Шифровальщик Xorist

[Bornmks]

Необходима ваша помощь в расшифровке этого вируса.

Везде лежит тхт

 

Все файлы на вашем ПК зашифрованы!

Для расшифровки файлов, вам необходимо написать на email: boxfu@ya.ru

В письме необходимо указать id вашего ПК: box1736

 

Стоимость расшифровки 12500 руб., спешите скоро цена вырастет!

 

Мне нужно скачать AVZ и выполнить скрипт там? Если потребуется Connection Log, подскажите где его откопать?

[thyrex]

Порядок оформления запроса о помощи

[Bornmks]

Необходима ваша помощь в расшифровке этого вируса.
Везде лежит тхт

Все файлы на вашем ПК зашифрованы!
Для расшифровки файлов, вам необходимо написать на email: boxfu@ya.ru
В письме необходимо указать id вашего ПК: box1736

Стоимость расшифровки 12500 руб., спешите скоро цена вырастет!

 

 

скрипт в AVG который Тирекс говорит выполнить уже был выполнен. Лог был сделан после выполнения скрипта.
файл зашифрованный приложил.

 

Сообщение от модератора Mark D. Pearlstone

Темы объединены

Я потом понял что файл забыл и вложил, а тема подумал удалена, создал новую.

CollectionLog-2017.05.24-15.49.zip

Документ Microsoft Office Word (11).docx.rar

[thyrex]

скрипт в AVG который Тирекс говорит выполнить уже был выполнен

выполнение скриптов, написанных не для Вас, чревато.

 

Проверьте ЛС

[Bornmks]

 

скрипт в AVG который Тирекс говорит выполнить уже был выполнен

выполнение скриптов, написанных не для Вас, чревато.

 

Проверьте ЛС

 

Спасибо большое, помогло)

[Bornmks]

 

скрипт в AVG который Тирекс говорит выполнить уже был выполнен

выполнение скриптов, написанных не для Вас, чревато.

 

Проверьте ЛС

 

только всё закончилось, снова появился вирус, злоумышленники поставили удалёнку на комп. Удалёнку потушил, вирус сейчас убью, теперь пишет расширение файлов fun07306 а тип файлов пишет CRYPTED!, но некоторые XML файлы зашифровало в LOCK,  лог прикладываю, никаких скриптов не выполнял, только автологгер запускал и касперский, который кстати опять удалял Xorist

 

Текст нового сообщения - 

Все файлы на вашем ПК зашифрованы!

Для расшифровки файлов, вам необходимо написать на email: funox@ya.ru

В письме необходимо указать ваш id: fun07306

 

Стоимость расшифровки файлов 12500 руб., спешите! Скоро цена будет выше!

Так же файлы с раширением 1cd сменили расширение на CFL

CollectionLog-2017.05.27-05.34.zip

Изменено 27 мая, 2017 пользователем Bornmks

[thyrex]

Ну если Вас ломают по RDP, то пора задуматься о смене пароля к нему.

 

Образец зашифрованного doc или docx файла пришлите в архиве. Ну и файл 1cd тоже.

[Bornmks]

Ну если Вас ломают по RDP, то пора задуматься о смене пароля к нему.

 

Образец зашифрованного doc или docx файла пришлите в архиве. Ну и файл 1cd тоже.

сам файл базы 1с не могу прикрепить, самый маленький что есть, весит 360 мб. в архиве ре марк лежат файлы зашифрованные в тот же формат и тоже взяты из папки с базой

от рдп пароль менял они ставят Dame Ware и устанавливают как службу.

Документ Microsoft Office Word (11).docx.rar

РЕ МАРК.rar

[thyrex]

от рдп пароль менял они ставят Dame Ware и устанавливают как службу.

Ну так как можно установить что-то сторонее, не получив доступ к системе. Информационная безопасность у Вас на нуле.

 

в архиве ре марк лежат файлы зашифрованные в тот же формат и тоже взяты из папки с базой

сначала стоило бы посмотреть на их размер - они все нулевые.

 

Проверьте ЛС

[Bornmks]

 

от рдп пароль менял они ставят Dame Ware и устанавливают как службу.

Ну так как можно установить что-то сторонее, не получив доступ к системе. Информационная безопасность у Вас на нуле.

 

в архиве ре марк лежат файлы зашифрованные в тот же формат и тоже взяты из папки с базой

сначала стоило бы посмотреть на их размер - они все нулевые.

 

Проверьте ЛС

 

да там дело то казалось так -, эту удалёнку (DAME WARE) прислали на почту бухгалтеру, в первый раз удалили всё, поменялись пароли на рдп для всех компьютеров и учеток, поменялся пароль на главный роутер, поменяли все пароли на teamviewer, была удалена удалёнка называвшаяся (SKBKONTUR), прочекано KVRT, проверены службы и процессы. Вечером опять звонят, стоит опять dame ware, и всё в шифре новом. Утром будет инструкция для бухгалтера)

Вам огрооомнейшее спасибо за еще одно решение проблемы.

 

 

[thyrex]

Так база с расширением CFL будет? На Яндекс диск выложите и ссылку пришлите в ЛС. И xml файлы с расширением LOCK тоже пришлите

[Bornmks]

Так база с расширением CFL будет? На Яндекс диск выложите и ссылку пришлите в ЛС. И xml файлы с расширением LOCK тоже пришлите

Да, вроде пока всё работает, если вдруг обнаружится что, я отпишусь обязательно.