Перейти к содержанию

Поймали по почте no_more_ransom, все документы зашифровались!

Ербол Боранбаев
 Share

Рекомендуемые сообщения

Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
Опубликовано

Вирус зашифровал все документы, мультимедиа файлы, базу 1С. Пишет вот такой текст: 

 

Вашu фaйлы были зашuфpoвaны.
Чтобы pacшифровать иx, Bам нeобходuмо отnpавuть koд:
6770CD7B95ED5F4FACC8|744|6|10
на элеkmрoнный aдрeс pilotpilot088@gmail.com .
Дaлee вы пoлyчиmе вce нeoбходимыe uнстpyкциu.
Пonыmku pacшифpoвamь самоcтояmeльнo нe пpивeдym ни к чему, крoме бeзвoзвpатнoй поmepu uнфoрмации.
Ecли вы вcё же хoтuтe поnыmаmьcя, mо пpeдваpuтeльнo сделaйmе резеpвные кonиu файлoв, uнaчe в случаe
иx uзмeнения рaсшuфровка станеm нeвозможной нu прu какиx yсловuях.
Eсли вы нe полyчили oтвeта пo вышeуkазанномy aдресy в тeчeние 48 часов (и толькo в этом случае!),
воспoльзуйmeсь фopмoй oбратной связu. Это можнo cдeлamь двyмя cпоcoбaмu:
1) Сkaчайте и yстанoвumе Tor Browser nо ccылкe: https://www.torproject.org/download/download-easy.html.en
B адресной стрoке Tor Browser-a введиmе aдреc:
и нaжмите Enter. 3aгpyзuтcя cmрaница c фoрмой обpaтной связи.
2) В любом брaузеpe nepeйдumе пo однoму из aдpeсов:
 
 
All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
6770CD7B95ED5F4FACC8|744|6|10
to e-mail address pilotpilot088@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
Install it and type the following address into the address bar:
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.cab/ 

 

Прошу о помощи! 

CollectionLog-2017.06.06-18.03.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Driver Booster 2.4

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteDirectory('c:\program files (x86)\zaxar');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Sabit\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\World of Tanks.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk

C:\Users\Public\Desktop\Mozilla Firefox.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на комментарий
Поделиться на другие сайты
Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
  • Автор
Опубликовано

Здравствуйте! спасибо! высылаю файл с повторным сканированием.

ClearLNK-07.06.2017_17-48.log

ClearLNK-07.06.2017_17-49.log

CollectionLog-2017.06.07-17.53.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1. В безопасном режиме:

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2. В обычном режиме:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Ербол Боранбаев Новичок

Ербол Боранбаев

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Здравствуйте! система пере установлена, остались только скопированные, зашифрованные файлы.. есть еще шанс для восстановления?

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

система пере установлена

Это было лишнее. После этого, даже если в будущем появится дешифровка, Вы еще снизили шансы на восстановление.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Алексей Андронов
      Поймали по почте шифровальщик-вымогатель
      От Алексей Андронов
      Добрый день!
       
      Поймали шифровальщика, который работает до сих пор на отключенном от интернета ПК.
      Ничего не переустанавливали и не трогали.
      Все, что можно спасти, копируем.
      Пострадал один ПК и один резервный сменный накопитель.
      Шифровальщик затронул большинство файлов.
      Предположительно получен по почте 02.12.24 под видом акта сверки расчетов
       
      Прошу помощи в излечении и расшифровке
       
      Во вложении логи FRST, архив с документами и запиской вымогателей и, предположительно, дроппер с которого произошло заражение и резидентный модуль
      архив.zip virus.zip Addition.txt FRST.txt
    • Galymzhan
      зашифровали файлы, оставили почту platishilidrocish@fear.pw
      От Galymzhan
      На комп зашли через RD и зашифровали файлы, оставили почту platishilidrocish@fear.pw для расшифровки требуют плату, требования и шифрованные файлы закрепил
      FRST.zip Требования.zip зашифрованные файлы.zip
    • Андрей1566
      зашифрованы базы 1С и документы. Требуют денег.
      От Андрей1566
      Ночью были перекодированы все бекапы файлов и баз 1С Так же все рабочие базы. Сами системы не пострадали Пожалуйста раскодируйте по возможности. Есть подозрение, что вирус принес гость, подключившийся к офисной сети
      Addition.txt FRST.txt README.txt
    • Temikst
      Поймал какой-то вирус
      От Temikst
      Приветствую. Сын скачивал какую-то программу для игры, как итог словили какой-то вирус. Dr.web ничего не нашел. но обратил внимание что комп стал тупить, до этого не было так
      CollectionLog-2025.02.09-23.46.zip

       
      Даже браузер сильно тормозит. после открывание диспетчер задач сразу же лучше работает\
    • dampe
      поймал шифровальщик ooo4ps
      От dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
×
×
  • Создать...