Перейти к содержанию

Рекомендуемые сообщения

Добрый день.

Вчера по эл.почте пришло письмо с архивом:

 

Документы для оплаты август 2016

 

crazyferma <vst35met@mail.ru>

Кому: fotocd

 

 

вчера, 2:34

[удалено]

 

 

 

 

 

Я открыл данное вложение и ....  спустя некоторое время обнаружил, что файлы форматов doc, pdf, xls  на компьютере не открываются, а в браузере появилась страница с названием SPORA RANSOMWARE.

Все документы данных форматов оказались закодированы и мне предлагается восстановить данные файлы, как я полагаю за деньги.

Скрин данной страницы в броузере с сообщением прикладываю.

Помогите расшифровать данные на компьютере - систему на диске С я восстановил из образа - думал, что причина в глюках, но и моя манипуляция не помогла.

--- оказалось , что испорчены файлы форматов doc, pdf, xls на всех жестких дисках (в корне у всех появился файл:  RU693-3EKKE-HTXGH-XTGHE-TXOGT-HEAAF-TORER.html   

Если необходимо, могу приложить документы форматов doc, pdf, xls закодированные вирусом и нормальные версии этих же документов   (они были в архиве и не пострадали от вируса)  .

Ссылка на сообщение
Поделиться на другие сайты

@Mark D. Pearlstone, система была восстановлена и логи бесполезны.

 

@AndreySvetlov, к сожалению, с расшифровкой помочь не смогут даже в вирлабах.

Ссылка на сообщение
Поделиться на другие сайты

все выполнил, файл CollectionLog-2017.02.16-19.50.zip  готов - как его прикрепить - не вижу?


все выполнил, файл CollectionLog-2017.02.16-19.50.zip  готов - как его прикрепить - не вижу?


Может можно как-то выделить код из файлов:

имеются документы форматов doc, pdf, xls закодированные вирусом и нормальные версии этих же документов   (они были в архиве и не пострадали от вируса) 


Kaspersky XoristDecryptor

вроде предлагает подобный алгоритм лечения, только у меня он запускается под XP


точнее, не запускается под XP

Ссылка на сообщение
Поделиться на другие сайты

Если система была восстановлена, то в логах нет необходимости. Прикрепить их можно через кнопку Расширенная форма.

 

 

 


Может можно как-то выделить код из файлов
если бы все было так просто, расшифровка давно была бы.
Ссылка на сообщение
Поделиться на другие сайты

Или я могу снова запустить этот вредоносный файл - может он снова повторит все записи в системе???


Или я могу снова запустить этот вредоносный файл - может он снова повторит все записи в системе???


и тогда заново соберу логи

Ссылка на сообщение
Поделиться на другие сайты

или он перекодирует уже закодированные файлы?


или он перекодирует уже закодированные файлы?


или он перекодирует уже закодированные файлы?


или он перекодирует уже закодированные файлы?


т.е. ситуация безвыходная?

Ссылка на сообщение
Поделиться на другие сайты

Подскажите, а если попробовать след.вариант:

 

я переношу все зашифрованные вирусом файлы на флешку, оставляю на компе только нормальные файлы и запускаю заново эту вредоносную программу. Потом собираю логи и пересылаю Вам, удаляю вирус, переписываю обратно с флешки на комп.ранее зашифрованные файлы и все их вмести лечим?

Ссылка на сообщение
Поделиться на другие сайты

Ничем не поможет расшифровке. Ключ, с помощью которого зашифрованы файлы, сам зашифрован с помощью алгоритма RSA с длиной ключа 2048 бит. При шифровании RSA используется публичный ключ, а для расшифровки используется приватный ключ, известный только самим злодеям.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Elly
      Друзья!
       
      Фан-клуб «Лаборатории Касперского» продолжает свое развитие. Сегодня мы бы хотели обратить внимание на самое ценное на нашем форуме - на Вас, дорогие пользователи. Чтобы наши новые участники форума стали знакомыми, знакомые — друзьями, а друзья — большой дружной семьёй, предлагаем вам конкурс "зашифрованных никнеймов".

      Правила конкурса
      Каждый участник конкурса может представить на конкурс одну работу, в которой должен быть зашифрован собственный никнейм пользователя и одну дополнительную работу, содержащую зашифрованный никнейм другого участника форума;  Конкурсная работа должна быть выполнена в виде изображения или иного файла, в котором зашифрован никнейм участника форума. В отправляемом сообщении должна указываться методика шифрования, дешифрования и верный ответ на загаданный никнейм; Ответ на вашу работу должен быть однозначным и точно совпадать вплоть до каждого символа с никнеймом загаданного участника; Зашифрованные никнеймы, которые присылаются в качестве дополнительных работ, должны принадлежать участникам форума с группой "Активисты" и выше (группы вы видите под аватаркой) за исключением групп «Забаненные», «Новички», «Участники»;   На конкурс предоставляется работа, созданная участником данного конкурса самостоятельно; Конкурсную работу необходимо отправлять личным сообщением пользователю @oit (пользователя @Elly включать в копию адресатов); Конкурсная работа не должна быть опубликована где-либо ранее, чем на этот конкурс; Конкурсная работа в виде изображения не должна превышать размер 4096 × 3072px.; размер конкурсной работы в ином формате (например, видео) не должен превышать 100 мб. При необходимости допускается загрузка видеофайлов на сторонние хостинги с приведением прямой ссылки на файл в личном сообщении; Участники конкурса не должны открыто публиковать свои работы в течение 3х месяцев с даты окончания данного конкурса и соглашаются на использование их работ по усмотрению администрации фан-клуба в будущем, в т.ч. и в любых викторинах; Любая конкурсная работа не должна нарушать Правила форума.  
      Конкурс проводится до 20:00 28 апреля 2021 года (время московское).
      Принять участие в нем могут все зарегистрированные пользователи форума фан-клуба «Лаборатории Касперского», кроме его организаторов.
      Пример работы представлен ниже. Мы призываем вас проявить творческий подход и не ограничиваться форматом, приведенном в примере.
       

      Награждение и призовой фонд
      Члены жюри из всех представленных конкурсных работ выберут 5 (в случае количества поданных работ более 10) или 3 (в случае количества поданных работ менее 10) самых достойных работ.
       
      Работы будут распределены по следующим призовым местам:
      Приз за 1е место - 1 500 баллов
      Приз за 2е место - 1 200 баллов
      Приз за 3е место - 1 000 баллов
      Приз за 4е место - 700 баллов
      Приз за 5е место - 500 баллов

      Участники конкурса, ни одна из работ которых не попадет в число призовых, в качестве поощрительного приза получат 250 баллов.
       
      Для получения призовых баллов участнику необходимо иметь на форуме не менее 25 сообщений в разделах с включённым счётчиком сообщений на момент завершения проведения конкурса.

      Итоги конкурса будут подведены в течение десяти дней с момента его окончания. Баллы будут начислены в течение двадцати дней с момента опубликования итогов конкурса.
       
      Все вопросы, связанные с корректностью проведения конкурса, необходимо отправлять @Elly (с обязательным включением пользователей @Mrak, @oit в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов конкурса и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.
       
      Вопросы по конкурсу принимаются только через личные сообщения в течение срока проведения конкурса и не позднее трёх дней после завершения приема работ (время московское). Ответы направляются представителем от организаторов конкурса через личные сообщения в рамках созданной переписки.
       
      Администрация, официально уведомив, может в любой момент внести изменения в правила конкурса, перезапустить или вовсе прекратить его проведение, а также отказать участнику в получении приза в случае выявления фактов его недобросовестного участия в нем и/или нарушения правил конкурса. Любые вопросы, связанные с конкурсом, в том числе и по начислению баллов, принимаются в течение 30 дней с момента подведения его итогов.

      Участие в конкурсе означает безоговорочное согласие с настоящими правилами.
       
      Удачи!
       
    • От Miqueza
      Добрый день!
       
      Помогите пожалуйста. Имена файлов сменились на это: "After Effects.lnk.secure[milleni5000@qq.com]".
       
      Как вернуть обратно?

      На диске С появился документ: "RESTORE_FILES_INFO"
       
      Содержит след. инфу:
       
      Your files are secured... Write to this email with your Key Identifier: milleni5000@qq.com Key Identifier: baKZxhmD6A9bkwceMnwlNR6cuu2s7UqBujXwCXquN2cdEePOfuB2XLSoiTAUERYGeibmE6gDlvupzWdOO+dLTMeyyhDh7aTIEZ8Y8/euoXLRzPsyXU7qDoEnXby/ox9swMOKsDvLBU6jhb/SznGtbFpvCaMB3WAcAUUNC92cU2ItFhQwMgdpuMYBJ8LuRSOI+B2Tbm3KJJk9QfQbO+HOxSpFXdnY7jJ6Ufw3oa6vyGjj+aQ9KVBQpJn6fBlgi0ESGcmBvt9TVWQIiqvvB5hDyj3FpwYelvIpO9G2OXPpIHPYAY7MCMyFHKMlXHcIJtr1cVGh42uguKMX5BOpU6mDWDY0F+LorDADi4Sx4V8fAo+fzAbGlxIdWOJDRkKnYr4W/eO+faE2GM0tcIuEJGPl5atMpC3BsDQSj3bNHZKTqr5GaiIZphZfJ2Lv+ovZiYzkx8N1eTK897U+WH2Xbqxwu55MvnOJTunJcgL9uBa8pP/9+lC27LBZlv+xcS9hEIVcgmS7BLpC76wG+9EDqa+RV3DTykS6x65SINAX3Xto1rLPJeZUSFmOxbUtrcsik+UBA7Pn3UfG+mWAakF9h00Wz+/mz4B0xIIbYz6ANc8vql6laAaZLwAhQIQNwrnZkB0hEvmSYhSydWSuGrwo1Ag48FZLZPndYFWDcKQi0U0PJ30= Number of files that were processed is: 276600  
      Проверил AVZ:
       
      Протокол утилиты AVZ версии 5.50 Сканирование запущено в 17.03.2021 10:00:13 Загружена база: сигнатуры - 297569, нейропрофили - 2, микропрограммы лечения - 56, база от 05.03.2021 04:00 Загружены микропрограммы эвристики: 404 Загружены микропрограммы ИПУ: 10 Загружены цифровые подписи системных файлов: 1195561 Режим эвристического анализатора: Средний уровень эвристики Режим лечения: выключено Версия Windows: 10.0.19042, "Windows 10 Pro" (Windows 10 Pro) x64, дата инсталляции 15.11.2020 23:35:37 ; AVZ работает с правами администратора (+) Восстановление системы: включено 1. Поиск RootKit и программ, перехватывающих функции API 1.1 Поиск перехватчиков API, работающих в UserMode Анализ kernel32.dll, таблица экспорта найдена в секции .rdata Анализ ntdll.dll, таблица экспорта найдена в секции .text Анализ user32.dll, таблица экспорта найдена в секции .text Анализ advapi32.dll, таблица экспорта найдена в секции .text Анализ ws2_32.dll, таблица экспорта найдена в секции .text Анализ wininet.dll, таблица экспорта найдена в секции .text Анализ rasapi32.dll, таблица экспорта найдена в секции .text Анализ urlmon.dll, таблица экспорта найдена в секции .text Анализ netapi32.dll, таблица экспорта найдена в секции .text 1.4 Поиск маскировки процессов и драйверов Проверка не производится, так как не установлен драйвер мониторинга AVZPM 2. Проверка памяти Количество найденных процессов: 188 Количество загруженных модулей: 360 Проверка памяти завершена 3. Сканирование дисков Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\06ae21f6-6c91-479e-a6b5-1df8ab21d7f2.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\0889ba8a-1464-4db7-b1c8-51a1e6610981.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\19fed871-304c-4240-8236-db6ca170f75f.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\1a15d823-bef1-4e01-bf6b-3bbe016bce40.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\2f88d172-2a53-486f-985d-1c97a2c85445.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\2f90f84c-9fc5-47bd-a650-4e393cb36cc0.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\3c570bc6-e843-4dbb-8efc-4960ed125890.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\6ace7528-baf3-4c12-8eb5-59759d9db1c4.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\7a055c71-3994-4f67-94b9-b5caa43c6134.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\7f30e013-be7f-445a-a7c3-1240b3d64058.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\902eabf4-be69-412f-acfe-2f45ac43d9d4.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\90bf3e25-e7d0-41f2-96eb-37b7d640a183.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\a6c8469c-438d-4f69-94f5-5d4c10cf3d11.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\c1b6144e-36b1-438a-91ad-be50ede7f614.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\d0ce9301-561c-41f2-b86f-03314595abe2.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\db02bd7a-8d71-4d18-9065-d3b2a69074cc.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\db89599f-ec38-4afa-9c14-7c83eaf9d4cf.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\e1034dcd-951f-4501-9d5a-ef873306bdbe.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\e296bd3f-94dd-4963-8551-ca00e92c6a30.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\f9b5e172-855d-4ec1-ae1f-98a630b89652.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\fa019844-6bde-43ff-bc8f-be33e6ed6464.tmp Прямое чтение C:\Users\DANIIL\AppData\Local\Temp\fcc1bbd4-db74-4ed0-afec-b2e3792e5c34.tmp 4. Проверка Winsock Layered Service Provider (SPI/LSP) Настройки LSP проверены. Ошибок не обнаружено 5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL) 6. Поиск открытых портов TCP/UDP, используемых вредоносными программами Проверка отключена пользователем 7. Эвристичеcкая проверка системы >>> C:\Windows\aact_tools\aact.exe ЭПС: подозрение на Файл с подозрительным именем (CH) Проверка завершена 8. Поиск потенциальных уязвимостей >> Безопасность: разрешен автозапуск программ с CDROM >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) >> Безопасность: к ПК разрешен доступ анонимного пользователя >>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные >>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса >>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX >>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX >>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса >> Безопасность: Разрешены терминальные подключения к данному ПК >> Безопасность: Разрешена отправка приглашений удаленному помощнику >> Проводник - включить отображение расширений для файлов известных системе типов Проверка завершена 9. Мастер поиска и устранения проблем >> Разрешен автозапуск с HDD >> Разрешен автозапуск с сетевых дисков >> Разрешен автозапуск со сменных носителей Проверка завершена Просканировано файлов: 104321, извлечено из архивов: 4283, найдено вредоносных программ 0, подозрений - 0 Сканирование завершено в 17.03.2021 10:03:50 Сканирование длилось 00:03:38  
      До этого правда удалось cureit запустить, вот что он почистил: https://yadi.sk/i/Nvv8_HKkCFw-VQ (скриншот)
       
      Купил Касперский, он не запускает установщик.
       
      Прочитал и дополнительно высылаю еще файлы FRST: 
      Addition.txt FRST.txt Shortcut.txt
    • От Константин_Д
      Всем привет!

      Прошу помощи в решении головоломки - не могу понять в чем дело.

      Залез в архив файлов, которые не открывал много лет, и не могу открыть многие из них.
      Файлы разных типов: *.doc, *.xls, *.jpg, *.zip, *.txt и др. - все они не распознаются по формату соответствующими приложениями.
      Начал сравнивать их с другими, работающими файлами и заметил что у битых совершенно другое содержимое - и заголовок и тело совсем другие, не похожие на рабочие, но похожие на другие битые.

      Во вложение добавил несколько битых файлов трех групп, по общности заголовков файлов и один рабочий для сравнения.

      Пока у меня только одна догадка - файлы зашифрованы шифровальщиком. Но тогда как понять каким и как расшифровать?
       
      Примеры.zip
    • От cyberkolbasa
      У меня тоже самое происходит.
      Сообщение от модератора kmscom сообщение перенесено из темы HEUR:Trojan.Multi.Preqw.gen  
    • От cuprumgold
      Эта программа HEUR:Trojan.Multi.Preqw.gen ровно раз в минуту даёт уведомления через KIS "Обнаружен вредоносный объект" и "Загрузка остановлена".
      Лог прилагаю.
      Пыталась параллельно полечить Cureit и Adwcleaner - не помогло.
      CollectionLog-2020.12.24-14.25.zip
×
×
  • Создать...