Перейти к содержанию

Поймали по почте no_more_ransom, все документы зашифровались!


Рекомендуемые сообщения

Ербол Боранбаев

Вирус зашифровал все документы, мультимедиа файлы, базу 1С. Пишет вот такой текст: 

 

Вашu фaйлы были зашuфpoвaны.
Чтобы pacшифровать иx, Bам нeобходuмо отnpавuть koд:
6770CD7B95ED5F4FACC8|744|6|10
на элеkmрoнный aдрeс pilotpilot088@gmail.com .
Дaлee вы пoлyчиmе вce нeoбходимыe uнстpyкциu.
Пonыmku pacшифpoвamь самоcтояmeльнo нe пpивeдym ни к чему, крoме бeзвoзвpатнoй поmepu uнфoрмации.
Ecли вы вcё же хoтuтe поnыmаmьcя, mо пpeдваpuтeльнo сделaйmе резеpвные кonиu файлoв, uнaчe в случаe
иx uзмeнения рaсшuфровка станеm нeвозможной нu прu какиx yсловuях.
Eсли вы нe полyчили oтвeта пo вышeуkазанномy aдресy в тeчeние 48 часов (и толькo в этом случае!),
воспoльзуйmeсь фopмoй oбратной связu. Это можнo cдeлamь двyмя cпоcoбaмu:
1) Сkaчайте и yстанoвumе Tor Browser nо ccылкe: https://www.torproject.org/download/download-easy.html.en
B адресной стрoке Tor Browser-a введиmе aдреc:
и нaжмите Enter. 3aгpyзuтcя cmрaница c фoрмой обpaтной связи.
2) В любом брaузеpe nepeйдumе пo однoму из aдpeсов:
 
 
All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
6770CD7B95ED5F4FACC8|744|6|10
to e-mail address pilotpilot088@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
Install it and type the following address into the address bar:
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.cab/ 

 

Прошу о помощи! 

CollectionLog-2017.06.06-18.03.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Driver Booster 2.4

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteDirectory('c:\program files (x86)\zaxar');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Sabit\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\World of Tanks.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk

C:\Users\Public\Desktop\Mozilla Firefox.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на комментарий
Поделиться на другие сайты

Ербол Боранбаев

Здравствуйте! спасибо! высылаю файл с повторным сканированием.

ClearLNK-07.06.2017_17-48.log

ClearLNK-07.06.2017_17-49.log

CollectionLog-2017.06.07-17.53.zip

Ссылка на комментарий
Поделиться на другие сайты

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты

1. В безопасном режиме:

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2. В обычном режиме:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
    CreateRestorePoint:
    ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
    2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
    2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
    2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
    2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
    2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
    Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
    Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
    Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
    Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Ербол Боранбаев

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
    CreateRestorePoint:
    ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
    2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
    2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
    2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
    2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
    2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
    2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
    2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
    2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
    Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
    Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
    Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
    Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Здравствуйте! система пере установлена, остались только скопированные, зашифрованные файлы.. есть еще шанс для восстановления?

Ссылка на комментарий
Поделиться на другие сайты

система пере установлена

Это было лишнее. После этого, даже если в будущем появится дешифровка, Вы еще снизили шансы на восстановление.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • sanka
      Автор sanka
      Добрый день!
       
      Просьба помочь с расшифровкой.
      Лог FRST, записка вымогателя и примеры зашифрованных файлов во вложении
      FRST.zip примеры и записка вымогателя.zip
    • user344
      Автор user344
      Здравствуйте! Недавно компьютер в простое начинает переодически нагружаться до 100%, вентиляторы начинают крутить на полную в течении 5-10 минут, только начинаешь водить мышкой по рабочему столу, то сразу же нагрузка падает до дефолтных значений. Проверял лечащай утилитой др.веб и kvrt они вирусов не нашли.
      CollectionLog-2025.06.25-21.11.zip
    • Vklass
      Автор Vklass
      Зашифровали сервер, пропала недельная работа, прощу помощи  логи FRST в архиве 
      Вирус 2.zip
    • Mrak
      Автор Mrak
      Всем привет! Хотел обсудить безопасность сдачи государству биометрических данных.
       
      На официальном сайте https://ebs.ru/citizens/ указаны некоторые положительные стороны. Например, при сдаче расширенной биометрии больше не надо ходить в офис оператора связи. Также можно спокойно сделать квалифицированную ЭЦП бесплатно (без ежегодных взносов, как с иными организациями).
      Плюс надо учитывать, что у государства уже есть часть данных из-за выдачи паспорта гражданина РФ и загранпаспорта РФ. Биометрические данные в неполном виде хранятся в связи с заключением договора банковского обслуживания (иначе они дистанционно не смогут обслужить, подтверждать операции по фото или голосу).
       
      Отсюда вопрос: сдавать ли самые полные биометрические данные и пользоваться всеми возможными благами (чего уже стесняться, когда часть данных уже записано?), либо повременить, ведь в случае утечки лицо и голос уже не переделать? 
       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Компьютерная помощь".
×
×
  • Создать...