xorist зашифровались данные

[sc-expert]

Добрый день, на почту  пришло сообщение, и кто-то из пользователей решил поделится вложением со всеми через расшаренную папку на сервере, как итог все файлы зашифрованы. Есть текстовый документ следующего содержания
"Внимание!

Все Ваши файлы зашифрованы!

Для расшифровки файлов, Вам необходимо написать на email: yesdec@ya.ru

В письме необходимо указать ваш id (id09042)

Стоимость расшифровки 14500 руб., данная цена актуальна в течении 24ч. Далее будет больше!

 

 

Заранее спасибо!

CollectionLog-2017.03.09-09.53.zip

[SQ]

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
  

 

[sc-expert]

файлы сканирования ниже

Addition.txt

FRST.txt

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  Startup: C:\Users\Alexey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2017-03-09] ()
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Windows\Tasks\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Public\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Public\Downloads\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Public\Documents\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\Downloads\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\Documents\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\AppData\Roaming\Microsoft\Windows\Start Menu\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  2017-03-09 05:08 - 2017-03-09 05:08 - 00000248 _____ C:\Users\Alexey\AppData\Local\Temp\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt
  Folder: C:\Users\Alexey\AppData\Roaming\myinstall
  Folder: C:\Users\Все пользователи\Service
  Folder: C:\ProgramData\Service

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

 

P.S. приложите несколько зашифрованных файлов (2-3 файла).

[sc-expert]

логи

Fixlog.txt

[SQ]

Знакомы ли Вам следующие каталоги?
 

C:\Users\Alexey\AppData\Roaming\myinstall
C:\Users\Все пользователи\Service
C:\ProgramData\Service

Пришлите образцы зашифрованных файлов  doc или docx

[sc-expert]

каталоги знакомы.
Есть еще вопрос, на сервере стоит endpoint security который собственно и пропустил шифровальщик, как это могло произойти?

112.rar

[thyrex]

Запустил подбор ключа. Ожидайте

[sc-expert]

можно уточнить как долго происходит подбор?

[thyrex]

К сведению

Помощь оказывается добровольно в свободное от основных занятий время

Все уже подобралось. Ответ дам после возвращения домой.

[thyrex]

Проверьте ЛС

[sc-expert]

Спасибо большое, все данные восстановились