ransom.shade Вирус зашифровал файлы crypted

[inkin]

Вирус зашифровал файлы.

Имя зашифрованных файлов вида:

fKDtd4KVzV9hqAs9z1Yw1nlBtHiXAhL5XmE8l+2MnYY=.82E304F850A8520C15F0.crypted000007

В корне диска C файлы README1.txt.....README10.txt  со следующим содержанием:

 

Bашu файлы были зaшифpoвaны.

Чтобы pаcшuфpoвaть uх, Baм нeoбхoдимo отправumь koд:

82E304F850A8520C15F0|835|7|2

нa элekтронный aдрec Novikov.Vavila@gmail.com .

Дaлее вы nолyчume вcе нeoбxодuмыe инcтpуkцuu.

Поnыmки расшифрoвaть caмоcmoятельнo нe пpиведym ни k чемy, kpомe безвозвраmнoй nотеpu uнфopмaцuu.

Ecли вы всё же хoтиme попыmamься, то nредваpuтeльно сдeлайmе pезервныe коnии файлoв, uнaче в случaе

ux измeненuя pacшифровкa cтaнeт невoзмoжной ни npи кaкux условuях.

Если вы не noлучилu omвema по вышeykaзaннoмy адреcy в meчениe 48 чacoв (и moльkо в эmoм cлyчaе!),

воcnoльзyйmесь фopмoй обратнoй cвязи. Эmo можно сделaть двумя cпособами:

1) Cкачaйте u усmанoвите Tor Browser пo ссылкe: https://www.torproject.org/download/download-easy.html.en

В адреснoй сmроке Tor Browser-a ввeдume адpес:

http://cryptsen7fo43rr6.onion/

u нaжмиmе Enter. Загрузuтся cтpaницa c формой oбрamнoй cвязи.

2) B любoм бpаyзeрe пеpeйдumе no одному uз адрecов:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

 

 

All the important files on your computer were encrypted.

To decrypt the files you should send the following code:

82E304F850A8520C15F0|835|7|2

to e-mail address Novikov.Vavila@gmail.com .

Then you will receive all necessary instructions.

All the attempts of decryption by yourself will result only in irrevocable loss of your data.

If you still want to try to decrypt them by yourself please make a backup at first because

the decryption will become impossible in case of any changes inside the files.

If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!),

use the feedback form. You can do it by two ways:

1) Download Tor Browser from here:

https://www.torproject.org/download/download-easy.html.en

Install it and type the following address into the address bar:

http://cryptsen7fo43rr6.onion/

Press Enter and then the page with feedback form will be loaded.

2) Go to the one of the following addresses in any browser:

http://cryptsen7fo43rr6.onion.to/

http://cryptsen7fo43rr6.onion.cab/

CollectionLog-2017.12.28-10.56.zip

[Sandor]

Здравствуйте!

 

Расшифровки для этого типа вымогателя нет. Будет только лечение активного заражения и очистка.

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Breowsse2isavee

BrowseToSave 1.74

Ticno iO

Ticno Shell Extension Manager

Webalta Toolbar

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\docume~1\admin\applic~1\softwa~1\nheqmi~1.exe');
 TerminateProcessByName('c:\documents and settings\all users\application data\csrss\csrss.exe');
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 QuarantineFile('c:\docume~1\admin\applic~1\softwa~1\nheqmi~1.exe', '');
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\6nceaK3a.cmd', '');
 QuarantineFile('c:\documents and settings\all users\application data\csrss\csrss.exe', '');
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 DeleteFile('c:\docume~1\admin\applic~1\softwa~1\nheqmi~1.exe', '32');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\SysWOW64\6nceaK3a.cmd', '32');
 DeleteFile('c:\documents and settings\all users\application data\csrss\csrss.exe', '32');
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Command Line Support');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NetworkSubsystem');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Запустить обозреватель Internet Explorer.lnk

C:\Documents and Settings\Admin\Рабочий стол\Google Chrome.lnk

C:\Documents and Settings\Admin\Избранное\Ссылки\Используется автономный режим.url

C:\Documents and Settings\Admin\Избранное\Ссылки\Используется автономный режим (2).url

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Прикрепите к следующему сообщению свежий CollectionLog.

[inkin]

Отправил  newvirus [KLAN-7427154492]

[Sandor]

Полученный ответ сообщите

пожалуйста.

[inkin]

Thank you for contacting Kaspersky Lab

 

The files have been scanned in automatic mode.

 

Riskware which may harm your computer was detected in the following files:

nheqmi~1.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.ibps

 

No information about the specified files can be found in the antivirus databases:

6nceaK3a.cmd

 

Malicious code has been detected in the following files:

csrss.exe - Trojan.Win32.Agent.nevnwq

csrss_0.exe - Trojan-Ransom.Win32.Shade.omt

 

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

    

This is an automatically generated message. Please do not reply to it.

 

Anti-Virus Lab, Kaspersky Lab HQ

 

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia

Tel./Fax: + 7 (495) 797 8700

http://www.kaspersky.com https://www.securelist.com"

 

--------------------------------------------------------------------------------

From: "inkinby ." [адрес]

Sent: 12/28/2017 1:36:00 PM

To: newvirus@kaspersky.com

Subject: newvirus

newvirus

Изменено 28 декабря, 2017 пользователем Sandor
убрал адрес

[Sandor]

Спасибо, продолжайте.