Шифровальщик зашифровал все файлы на ПК. Тип файлов стал CRYPTED000007

[Павел Печёнкин]

Помогите расшифровать информацию.

Просканировал систему утилитой KVRT. Найден троян Trojan.Win32.Diple.gvmn

 

 

Также создались файлы с следующим текстом

 

Вaшu файлы были зашифровaны.

Чтобы расшифровать иx, Вaм нeобходuмо оmnравuть кoд:

4F48EF6AEA04EE19B92A|0

нa элекmрoнный aдрес Novikov.Vavila@gmail.com .

Дaлeе вы полyчитe вce нeoбxoдuмые инcтpykциu.

Пoпыткu расшифроваmь самоcтoяmeльно нe прuведyт ни k чeмy, kpоме безвoзвpатнoй nоmеpu инфoрмaции.

Еcлu вы всё же хoтuте nonыmаться, то nрeдварumeльнo сделайme резeрвные kопии фaйлoв, uначе в cлyчae

их uзмeненuя paсшифровкa cmанem нeвoзмoжнoй нu при кakuх уcловuях.

Eслu вы нe noлучили оmвema no вышеукaзанному aдреcу в mечeнuе 48 чaсoв (u тoлькo в этом случаe!),

воспользyйmесь фoрмoй обpатнoй cвязи. Этo мoжнo cдeлаmь двyмя спoсoбaмu:

1) Скачaйme и устaновиme Tor Browser по сcылkе: https://www.torproject.org/download/download-easy.html.en

В адреcной cmpoкe Tor Browser-а введите адреc:

http://cryptsen7fo43rr6.onion/

и нaжмиmе Enter. Зarpузитcя cтрaница c фopмoй oбpaтной связи.

2) В любoм бpaузеpе пepейдuте пo одномy из aдpecов:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

 

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

4F48EF6AEA04EE19B92A|0

to e-mail address Novikov.Vavila@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

If you still want to try to decrypt them by yourself please make a backup at first because

the decryption will become impossible in case of any changes inside the files.

If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),

use the feedback form. You can do it by two ways:

1) Download Tor Browser from here:

https://www.torproject.org/download/download-easy.html.en

Install it and type the following address into the address bar:

http://cryptsen7fo43rr6.onion/

Press Enter and then the page with feedback form will be loaded.

2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

H+hYJrf1+vRW6yWn2IFuvPyeA2fpSm8f62nVoyF++dY=.4F48EF6AEA04EE19B92A.7z

README4.txt

[Soft]

Порядок оформления запроса о помощи

[Павел Печёнкин]

Пользователь утверждает что просматривал видео с ютуб и что-то выскочило на экране и все зашифровалось. 

CollectionLog-2017.07.26-14.16.zip

[Sandor]

Здравствуйте!

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\Users\Замир Искалиев\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Mozilla Thunderbird.lnk', '');
 QuarantineFile('C:\Users\Замир Искалиев\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mozilla Thunderbird.lnk', '');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Изменено 26 июля, 2017 пользователем Sandor

[Павел Печёнкин]

Выполнил все  указанное. файлы прикрепил и отправил 

 

FRST.txt

[thyrex]

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt

Еще два файла не прислали

[Павел Печёнкин]

Да точно. Вот они

Shortcut.txt

Addition.txt

[Sandor]

Ran by Сергей Лопухов (ATTENTION: The user is not administrator)

Переделайте, пожалуйста, все логи, запустив утилиту правой кнопкой от имени администратора.

[Павел Печёнкин]

новые логи из под админа

FRST.txt

Addition.txt

Shortcut.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
  2017-07-25 13:05 - 2017-07-25 13:05 - 03932214 _____ C:\Users\Сергей Лопухов\AppData\Roaming\292B191C292B191C.bmp
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README9.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README8.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README7.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README6.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README5.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README4.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README3.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README2.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README10.txt
  2017-07-25 13:05 - 2017-07-25 13:05 - 00004154 _____ C:\Users\Сергей Лопухов\Desktop\README1.txt
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Павел Печёнкин]

Сделал. Вложил лог

теперь вложил!

Fixlog.txt

[Sandor]

Мусор очищен. С расшифровкой помочь не сможем.

 

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Павел Печёнкин]

Есть шанс расшифровать данные?

SecurityCheck.txt

[Sandor]

Есть шанс расшифровать данные?

При условии, что злодеи будут пойманы.

 

Ознакомьтесь со статьей.

 

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.18124 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Дата установки обновлений: 2015-12-29 15:10:56

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

Отключен доменный профиль Брандмауэра Windows

Отключен общий профиль Брандмауэра Windows

Отключен частный профиль Брандмауэра Windows

-------------------------------- [ Java ] ---------------------------------

Java 6 Update 2 v.1.6.0.20 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE 8 (jre-8u141-windows-i586.exe).

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 18 ActiveX v.18.0.0.232 Внимание! Скачать обновления

Adobe Reader 9.4.0 - Russian v.9.4.0 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.

 

 

Прочтите и выполните Рекомендации после удаления вредоносного ПО

[King James]

добрый день

 

у нас то же самое

 

 

ваш rannohdecryptor не помогает

 

Нашел пару шифрованный/оригинальны файл (вроде бы)

 

высылаю Вам на посмотреть.

 

возможно поможет...

 

 

0.zip