Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

криптовирус win32.scarsi.ahin зашифровал данные

Михаил Ищенко

Автор Михаил Ищенко
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Михаил Ищенко

Михаил Ищенко

Опубликовано
Опубликовано (изменено)

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!
All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.
To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!
redman333@bigmir.net
redman333@bigmir.net
RESERVE MAIL:
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch
BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

 

 

 

 

 

 

Изменено пользователем Михаил Ищенко
Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

а конкретнее можно указать по Вашему мнению у меня не соответствует порядку оформления?!

Ссылка на комментарий
Поделиться на другие сайты
Михаил Ищенко

Михаил Ищенко

Опубликовано
  • Автор
Опубликовано

Доброго времени суток, уважаемые эксперты!

 

у нас случилось заражение криптовирусом. по почте вечером в суботу пришло какое-то письмо с заархивированным вложением, а на другое утро вся информация, включая даже фотографии была зашифрована.

при этом в каждой папке присутствует следующее текстовое сообщение:

 

"ATTENTION!

All your files are encrypted with cryptographically strong algorithm, and without original decryption key recovery is impossible.

To get your unique key and decode files, you need to write us at email written below during 72 hours, otherwise your files will be destroyed forever!

redman333@bigmir.net

redman333@bigmir.net

RESERVE MAIL:

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch

BM-2cXgvt7vSATpsRAm6edEkzU8UDNjbh35Qv@bitmessage.ch"

 

провел полную проверку с помощью Kaspersky Virus Removal Tool 2015

и обнаружил 3 вируса win32.scarsi.ahin

 

потом установил Kaspersky Secure Connection  и просканировал им  - угроз не обнаружено.

 

но зашифрованные файлы (практи чески все  и 1с бухгалтерия в том числе) так и остались зашифрованными

нигде не могу найти под этот вирус дескриптор. искал везде где только можно и на сайте касперского тоже.

прошу помочь раскодировать данные. очень важно раскодировать 1с чтобы сохранить базы.

и спасти большой семейный фотоархив

 

ду Вашей помощи логи прилагаю.

с уважением.М. Мариничев

CollectionLog-2017.07.10-14.58.zip

Ссылка на комментарий
Поделиться на другие сайты
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','');
 DeleteFile('C:\Documents and Settings\МИХАИЛ\Главное меню\Программы\Автозагрузка\zwveyzrmth.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(13);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
SQ

SQ

Опубликовано
Опубликовано

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-527237240-682003330-839522115-1004 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF SearchPlugin: C:\Documents and Settings\МИХАИЛ\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\README.txt [2017-07-09]
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\kdadialhpiikehpdeejjeiikopddkjem [2015-04-23]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-08-01]
OPR Extension: (No Name) - C:\Documents and Settings\МИХАИЛ\Application Data\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-10-28]
2017-07-09 10:48 - 2017-07-09 10:48 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 10:10 - 2017-07-09 10:10 - 00000512 _____ C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\Администратор.165D17382B77413\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\README.txt
2017-07-09 09:59 - 2017-07-09 16:55 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\UpdatusUser\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\NetworkService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\LocalService\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Рабочий стол\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\Default User\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\Программы\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Главное меню\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 00000512 _____ C:\Documents and Settings\All Users\Application Data\README.txt
2017-07-09 16:54 - 2015-04-23 08:53 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Tencent
2017-07-09 16:54 - 2015-04-23 08:44 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Baidu
2017-07-09 10:10 - 2017-07-09 10:10 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Application Data\README.txt
2017-07-09 10:48 - 2017-07-09 10:48 - 0000512 _____ () C:\Documents and Settings\МИХАИЛ\Local Settings\Application Data\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\README.txt
2017-07-09 09:59 - 2017-07-09 16:54 - 0000512 _____ () C:\Documents and Settings\All Users\Application Data\README.txt
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Belvol
      [РЕШЕНО] Не удаляется вирус Win32/Trojan.Generic.HgLATxcA
      Автор Belvol
      Здравствуйте. Поймал троян-майнер. Чищу антивирусом и после перезагрузки появляется снова. Помогите разобраться, пожалуйста
      CollectionLog-2025.07.01-00.20.zip
    • Alkart1975
      Зашифровали диск с данными српедствами BitLocker
      Автор Alkart1975
      Здравствуйте.
      Зловред зашифровал битлокером несистемный диск. Злоумышленники просят выкуп на почту davidblaine@mail2world.com и bitlockerlock.unlock@gmail.com
      С диска С удалены файлы баз данных и документы. На компьютере несколько пользователей. 
      На рабочем столе одного из пользователей оставлен файл PLEASE READ с требованием оплаты.
      Прошу помощи. Возможно ли расшифровать диск? Или восстановить файлы баз данных 1С. 
      Addition.txt FRST.txt PLEASE READ.txt
    • Zakot
      Вирус зашифровал данные на сервере
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • sanka
      Ваши документы, базы данных и другие файлы были зашифрованы.
      Автор sanka
      Добрый день!
       
      Просьба помочь с расшифровкой.
      Лог FRST, записка вымогателя и примеры зашифрованных файлов во вложении
      FRST.zip примеры и записка вымогателя.zip
    • KL FC Bot
      Как отключить доступ Gemini к вашим данным на Android | Блог Касперского
      Автор KL FC Bot
      7 июля 2025 года Google выпустила обновление Gemini, которое дает AI-помощнику доступ к приложениям Phone, Messages, WhatsApp и Utilities на Android-устройствах. Компания анонсировала это событие e-mail-рассылкой пользователям своего чат-бота, которых просто поставили перед фактом: «Мы упростили взаимодействие Gemini с вашим устройством… Gemini скоро сможет помочь вам использовать «Телефон», «Сообщения», WhatsApp и «Утилиты» на вашем телефоне, независимо от того, включена ли ваша активность приложений Gemini или нет».
      С точки зрения Google, обновление улучшает приватность, поскольку теперь пользователям доступны функции Gemini без необходимости включать Gemini Apps Activity. Удобно, не правда ли?
       
      View the full article
×
×
  • Создать...