Перейти к содержанию

Шифровальщик Trojan-Ransom.Win32.Generic

Екатерина Короткова

От Екатерина Короткова
в Помощь в борьбе с шифровальщиками-вымогателями

 Share

Рекомендуемые сообщения

Екатерина Короткова Новичок

Екатерина Короткова

Опубликовано
Опубликовано

Добрый день! Прошу помощи! Шифровальщик зашифровал практически все файлы на моем рабочем компьютере, Virus Removal Tool идентифицировал его как Trojan-Ransom.Win32.Generic и удалил 2 файла crypt.exe. Название файлов преобразовано: email-blackdragon43@yahoo.com.ver-CL 1.4.1.0.id-2684792688-06.01.2018 1@50@312704433.fname-ИМЯ ФАЙЛА.РАСШИРЕНИЕ ФАЙЛА.fairytail .

Утилита для расшифровки Trojan-Ransom.Win32.Rannoh не помогла. Для примера прикладываю зашифрованный и оригинальный файлы. У зашифрованного расширение .fairytail убрала, с ним нельзя было загрузить на форум. Можно ли расшифровать файлы?! Прошу вашей помощи!!!

 

PS - заражение произошло по сети, в процессе работы появилось уведомление о подключении к моему компьютеру, после этого компьютер был заражен. Нетронутыми остались некоторые рисунки *.bmp и *.png.

email-blackdragon43@yahoo.com.ver-CL 1.4.1.0.id-2684792688-06.01.2018 1@50@312704433.fname-О факторах усыхания пихтовых лесов в горах Южной Сибири - Бажина-2010.pdf

О факторах усыхания пихтовых лесов в горах Южной Сиюири - Бажина-2010.pdf

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Virus Removal Tool идентифицировал его как Trojan-Ransom.Win32.Generic и удалил 2 файла crypt.exe.

+ архив с карантином заархивируйте с паролем virus, выложите архив на dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения
Ссылка на комментарий
Поделиться на другие сайты
Екатерина Короткова Новичок

Екатерина Короткова

Опубликовано
  • Автор
Опубликовано (изменено)

 

Virus Removal Tool идентифицировал его как Trojan-Ransom.Win32.Generic и удалил 2 файла crypt.exe.

+ архив с карантином заархивируйте с паролем virus, выложите архив на dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения

 

отправила

 

Логи

CollectionLog-2018.01.06-20.23.zip

Изменено пользователем Екатерина Короткова
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Пароль от RDP смените.

 

С расшифровкой помочь не сможем. Будет только зачистка следов мусора.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2018-01-06 13:12 - 2018-01-06 13:12 - 000000100 _____ C:\Users\README.txt
2018-01-06 13:12 - 2018-01-06 13:12 - 000000100 _____ C:\README.txt
2018-01-06 13:11 - 2018-01-06 13:13 - 000000100 _____ C:\Users\thinkpad\Desktop\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\Downloads\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\Documents\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\Roaming\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\README.txt
2018-01-06 13:11 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\LocalLow\README.txt
2018-01-06 13:10 - 2018-01-06 13:11 - 000000100 _____ C:\Users\thinkpad\AppData\Local\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\thinkpad\AppData\Local\Apps\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\Public\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\Public\Downloads\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\Downloads\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\Documents\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\Desktop\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\AppData\Roaming\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\AppData\README.txt
2018-01-06 13:10 - 2018-01-06 13:10 - 000000100 _____ C:\Users\katya\AppData\LocalLow\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\Users\Все пользователи\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\Users\Public\Documents\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\Users\Public\Desktop\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\ProgramData\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2018-01-06 13:08 - 2018-01-06 13:12 - 000000100 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\Downloads\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\Documents\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\Desktop\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\AppData\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default\AppData\Local\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\Downloads\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\Documents\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\Desktop\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\AppData\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Users\Default User\AppData\Local\README.txt
2018-01-06 13:08 - 2018-01-06 13:08 - 000000100 _____ C:\Program Files (x86)\README.txt
2018-01-06 13:07 - 2018-01-06 13:07 - 000000100 _____ C:\Program Files\README.txt
2018-01-06 13:05 - 2018-01-06 13:05 - 000000100 _____ C:\Program Files\Common Files\README.txt
2018-01-06 01:50 - 2018-01-03 22:38 - 000293520 _____ C:\Users\thinkpad\Documents\crypt.exe
2017-12-21 23:03 - 2018-01-06 13:08 - 000000000 ____D C:\Users\Все пользователи\system86
2017-12-21 23:03 - 2018-01-06 13:08 - 000000000 ____D C:\ProgramData\system86
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Zafod
      HEUR:Trojan-Ransom.Win32.Generic
      От Zafod
      Произошло шифрование файлом Locker.exe из под учётной записи администратора домена admin$ (создан вирусом). Время когда учётка админа (admin$) была создана удалено из логов (из логов пропали сутки). На сервере установлен Kaspersky Endpoint Security под управлением KSC, вирус был обнаружен, скопирован в карантин, удалён, но данные всё равно зашифрованы. Машина с KSC так же зашифрована и не стартует.
      1.zip
    • Ivy_Sekoru
      Trojan
      От Ivy_Sekoru
      После включения ноутбука начала появляться сообщения от касперски по поводу обнаружения HEUR:Trojan.Multi.GenBadur.genw
      Выполняла лечение с перезагрузкой но после этого снова появляется тоже самое сообщение
    • Anton S
      Шифровальщик HEUR:Trojan-Ransom.Win32.Generic
      От Anton S
      Добрый день.
      С 4:00 22.07.24 зашифровало все данные на ПК и ещё несколько по сети. Злоумышленник после оплаты пропал... Хотя и прислал "PHOBOS decryption tool", но без ключей, видимо попался мошенник. Удалось запустить Касперского нашёл "HEUR:Trojan-Ransom.Win32.Generic" в нескольких местах. 
      x-decrypt@worker.com.rar FRST.txt Addition.txt
    • bakanov
      HEUR:Trojan-Ransom.Win32.Mimic.gen
      От bakanov
      Добрый день , поймали шифровальщик HEUR:Trojan-Ransom.Win32.Mimic.gen. Залез судя по всему через RDP , отсканировал домен, получил доступы к администратору домена domain\administrator и начал все шифровать куда есть доступы админа. Машину вырубили, загрузился с livecd , нашел хвосты , временные файлы и т.д. Есть варианты файлов до шифровки и после шифровки , есть ли возможность найти ключик для дешифровки для конкретно это машины ?
    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
×
×
  • Создать...