - 2017-02-01 20:58 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
2017-01-31 20:57 - 2017-01-31 20:57 - 1012224 ___SH () C:\Documents and Settings\Дом\Local Settings\Temp\A86B5C6747183B1C9BBB4181C53F302D.dll
HKU\.DEFAULT\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\.DEFAULT\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1003\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1003\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1006\Software\Classes\exefile: "%1" %* <===== ATTENTION
HKU\S-1-5-21-1292428093-926492609-725345543-1006\Software\Classes\.exe: exefile => "%1" %* <===== ATTENTION
CMD: ipconfig /flushdns
CMD: IPCONFIG /release
CMD: IPCONFIG /renew
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Nsol

Nsol

Опубликовано
  • Автор
Опубликовано

Добрый вечер! Выполнил эти действия , файлы README.*  удалились  с рабочего стола.

Fixlog.txt

Nsol

Nsol

Опубликовано
  • Автор
Опубликовано

При наличии лицензии на антивирус Касперского создайте запрос на расшифровку.

Отправлял запрос пару дней назад - получил ответ 

 

"по зашифрованным файлам выполнена проверка. К сожалению, восстановление данных, зашифрованных Trojan-Ransom.Win32.Shade, не представляется возможным, вредоносная программа использует стойкий алгоритм шифрования, а ключ находится у злоумышленников. Вполне возможно, что в будущем ключ дешифровки всё-таки будет найден и нам удастся восстановить зашифрованные данные, поэтому рекомендуем не удалять зашифрованные файлы и через некоторое время снова обратиться к нам, мы повторно попытаемся расшифровать ваши файлы."

 

Отправлю повторный запрос через некоторое время + мониторю сайт https://www.nomoreransom.org/ru/ - возможно появится дешифратор , только вопрос где взять теперь взять файлы README для проверки наличия дешифратора?

Спасибо,

Sandor

Sandor

Опубликовано
Опубликовано

Они находятся в папке C:\FRST\quarantine

 

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Sandor

Sandor

Опубликовано
Опубликовано

--------------------------- [ OtherUtilities ] ----------------------------

TeamViewer 11 v.11.0.66695 Внимание! Скачать обновления

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 ActiveX v.24.0.0.194 Внимание! Скачать обновления

Adobe Flash Player 24 NPAPI v.24.0.0.194 Внимание! Скачать обновления

Adobe Reader 7.0.9 v.7.0.9 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.

------------------------------- [ Browser ] -------------------------------

Opera 12.14 v.12.14.1738 Внимание! Скачать обновления

Opera Stable 30.0.1835.125 v.30.0.1835.125 Внимание! Скачать обновления

^Проверьте обновления через меню О программе!^

Yandex v.17.1.0.2033 Внимание! Скачать обновления

^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

---------------------------- [ UnwantedApps ] -----------------------------

Friendly Error Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

GamesDesktop 033.005010055 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Trojan Killer v.2.2.5.6 Внимание! Подозрение на демо-версию антишпионской программы или программы-оптимизатора - scareware или badware. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

mystartsearch uninstall Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Html5 geolocation provider v.3.6.3.901 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Setup Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Update for Html5 geolocation provider v.3.7.1.909 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Unity Web Player v.5.3.5f1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

 

Программы из секции [ UnwantedApps ] если решите удалять, пробуйте стандартно, через Панель управления - Удаление программ.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Екатерина Лучинина
      Вирус зашифровал все файлы с фото. Расширение поставил breaking_bad
      Автор Екатерина Лучинина
      Пару недель назад, столкнулась с проблемой, ни одну фотографию на компьютере не смогла открыть. Ну думаю, опять вирус подцепила(где и когда, не помню/не знаю), отнесу администратору на работе, должен починить...
      Принесла вчера, а он мне с порога, мол: " --Фигу, что я уже из своих фотографий увижу, если у меня их не было в другом месте." 
      А фотографии я не копировала никуда. В общем после пролитых слез полезла я поискать решение, ну и направило меня сюда.
      Поможите люди добрые, вроде все сделала по инструкции, вот лог.
       

      Ой, задвоилась тема, можно одну удалить?
      CollectionLog-2015.11.10-12.48.zip
      report1.log
      report2.log
    • Alex_hvost
      Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы
      Автор Alex_hvost
      Добрый день! схожая проблема уже озвучивалась на этом форуме, следуя инструкциям создаю новую тему с тем сообщением что пришло мне:
      на рабочем столе появилась надпись красными буквами на черном экране: Внимание! Все важные файлы на всех дисках вашего компьютера были зашифрованы и + на английском. Файлы стали зашифрованы под таким разрешением .xbtl и появилась 6 файлом readme в котором написано:
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: B3DF8C1ACB4CD7FA4CD8|0 на электронный адрес files1147@gmail.com или post100023@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: B3DF8C1ACB4CD7FA4CD8|0 to e-mail address files1147@gmail.com or post100023@gmail.com . Then you will receive all necessary instructions.  
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.   Прошу вас помочь с разрешением этой ситуации Спасибо
    • borka_e
      Вирус зашифровал файлы (xtbl) - есть шансы?
      Автор borka_e
      Знакомый принес ноутбук, говорит не выходит в интернет, на ноутбуке все или большинство файлов зашифрованы - расширение xtbl, есть ли шансы на восстановление? Согласно инструкции на этом сайте почистил систему: Kaspersky Virus Removal Tool 2015 и Dr.Web CureIt!. Сделал лог AutoLogger.exe, файл прилагаю. 
      CollectionLog-2015.10.27-10.40.zip
    • bom81
      Зашифрованы файлы .xtbl Filecoder.ED
      Автор bom81
      Вирус зашифровал файлы
      примерно минут за 12
       
      сам файл, который запустил пользователь, нашел
      051115scan.scr
       
       
       
      Оставлены 10 файликов  на рабочем столе о том как расшифровать
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 339759B8033610BB2417|288|2|7 на электронный адрес files100001@gmail.com или files100002@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 339759B8033610BB2417|288|2|7 to e-mail address files100001@gmail.com or files100002@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.     могу приложить сам вирус и зашифрованные файлы     возможно ли их будет расшифровать? виндовс переставить не долго, а вот расшифровать... CollectionLog-2015.11.08-14.57.zip
    • vsmzadmin
      Зашифрованы данные, расширение *.xtbl
      Автор vsmzadmin
      Пользователь открыл прикрепленный к письму архив с исполняемым файлом. В результате все документы зашифрованы, имена закодированы, расширение XTBL В файле readme.txt сообщение:  
            CollectionLog-2015.11.10-10.51.zip
×
×
  • Создать...