Файлы зашифровались .GOTYA

[alexklippe]

Добрый день.

 

Сегодня зашифровались файлы с расширением .GOTYA

Помогите их расшифровать.

 

 

ALL YOUR FILES WERE ENCRYPTED. 

TO RESTORE, YOU MUST SEND $500 BTC FOR ONE COMPUTER

OR $5,000 BTC FOR ALL NETWORK

ADDRESS: 1PE9ryU3Zp5k42TbQPBi6YA9tURrsPr7J9

AFTER PAYMENT SENT EMAIL m4zn0v@keemail.me

ALONG WITH YOUR IDENTITY: T1JMRS1BTk4tMDg=

NOT TO TURN OFF YOUR COMPUTER, UNLESS IT WILL BREAK

 

 

предположительно шифрование выполнил процесс jushed.exe

 

Сообщение от модератора Mark D. Pearlstone

Не прикрепляйте то, что вас не просят.

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[alexklippe]

Собрал файлы, во вложении

CollectionLog-2017.12.02-12.06.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[alexklippe]

во вложении

FRST.zip

[thyrex]

Вообще странно, что система еще стартует и работает. Столько ехе-файлов пошифровано.

 

Шифрование шло ночью, наверняка проникновение было по RDP. Пароли смените.

 

C:\RECOVERY.txt и пример зашифрованного doc или docx файла прикрепите в архиве к следующему сообщению.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} -  No File
CHR HKLM-x32\...\Chrome\Extension: [iakddmmledeclcodpbgebfkhegaaddge] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog] - hxxps://clients2.google.com/service/update2/crx
2017-12-02 04:23 - 2017-12-02 04:23 - 000000307 _____ C:\ProgramData\Microsoft\Windows\Start Menu\RECOVERY.txt
2017-12-02 04:23 - 2017-12-02 04:23 - 000000307 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt
2017-12-02 04:22 - 2017-12-02 04:23 - 000000307 _____ C:\Users\Все пользователи\RECOVERY.txt
2017-12-02 04:22 - 2017-12-02 04:23 - 000000307 _____ C:\ProgramData\RECOVERY.txt
2017-12-02 03:44 - 2017-12-02 03:44 - 000000352 _____ C:\Users\Все пользователи\RECOVERY.txt.GOTYA
2017-12-02 03:44 - 2017-12-02 03:44 - 000000352 _____ C:\ProgramData\RECOVERY.txt.GOTYA
2017-12-02 03:44 - 2017-12-02 03:44 - 000000352 _____ C:\ProgramData\Microsoft\Windows\Start Menu\RECOVERY.txt.GOTYA
2017-12-02 03:44 - 2017-12-02 03:44 - 000000352 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt.GOTYA
2017-12-02 01:02 - 2017-12-02 01:02 - 000000307 _____ C:\Windows\Tasks\RECOVERY.txt
2017-12-02 01:02 - 2017-12-02 01:02 - 000000307 _____ C:\Windows\SysWOW64\RECOVERY.txt
2017-12-02 01:02 - 2017-12-02 01:02 - 000000307 _____ C:\Windows\SysWOW64\Drivers\RECOVERY.txt
2017-12-02 01:02 - 2017-12-02 01:02 - 000000307 _____ C:\Windows\system\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Windows\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Windows\Minidump\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\Downloads\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\Documents\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\Desktop\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\Roaming\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\Roaming\Microsoft\Windows\Start Menu\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\LocalLow\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\sasha\AppData\Local\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Public\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Public\Downloads\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Public\Documents\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Public\Desktop\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\Downloads\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\Documents\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\Desktop\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\AppData\Roaming\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\AppData\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default\AppData\Local\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\Downloads\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\Documents\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\Desktop\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\AppData\Roaming\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\AppData\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\Default User\AppData\Local\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\ann\RECOVERY.txt
2017-12-02 01:01 - 2017-12-02 01:01 - 000000307 _____ C:\Users\ann\Desktop\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\Downloads\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\Documents\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\Desktop\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\Roaming\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\LocalLow\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\Local\RECOVERY.txt
2017-12-02 01:00 - 2017-12-02 01:00 - 000000307 _____ C:\Users\administrator\AppData\Local\Apps\RECOVERY.txt
2017-12-02 00:59 - 2017-12-02 00:59 - 000000307 _____ C:\Program Files\RECOVERY.txt
2017-12-02 00:59 - 2017-12-02 00:59 - 000000307 _____ C:\Program Files\Common Files\RECOVERY.txt
2017-12-02 00:59 - 2017-12-02 00:59 - 000000307 _____ C:\Program Files (x86)\RECOVERY.txt
Startup: C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RECOVERY.txt [2017-12-02] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\RECOVERY.txt [2017-12-02] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\RECOVERY.txt.GOTYA [2017-12-02] ()
Startup: C:\Users\sasha\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RECOVERY.txt [2017-12-02] ()
AlternateDataStreams: C:\Users\administrator:id [32]
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [128]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [144]
AlternateDataStreams: C:\Users\Public\DRM:احتضان [48]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A [128]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC [144]
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[alexklippe]

Компьютер не перегружался, поэтому еще работает. Тот на котором запускал последнюю утилиту перезагрузился и не могу войти теперь. Образцы файла шифрованого и не шифрованого во вложении

 

в c:\windows в одно время на компах появился diskimagemounter.exe  после него пошли шифрования. Возможно это он. Могу выслать в zip.

 

Могу выполнить этот скрипт на другом компьютере?

plakat.pdf.zip

[thyrex]

в c:\windows в одно время на компах появился diskimagemounter.exe  после него пошли шифрования. Возможно это он. Могу выслать в zip.

выложите на dropmefiles.com и пришлите ссылку на скачивание в ЛС

 

Оригинал записки с сообщением

C:\RECOVERY.txt

так и не прислали

[alexklippe]

[скачал, удалил]

 

C:\RECOVERY.txt постараюсь через пол часа, не могу зайти в компьютер после перезагрузки

Изменено 2 декабря, 2017 пользователем thyrex

[thyrex]

А здесь https://www.bleepingcomputer.com/forums/t/608564/xorist-enciphered-ransomware-support-and-help-topic-how-to-decrypt-filestxt/page-26 сообщение зачем написали в совершенно неподходящей теме?

 

Похоже шифратор написан на Python.Возможный алгоритм шифрования - AES.

[alexklippe]

Получилось

Во вложении

c:\recovery\recovery.txt - во вложении

 

c:\recovery.txt - такого нет

 

 

Fixlog.txt

RECOVERY.txt

Изменено 2 декабря, 2017 пользователем alexklippe

[thyrex]

Лог достали, а файл с сообщением вымогателя?

[alexklippe]

Лог достали, а файл с сообщением вымогателя?

Это вроде он

RECOVERY.txt

[thyrex]

Похоже у Вас https://www.bleepingcomputer.com/forums/t/663901/hc6-ransomware-fcku-ext-recover-your-fiestxt-support-topic/page-2 версия hc7, для которой нет расшифровки.

Если я правильно понял, в этой версии шифрование запускают из командной строки. Если логи системы сохранились, возможно в них удастся найти ключ

[alexklippe]

по времени создания файла в логе записано что была установлена служба %systemroot%\psexesvc.exe зтут же запущена и через 15 секунд остановлена. Файл найти не удалось