Перейти к содержанию

криптовирус win32.scarsi.ahin зашифровал данные

Михаил Ищенко
 Share

Рекомендуемые сообщения

Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
Опубликовано (изменено)

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!
All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.
To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!
redman333@bigmir.net
redman333@bigmir.net
RESERVE MAIL:
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

 

 

 

 

 

 

Изменено пользователем Михаил Ищенко
Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

а конкретнее можно указать по Вашему мнению у меня не соответствует порядку оформления?!

Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко Новичок

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!

All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.

To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!

redman333@bigmir.net

redman333@bigmir.net

RESERVE MAIL:

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

CollectionLog-2017.07.10-14.58.zip

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','');
 DeleteFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(13);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF SearchPlugin: C:\Documents and Settings\МИХАИЛ\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\README.txt [2017-07-09]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\kdadialhpiikehpdeejjeiikopddkjem [2015-04-23]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-08-01]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-10-28]
2017-07-09 10:48 - 2017-07-09 10:48 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 10:10 - 2017-07-09 10:10 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Application Data\README.txt
2017-07-09 16:54 - 2015-04-23 08:53 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Tencent
2017-07-09 16:54 - 2015-04-23 08:44 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Baidu
2017-07-09 10:10 - 2017-07-09 10:10 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 10:48 - 2017-07-09 10:48 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\Application Data\README.txt
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Инфлюенсер
      Данные зашифрованные с помощью diskCriptor
      От Инфлюенсер
      Добрый день, произошел взлом системы. Пострадали пк и сервера, злоумышленник зашифровал данные. Так же попросил выкуп. для теста дал пароль от одного из дисков с помощью которого удалось расшифровать диск с которого собраны логи по запросу, в данный момент диски заблокированы. Требуется ли с помощью программы R.Saver   попытаться вытащить какиет-о файлы, так как в настоящий момент  диски являются роу
      Addition.txtFRST.txt
    • Дмитрий С1990
      Зашифровали данные
      От Дмитрий С1990
      Был зашифрован ПК по средствам подключения по rdp  к учетной записи администратора и подобранному паролю.
      Addition.txt virus.7z FRST.txt
    • dexter
      О настройке защиты ввода данных
      От dexter
      Всем привет.
       
      Открыл меню Плюса и увидел сообщение (скрин). Ладно, залез в BIOS и включил виртуализацию и попутно (по совету в одной из профильных статей ЛК) параметр VT-d.
      Опять посетил Настройку защиты ввода данных и опять сообщение "... Обнаружено несовместимое устройство или программное обеспечение."
       
      Хорошо. По поводу устройства - ясен пень, имеется в виду модуль TPM . Но он у меня не установлен. Это я знаю точно, поскольку я его не покупал и не устанавливал ( как мне разъяснили в одном из магазинов,
      сие устройство запрещено к оф. продаже). Разъём на плате есть, а самого модуля - нету.
       
      Смотрим и читаем дальше много букв в одной из профильных статей от ЛК. И оказывается, что причин о несовместимости программного обеспечения может быть несколько - https://support.kaspersky.ru/common/safemoney/13713#block1
      то что вверху написано - не суть важно. Листаем список ниже. И что мы там видим ? А то, что под программным обеспечением имеется в виду в том числе Изоляция ядра и Smart App Control.
      У меня, на начальной стадии использования винды-11 Smart App Control отключен, т.к. находится в  режиме "Оценка".
       
      А теперь такой вопрос к разработчикам : нельзя как-то решить эту коллизию с Smart App Control , Изоляцией ядра и защитой ввода данных с использованием аппаратной виртуализации ?
      Или вы реально решили, что для функционирования Плюса в том виде, как Вы задумали , надо отключить несколько функций по обеспечению безопасности в самой системе ?


    • Bercolitt
      Удаленный доступ к моим данным на ПК
      От Bercolitt
      У меня Windows 10 домашний, следовательно нет удаленного рабочего стола. Многие документы и картинки с моего ПК перенеслись автоматически в облачное хранилище OneDrive. Это видно в проднике. Особого доверия к этому хранилищу нет. Если возникают какие-то предупреждения от Kaspersky Plus, то в качестве пользователя указывается модифицированное имя моего ПК с добавлением знака доллара $ на конце. Это удаленный доступ хакера или программы бота к моим данным?
    • Azward
      Зашифровались файлы hop_dec
      От Azward
      Добрый день! 
      Зашифровались все файлы на рабочей машине. В том числе 1с базы.
      [MJ-CR7920861453](decodehop@gmail.com )   Все файлы с таким расширением.
      Отправил во вложении Архив с файлом, и логи FRST
      Надеемся на вашу помощь. Стоял касперский Small office security. Не помог. Сейчас вовсе исчез.
      virus.rar Addition.txt FRST.txt
×
×
  • Создать...