Перейти к содержанию

Поймали по почте no_more_ransom, все документы зашифровались!

Ербол Боранбаев

Автор Ербол Боранбаев,
в Помощь в борьбе с шифровальщиками-вымогателями

 Share Подписчики 1

Рекомендуемые сообщения

Ербол Боранбаев

Ербол Боранбаев 0

Опубликовано
Опубликовано

Вирус зашифровал все документы, мультимедиа файлы, базу 1С. Пишет вот такой текст: 

 

Вашu фaйлы были зашuфpoвaны.
Чтобы pacшифровать иx, Bам нeобходuмо отnpавuть koд:
6770CD7B95ED5F4FACC8|744|6|10
на элеkmрoнный aдрeс pilotpilot088@gmail.com .
Дaлee вы пoлyчиmе вce нeoбходимыe uнстpyкциu.
Пonыmku pacшифpoвamь самоcтояmeльнo нe пpивeдym ни к чему, крoме бeзвoзвpатнoй поmepu uнфoрмации.
Ecли вы вcё же хoтuтe поnыmаmьcя, mо пpeдваpuтeльнo сделaйmе резеpвные кonиu файлoв, uнaчe в случаe
иx uзмeнения рaсшuфровка станеm нeвозможной нu прu какиx yсловuях.
Eсли вы нe полyчили oтвeта пo вышeуkазанномy aдресy в тeчeние 48 часов (и толькo в этом случае!),
воспoльзуйmeсь фopмoй oбратной связu. Это можнo cдeлamь двyмя cпоcoбaмu:
1) Сkaчайте и yстанoвumе Tor Browser nо ccылкe: https://www.torproject.org/download/download-easy.html.en
B адресной стрoке Tor Browser-a введиmе aдреc:
и нaжмите Enter. 3aгpyзuтcя cmрaница c фoрмой обpaтной связи.
2) В любом брaузеpe nepeйдumе пo однoму из aдpeсов:
 
 
All the important files on your computer were encrypted.
To decrypt the files you should send the following code:
6770CD7B95ED5F4FACC8|744|6|10
to e-mail address pilotpilot088@gmail.com .
Then you will receive all necessary instructions.
All the attempts of decryption by yourself will result only in irrevocable loss of your data.
If you still want to try to decrypt them by yourself please make a backup at first because
the decryption will become impossible in case of any changes inside the files.
If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),
use the feedback form. You can do it by two ways:
1) Download Tor Browser from here:
Install it and type the following address into the address bar:
Press Enter and then the page with feedback form will be loaded.
2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.cab/ 

 

Прошу о помощи! 

CollectionLog-2017.06.06-18.03.zip

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 252

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Driver Booster 2.4

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteDirectory('c:\program files (x86)\zaxar');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Sabit\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk

C:\Users\Sabit\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\World of Tanks.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk

C:\Users\Public\Desktop\Mozilla Firefox.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Ссылка на сообщение
Поделиться на другие сайты
Ербол Боранбаев

Ербол Боранбаев 0

Опубликовано
  • Автор
Опубликовано

Здравствуйте! спасибо! высылаю файл с повторным сканированием.

ClearLNK-07.06.2017_17-48.log

ClearLNK-07.06.2017_17-49.log

CollectionLog-2017.06.07-17.53.zip

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 252

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 252

Опубликовано
Опубликовано

1. В безопасном режиме:

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2. В обычном режиме:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 252

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
Ербол Боранбаев

Ербол Боранбаев 0

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} =>  -> No File
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\Users\Все пользователи\Csrss
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\services
2017-06-01 11:19 - 2017-06-02 09:03 - 00000000 __SHD C:\ProgramData\Csrss
2017-06-01 11:11 - 2017-06-01 11:11 - 03148854 _____ C:\Users\Sabit\AppData\Roaming\E542C310E542C310.bmp
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Sabit\Desktop\README1.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README9.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README8.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README7.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README6.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README5.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README4.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README3.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README2.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README10.txt
2017-06-01 11:11 - 2017-06-01 11:11 - 00004178 _____ C:\Users\Public\Desktop\README1.txt
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\Users\Все пользователи\System32
2017-05-31 10:48 - 2017-06-01 11:19 - 00000000 __SHD C:\ProgramData\System32
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README9.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README8.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README7.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README6.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README5.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README4.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README3.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README2.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README10.txt
2017-05-30 15:11 - 2017-05-30 15:11 - 00004178 _____ C:\README1.txt
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\Users\Все пользователи\Windows
2017-05-30 15:01 - 2017-06-06 14:23 - 00000000 __SHD C:\ProgramData\Windows
Task: {1E2AB04E-6C32-4AF1-BCC6-D53BBF3FE094} - System32\Tasks\Driver Booster Scan => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe
Task: {4FA9D723-CACE-45DE-82BF-B758B49A1577} - System32\Tasks\Uninstaller_SkipUac_Sabit => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {8AB31D11-E487-4775-B3C6-57DBB8B63D4C} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe
Task: {B06087E9-BBB8-4E23-8C50-680129679159} - System32\Tasks\Driver Booster SkipUAC (Sabit) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Здравствуйте! система пере установлена, остались только скопированные, зашифрованные файлы.. есть еще шанс для восстановления?

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 252

Опубликовано
Опубликовано

система пере установлена

Это было лишнее. После этого, даже если в будущем появится дешифровка, Вы еще снизили шансы на восстановление.
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем
×
×
  • Создать...