Перейти к содержанию

Шифровальщик


Рекомендуемые сообщения

Здравствуйте! У меня аналогичная ситуация как у всех шифровальщик.

Пришло письмо от "сбербанка" открыли. Данные диска D все зашифрованы.

10 писем на рабочем столе прочитай:

 

Ваши фaйлы были зашuфрoваны.

Чmобы paсшuфровать иx, Baм необxoдимо omпpавиmь koд:
3F6740EB510951CFF0E8|0
на элekmpoнный aдpeс Novikov.Vavila@gmail.com .
Далеe вы пoлучuте вcе нeoбхoдuмыe uнсmpуkцuu.
Поnытkи раcшuфрoвaть самоcmоятeльно нe прuведym ни к чему, кpоме безвoзвратной noтepи инфоpмaцuи.
Еcлu вы вcё же хoтuтe nonыmamьcя, тo npeдвариmeльно cдeлайтe peзeрвныe кoпиu файлов, инaче в случae
uх uзмeнeния раcшuфрoвkа стaнет невозможной нu при kаkux ycловияx.
Еслu вы не пoлучuлu оmвеmа no вышeyказаннoму адpеcy в тeчeние 48 часов (u mолькo в этом случaе!),
вocnoльзуйmecь фoрмой oбратной связи. Эmo мoжно сделamь двумя сnocoбами:
1) Сkачaйme u устaнoвиme Tor Browser по сcылkе: https://www.torproject.org/download/download-easy.html.en
В aдpеснoй cmрокe Tor Browser-a введитe aдрeс:
u нaжмume Enter. 3аrpyзumся cтpaнuца с фoрмoй обрaтнoй связи.
2) B любoм бpayзepе пеpeйдuтe nо oднoму из адpесов:
 
 
All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
3F6740EB510951CFF0E8|0
to e-mail address Novikov.Vavila@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
Install it and type the following address into the address bar:
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:

 Логи прикрепила.

CollectionLog-2017.04.19-11.28.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\windows\TEMP\{7F552349-B52E-48A7-B991-EB1FD14BA8DA}.exe', '');
 QuarantineFile('C:\windows\TEMP\{3410E677-777A-4098-8613-5BEF1B09B504}.exe', '');
 QuarantineFile('C:\Program Files (x86)\SavePass 1.1-codedownloader.exe', '');
 DeleteFile('C:\windows\Tasks\AVG-Secure-Search-Update_JUNE2013_HP_rmv.job', '64');
 DeleteFile('C:\windows\Tasks\AVG-Secure-Search-Update_JUNE2013_TB_rmv.job', '64');
 DeleteFile('C:\windows\Tasks\fc8c8697-be89-4d7a-bdba-3dbfbc36316a-1.job', '64');
 ExecuteFile('schtasks.exe', '/delete /TN "AVG-Secure-Search-Update_JUNE2013_HP_rmv" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "AVG-Secure-Search-Update_JUNE2013_TB_rmv" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "fc8c8697-be89-4d7a-bdba-3dbfbc36316a-1" /F', 0, 15000, true);
 DeleteFile('C:\windows\TEMP\{7F552349-B52E-48A7-B991-EB1FD14BA8DA}.exe', '32');
 DeleteFile('C:\windows\TEMP\{3410E677-777A-4098-8613-5BEF1B09B504}.exe', '32');
 DeleteFile('C:\Program Files (x86)\SavePass 1.1-codedownloader.exe', '32');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-1406633058-1477771666-2811294732-1000\Software\Microsoft\Windows\CurrentVersion\Run','AVG-Secure-Search-Update_JUNE2013_TB');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-1406633058-1477771666-2811294732-1000\Software\Microsoft\Windows\CurrentVersion\Run','AVG-Secure-Search-Update_JUNE2013_HP');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты

Re: quarantine.zip [KLAN-6125668038]
newvirus@kaspersky.com
Кому: Елена Цимбаленко
 
сегодня, 13:16
 
 
 
 
Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com http://www.viruslist.com"

--------------------------------------------------------------------------------
From: Елена Цимбаленко
Sent: 4/19/2017 1:13:00 PM
To: newvirus@kaspersky.com
Subject: quarantine.zip
 

отчет

AdwCleanerS0.txt

Ссылка на комментарий
Поделиться на другие сайты

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
CHR HomePage: Default -> hxxp://www.mystartsearch.com/?type=hppp&ts=1421593799&from=amt&uid=WDCXWD3200BPVT-80JJ5T0_WD-WXM1EC1FAWAWFAWAW
CHR StartupUrls: Default -> "hxxp://www.mystartsearch.com/?type=hppp&ts=1421593799&from=amt&uid=WDCXWD3200BPVT-80JJ5T0_WD-WXM1EC1FAWAWFAWAW","hxxp://mail.ru/cnt/10445?gp=821626"
CHR Extension: (电脑管家上网防护) - C:\Users\ASus\AppData\Local\Google\Chrome\User Data\Default\Extensions\ooebklgpfnbcnpokahmdidgbmlcdepkm [2017-04-19]
OPR Extension: (Антимат) - C:\Users\ASus\AppData\Roaming\Opera Software\Opera Stable\Extensions\dojgfgknadakhfnaogaipdbdamepeffe [2017-04-19]
2017-04-18 20:06 - 2017-04-18 20:46 - 00000000 __SHD C:\Users\Все пользователи\services
2017-04-18 20:06 - 2017-04-18 20:46 - 00000000 __SHD C:\ProgramData\services
2017-04-18 20:06 - 2017-04-18 20:39 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-04-18 20:06 - 2017-04-18 20:39 - 00000000 __SHD C:\ProgramData\Csrss
2017-04-18 19:59 - 2017-04-18 19:59 - 03148854 _____ C:\Users\ASus\AppData\Roaming\98D18B7098D18B70.bmp
2017-04-18 18:50 - 2017-04-18 20:41 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-04-18 18:50 - 2017-04-18 20:41 - 00000000 __SHD C:\ProgramData\Windows
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

FRST_move.png

При сохранении выберите кодировку Юникод!

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Рекламное ПО и следы вымогателя очищены. С расшифровкой, к сожалению, помочь не сможем.

 

В завершение:

1.

  • Пожалуйста, запустите adwcleaner.exe
  • В меню File (Файл) - выберите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты

Спасибо, а как же быть с файлами это фотографии в целом, так что  их все просто удалить без надежды на расшифровку?

SecurityCheck.txt

Ссылка на комментарий
Поделиться на другие сайты

Отложите до лучших времен. Не исключено, что в обозримом будущем и появится инструмент.

 

--------------------------- [ OtherUtilities ] ----------------------------

WinRAR 4.0.0 (64-разрядная) v.4.0.0 Внимание! Скачать обновления

--------------------------------- [ IM ] ----------------------------------

Skype™ 7.34 v.7.34.103 Внимание! Скачать обновления

^Необязательное обновление.^

-------------------------------- [ Java ] ---------------------------------

Java 8 Update 25 v.8.0.250 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u121-windows-i586.exe)^

------------------------------- [ Browser ] -------------------------------

Opera 12.17 v.12.17.1863 Внимание! Скачать обновления

Opera Stable 35.0.2066.92 v.35.0.2066.92 Внимание! Скачать обновления

^Проверьте обновления через меню О программе!^

----------------------------- [ EmailClient ] -----------------------------

Windows Live Mail v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

Почта Windows Live v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

---------------------------- [ UnwantedApps ] -----------------------------

VKMusic 4 v.4.58 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

Skype Click to Call v.8.5.0.9167 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

 

 

Прочтите и выполните Рекомендации после удаления вредоносного ПО

Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Александр94
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • WhySpice
      От WhySpice
      Утром снесло домашний сервер с открытым вне RDP. Зашифровало абсолютно все, все мои рабочие проекты, python скрипты, виртуалки vmware/virtualbox

      Зашифрованный файл: https://cloud.mail.ru/public/qDiR/yEN8ogSZJ
      Addition_06-01-2025 15.06.34.txt FRST_06-01-2025 15.01.14.txt
      README.txt
    • sater123
      От sater123
      Добрый день. Зашифровались файлы размером более 8 мегабайт (их почта datastore@cyberfear.com). Помогите пожалуйста.
      Зашифрованные файлы не могу прикрепить, так как их размер более 5Мб.
      FRST.txt Addition.txt
    • BOBO
      От BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • FineGad
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
×
×
  • Создать...