Перейти к содержанию

вирус шифровальщик, помогите с дешифратором

vto
 Share Подписчики 1

Рекомендуемые сообщения

vto

vto 0

Опубликовано
Опубликовано (изменено)

Доброго дня, Коллеги

 

сегодня один из моих пользователей открыл архив из почты и зашифровал прилично файлов

 

вложение в прицепе, вирус точно там

 

если есть возможность помочь с дешифратором, большая просьба

 

b.r. vto

Изменено пользователем Sandor
Убрал подозрительный файл
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '');
 QuarantineFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-x.vbs.fairytail', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt', '32');
 DeleteFile('C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs', '32');
 DeleteFile('C:\Users\user\Desktop\Поиск в интернете.URL');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk

C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на сообщение
Поделиться на другие сайты
vto

vto 0

Опубликовано
  • Автор
Опубликовано

 

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Все выполнил

AdwCleanerS0.txt

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
vto

vto 0

Опубликовано
  • Автор
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Готово

Addition.txt

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, все предыдущее сообщение. Используйте форму быстрого ответа внизу.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-13518408-1576052608-956698421-1143\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
2018-02-05 16:12 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Рабочий стол\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Рабочий стол\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Downloads\README.txt
2018-02-05 16:12 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\Documents\README.txt
2018-02-05 16:11 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Local\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\README.txt
2018-02-05 16:11 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\LocalLow\README.txt
2018-02-05 12:42 - 2018-02-05 16:12 - 000001620 _____ C:\Users\ksenia\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:42 - 2018-02-05 16:12 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-02-05 12:42 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:41 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\README.txt
2018-02-05 12:40 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:40 - 2018-02-05 16:11 - 000000380 _____ C:\Users\ksenia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.txt
2018-02-05 12:27 - 2018-02-05 16:11 - 000001620 _____ C:\Users\ksenia\AppData\Local\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000001620 _____ C:\Users\Public\Documents\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 16:12 - 000000380 _____ C:\Users\Public\Documents\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\Users\Все пользователи\README.txt
2018-02-05 12:26 - 2018-02-05 16:07 - 000000380 _____ C:\ProgramData\README.txt
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\Users\Все пользователи\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2018-02-05 12:26 - 2018-02-05 12:26 - 000001620 _____ C:\ProgramData\email-hola@all-ransomware.info.ver-CL 1.4.1.0.id-1546727728-05.02.2018 12@24@462185199.fname-README.txt.fairytail
2017-05-23 14:23 - 2017-05-23 15:20 - 000000000 _____ () C:\Users\ksenia\AppData\Local\Temp\bbb92fa0488dac77cc.exe
2018-02-05 12:24 - 2018-02-05 12:24 - 000332288 _____ () C:\Users\ksenia\AppData\Local\Temp\Приложение 1 постановление для службы судебных приставов.exe
2017-05-23 16:41 - 2017-05-23 16:41 - 000000000 _____ () C:\Users\rinchest\AppData\Local\Temp\5046b277b95bad3ce1.exe
ask: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Прошу прощения, в оной строке потерялся символ. Еще раз:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
Task: {394BD511-B0A0-4756-A1CB-ABA94E5C7E3E} - System32\Tasks\DRPNPS => mshta.exe "hxxp://update.drp.su/nps/online/bin/tools/run.hta" "17.7.17 Online"
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

С расшифровкой помочь не сможем.

 

Пробуйте восстановить файлы средствами Windows.

Будьте внимательны, это не значит восстановить всю систему. Речь идет только о теневых копиях.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • serg12345
      Вирус pedrolloanisimka
      От serg12345
      Подхватили вирус и всё зашифровано. Есть возможность помочь в этом? 
    • sysmgv113
      Расшифровать файлы
      От sysmgv113
      Компания "МЕТА" являемся пользователями  продукта:
      Kaspersky Small Office Security Desktop International Edition: 14 Desktops; Kaspersky
      Small Office Security 7.0 File Server Protection : 1 FileServer; Kaspersky Password
      Manager: 14 Users; Kaspersky Internet Security for Android: 14 Mobile devices
       
      На экране Server 2003 (легальная копия) появилось сообщение:
      All your files have been encrypted! All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail 3441546223@qq.com Write this ID in the title of your message C4A32041 In case of no answer in 24 hours write us to theese e-mails:3441546223@qq.com You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
      И на всех дисках файлы оказались зашифрованы вирусом шифровальщиком.
      Помогите с расшифровкой, пожалуйста.
      Лог прилагаю
      https://cloud.mail.ru/public/2oFq/rHWu4dC1S
    • jlexa2008
      Шифровальщик .cryptopatronum@protonmail.com.enk
      От jlexa2008
      Здравствуйте, вирус шифровальщик зашифровал все важные файлы на компьютере (базы SQL и прочие)
       
      файлик HOW TO RECOVER ENCRYPTED FILES.txt.cryptopatronum@protonmail.com
      описание вымогателей зашифровал сам себя прочитать его невозможно
       
      во вложении файл автоматического сборщика логов ( + там же от Farbar Recovery Scan Tool  2 лог файла)
      пример зашифрованного файла в архиве (и оригинальный файл) (чат.png)

      проверка антивирусной программой (касперского) ничего не нашла (запускал на сервере, файлы на котором зашифровались, он находится в удаленном доступе)
      CollectionLog-2020.01.27-10.56.zip
    • Роман933
      Помогите расшифровать файлы .bora от вируса-шифровальщика
      От Роман933
      Здравствуйте!
      Помогите расшифровать файлы с расширением .bora от вируса-шифровальщика (Ransomware). Нигде в сети по такому расширению информации нет. Обычные дешифраторы не помогают. Windows 7 не был настроен на регулярное архивирование, поэтому прежних копий файлов не сохранилось.
      Пробовал
      Recuva
      STOPDecrypter
      Hetman_partition_recovery
      RS_file_repair и другие - ничего не помогает. Я в отчаянии.
       

      Сообщение от модератора thyrex Перенесено из Компьютерной помощи
    • doneld
      Шифровальщик .[veracrypt@foxmail.com].adobe
      От doneld
      Добрый день, поймал шифровальщик veracrypt@foxmail.com.
      Видимо пролез по rdp через пользователя без прав. В какойто момент увидел у юзера левый процесс "veracrypt@foxmail.com.exe", вроде вовремя выключил, но зашифровал добротную кучу файлов.
×
×
  • Создать...