Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Bашu фaйлы были зaшuфpoваны.
Чmoбы pacшифровamь ux, Вам неoбxодuмо отпpавumь koд:
EDA7E4ACDB96C5E0F7C7|0
нa элeктpонный адрес Novikov.Vavila@gmail.com .
Далее вы пoлучите все необxoдимые uнcmpykцuu.

..

http://cryptsen7fo43rr6.onion/
u нажмите Enter. Заrрyзится стpаницa c фopмoй обpаmной cвязu.
2) B любoм бpaузеpe пeрeйдите no oднoму uз адреcoв:
http://cryptsen7fo43rr6.onion.to/
http://cryptsen7fo43rr6.onion.cab/

 

касперский стал выключен (или дети как-то его отрубили)

 

Споймал 3 на карантин

25.02.2017 22:34:56    На карантине    неизвестный объект: 110 PDM:Trojan.Win32.Bazon.a    c:\programdata\windows\csrss.exe    Средняя    
 

 

3 шт в резервном

25.02.2017 22:43:14    Удалено    троянская программа Trojan-Ransom.Win32.Shade.lpe    C:\Users\ahmed\AppData\Local\Temp\rad662A5.tmp    Высокая    
25.02.2017 23:14:13    Удалено    троянская программа Trojan.Win32.Vilsel.cuuj    C:\Documents and Settings\ahmed\Downloads\Revo Uninstaller Pro 3.1.7\RUP_3.1.0_Registrator.exe    Высокая    
 

сейчас идёт полная проверка

Как закончится - пришлю необходимые сканы дополнительно.

Если важно какие именно прилагать, дополните, чем ещё необходимо отсканировать.

Детских фото много на диске D..

Опубликовано

 

 


Полная проверка спотыкалась на сбойных секторах, сейчас идёт восстановление sata с помощью HDD Regenerator.

как вариант - попробуйте remap через Victoria
Опубликовано

Слава безсмертному антивирусу, бэды заремапились HDD reg успешно и полная проверка Касперским наконец-то завершилась!

 

В "порядке" не скачивается файл: http://tools.safezone.cc/drongo/test/AutoLogger-test.zip/из-за последней дроби в адресе (а не из-за недоступности ресурса). Публикующие "порядок", наведите порядок..

 

В посте указаны Два авто-логгера, один из них -тест, от 23. числа, второй от 26 числа. Запустил последний.

 

Благодарю за оказываемую помощь. Файлы пользователя - не Ахмеда (это видимо так установщик системы когда-то назвал пользователя), а многодетной мамы с кучей детских фото.

На рабочем столе, в корнях дисков по 10 README.TXT файлов с вымоганием.

CollectionLog-2017.02.27-06.29.zip

Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKU\S-1-5-21-2923332238-3621335593-2778065552-1000\...\Run: [uBar] => "C:\ProgramData\uBar\uBar\uBar.exe" -autorun
CHR HKU\S-1-5-21-2923332238-3621335593-2778065552-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2923332238-3621335593-2778065552-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2923332238-3621335593-2778065552-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2923332238-3621335593-2778065552-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjcgomkanpkpblokebecknhahgkcmoo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
2017-02-24 18:58 - 2017-02-24 18:58 - 03148854 _____ C:\Users\ahmed\AppData\Roaming\38FF3BAD38FF3BAD.bmp
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README9.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README8.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README7.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README6.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README5.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README4.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README3.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README2.txt
2017-02-24 18:58 - 2017-02-24 18:58 - 00004154 _____ C:\Users\ahmed\Desktop\README10.txt
2017-02-24 16:47 - 2017-02-27 07:37 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-02-24 16:47 - 2017-02-27 07:37 - 00000000 __SHD C:\ProgramData\Windows
2017-02-24 19:01 - 2017-02-24 19:01 - 0887808 _____ () C:\Users\ahmed\AppData\Local\Temp\5454C070.exe
Reboot:
2. Нажмите ФайлСохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файлаВсе файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Опубликовано (изменено)

Благо дарю за помощь.

 

Нашел такую весчь в расшифровшике mcAfee - запрос ключа из файла через shadedecrypt.exe -k AFE6922C6D1AAD22A990.txt -f "OTQvpF2egoNQWEfV0nx2fvJborhsuPYhCMBkr-FySQQ=.xtbl"

-f : --file [File Path] This is the file to decrypt.

-h : --help Print tool instructions to the console.

-k [Key File Path] : --keyfile [Key File Path] Supply the private key file path to decrypt files.

-u [user ID] : --userid [user ID] Supply the User ID to locate a potential decryption key.

 

c:\f>shadedecrypt.exe -f "25vAnbZxJBDSYxLYG-2SnA==.EDA7E4ACDB96C5E0F7C7.no_more_ransom" -u EDA7E4ACDB96C5E0F7C7
Please download the private key from the following link: https://download.mcafee.com/molbin/iss-loc/shadedecrypt/keys/EDA7E4ACDB96C5E0F7C7.txt
 
In most browsers you can use File > Save As, to save the file. Rerun the decryption tool with private key file in the same directory. Example: shadedecrypt.exe -k AFE6922C6D1AAD22A990.txt
 
If you receive the message 'File not Found' then we were unable to located a usable Private key for your files.
 
по запросу выдаёт: File not found."
 
то бишь ключа нет.
 
Так как ключей 2^60 степени, а это 2^10 =1024 6 раз - меж тем миллиард миллиардов, все перебирать можно до глубокой старости..
 
Будь любезны, поясните подробно: (если нужно, пожалуйста, проконсультируйтесь именно по этому вопросу у ваших криптологов)
ключ шифрования 3072 бит?
и вирус после генерации отсылает его куда-то мошейникам?,
и по остатку ключа (60 бит) происходит сверка и потом расшифровка (а если полный ключ как-то недошёл мошейникам, то бесполезно?
или в лаборатории не могут "провернуть фарш назад" и 60 бит по хитрому вирусному алгоритму превратить в 3072 бит и расшифровать?
Можете привести пример кода (user id), ключа к нему и расшифрованного запроса?
 
Интересуюсь с целью: запустить в углу стоящий, пока незагруженный 8-ядерный xeon на перебор вариантов, может случайно попадёт на ключ, будет чудо..
Изменено пользователем illinoi
Опубликовано

Таких нюансов по этому шифратору я не знаю, а аналитики вирлаба такой информацией делиться не будут

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Nikpit
      Автор Nikpit
      Добрый вечер тоже нажал по ссылке, зашифровались файлы на рабочем столе. отчеты в приложении:
       
      есть возможность расшифровать файлы?
       
      спасибо.
       
      readme от вируса
       

      Сообщение от модератора Mark D. Pearlstone Перемещено из темы farbar.zip
      CollectionLog-2017.05.26-18.16.zip
      README1.txt
      README10.txt
    • FahrenheitIndi
      Автор FahrenheitIndi
      Добрый день. Работали с документами *doc и  заметили что документы перестали открываться. А следом на рабочем столе появился файл README с содержанием:
      Содержание файла README:
       
       
      Что пытались сделать:
      Проверили компьютер kaspersky free. он удалил два файла. Посетили сайта https://www.nomoreransom.org/но там получили ответ "Bad News". Есть ли какие-то варианты дешифровать файлы?
       
      CollectionLog-2017.05.24-16.18.zip
    • Iskander88
      Автор Iskander88
      CollectionLog-2017.05.26-15.51.zipДобрый день!
      Прошу оказать помощь.
      Все файлы зашифрованы с расширением .crypted000007.
      Текст с файла readme:
      Baши фaйлы были зaшuфpованы. Чтoбы расшифрoваmь uх, Bам неoбхoдимo отnравиmь код: BBB7E70DC85CAFA11570|0 нa элеkmpoнный aдpec Novikov.Vavila@gmail.com . Дaлeе вы noлучиme вcе нeoбхoдимые инcтpуkцuи. Пoпыmкu pacшuфpоваmь сaмocmояmельно нe nрuведym ни k чeмy, kpоме бeзвoзвpamнoй nоmеpu инфоpмaцuи. Eсли вы вcё жe хотumе nonыmаmься, mо nредвариmeльно сдeлaйmе pезepвные коnии фaйлов, uнaчe в слyчае их измeнeнuя pacшифрoвкa стaнеm нeвoзможной ни npu кaкux уcлoвuяx. Ecли вы нe полyчuли оmвema no вышeyкaзаннoму aдpecу в meчeниe 48 часoв (и тoлько в эmом слyчаe!), вocnoльзуйтeсь фoрмой oбpamной связu. Эmo мoжнo cделaть двyмя cnoсoбамu: 1) Сkaчайтe и ycтaнoвumе Tor Browser no ссылке: https://www.torproject.org/download/download-easy.html.en В адpeснoй cтрoke Tor Browser-а ввeдиme aдрec: http://cryptsen7fo43rr6.onion/ и нaжмиme Enter. Зaгрузитcя сmpaнuцa с фopмой oбраmнoй связu. 2) В любом брayзeре пеpeйдumе пo oднoмy из адресов: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/     All the important files on your computer were encrypted. To decrypt the files you should send the following code: BBB7E70DC85CAFA11570|0 to e-mail address Novikov.Vavila@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data. If you still want to try to decrypt them by yourself please make a backup at first because the decryption will become impossible in case of any changes inside the files. If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!), use the feedback form. You can do it by two ways: 1) Download Tor Browser from here: https://www.torproject.org/download/download-easy.html.en Install it and type the following address into the address bar: http://cryptsen7fo43rr6.onion/ Press Enter and then the page with feedback form will be loaded. 2) Go to the one of the following addresses in any browser: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/  
    • ursa
      Автор ursa
      Помогите вылечить и расшифровать!
      Текст сообщения Давинча:
       
      сделал как вы говорили
      Farbar Recovery Scan Tool:
       
      Результат  прикреплен ниже
      FRST.txt
      Addition.txt
    • Настя2905
      Автор Настя2905
      Добрый день!
      Пришло письмо на эл.почту с вирусом. Зашифровал почти все файлы (ворд, эксель, картинки и т.д.). У файлов расширение .crypted000007.
       

      Baшu файлы былu зашифpованы.
      Чmобы pаcшифpoваmь ux, Baм нeобxодимo omnравuть koд:
      F4CEA35A674D969D1266|0
      на элeктpoнный адрес Novikov.Vavila@gmail.com .
      Дaлее вы пoлучuтe вcе необхoдимые инструкцuи.
      Пonыmки расшuфрoвamь сaмоcmоятeльнo не пpиведyт нu k чему, kрoмe безвозврaтной поmеpи инфopмации.
      Ecлu вы вcё же хomumе nonытатьcя, тo прeдварительно cдeлaйme pезеpвные kоnuи файлов, uначе в случae
      иx uзменeнuя рaсшuфрoвка сmaнеm невозможнoй нu пpu каkиx ycловuяx.
      Если вы не noлучили omвета по вышеyказанному aдреcy в течeниe 48 часов (u moльkо в этом cлyчае!),
      воспользуйmeсь формoй обpaтной связu. Эmo можно cделamь двумя спoсoбамu:
      1) Ckaчaйmе и уcтанoвume Tor Browser no ccылке: https://www.torproject.org/download/download-easy.html.en
      В aдрecной сmрokе Tor Browser-a введume адpeс:
      http://cryptsen7fo43rr6.onion/
      и нaжмuте Enter. Зaгpyзитcя сmpанuца c фopмoй oбpaтной связu.
      2) В любoм бpayзeре пеpeйдите по oднoму из aдресoв:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
      All the important files on your computer were encrypted.
      To decrypt the files you should send the following code:
      F4CEA35A674D969D1266|0
      to e-mail address Novikov.Vavila@gmail.com .
      Then you will receive all necessary instructions.
      All the attempts of decryption by yourself will result only in irrevocable loss of your data.
      If you still want to try to decrypt them by yourself please make a backup at first because
      the decryption will become impossible in case of any changes inside the files.
      If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
      use the feedback form. You can do it by two ways:
      1) Download Tor Browser from here:
      https://www.torproject.org/download/download-easy.html.en
      Install it and type the following address into the address bar:
      http://cryptsen7fo43rr6.onion/
      Press Enter and then the page with feedback form will be loaded.
      2) Go to the one of the following addresses in any browser:
      http://cryptsen7fo43rr6.onion.to/
      http://cryptsen7fo43rr6.onion.cab/
      CollectionLog-2017.05.24-15.30.zip
×
×
  • Создать...