.crypted вирус, Зашифровал все куда руки дотянулись

[makdmin]

Каким то образом на компьютер попал этот неизветный вирус и поразил все куда у него дотянулись руки. Весь компьютер и все куда был доступ по сети.

Резервные копии спасли сетевые папки. Люди Делайте резервные Копии!

А вот сам комп не в какую не поддается расшифровке. Перепробывал от Касперского CoinVaultDecryptor, rakhnidecryptor, rannohdecryptor, rectordecryptor, ScatterDecryptor, ScraperDecryptor, shadedecryptor, WildfireDecryptor, xoristdecryptor, результата никакого.

Все что было на компьютере включая jpg. doc, xls, exe txt и т.п., прописалось окончание .crypted

Перед проверкой Kaspersky Virus Removal Tool 2015 и Dr.Web CureIt!, провел испытания. Установил флешку с данными и отправил в перезагрузку, после перезагрузки данные на флешки шифровались в режиме реального времени. Так я  нашел его через диспетчер задач сам процесс, назывался он как IntelTheasurusService.exe и находился по пути C:\Users\user\AppData\Roaming\IntelTheasurusService.exe

Буду рад кто чем сможет помочь в расшифровке данных.

CollectionLog-2018.03.28-09.27.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[makdmin]

Проделал необходимые операции

Архив во вложении

Addition & FRST.rar

Изменено 29 марта, 2018 пользователем makdmin

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
AutoConfigURL: [HKLM] => hxxps://larevante.com/yM8L3t2/JUyA1.eup
ManualProxies: 0hxxps://larevante.com/yM8L3t2/JUyA1.eup
CHR HKLM\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gojnmemgacliifihcagijaadgpeioooa] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2638093686-222881537-2617412787-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-2638093686-222881537-2617412787-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\Public\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\Public\Downloads\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\Public\Documents\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\Public\Desktop\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\dir\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\dir\Downloads\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\dir\Documents\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\dir\Desktop\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\dir\AppData\Local\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Users\Default\how_to_back_files.html
2018-03-25 04:58 - 2018-03-25 04:58 - 000005475 _____ C:\Program Files\how_to_back_files.html
2018-03-25 04:54 - 2018-03-25 04:54 - 000005475 _____ C:\Users\user\AppData\Local\how_to_back_files.html
2018-03-25 04:49 - 2018-03-25 04:49 - 000005475 _____ C:\Users\user\AppData\Roaming\how_to_back_files.html
2018-03-25 01:08 - 2018-03-25 01:08 - 000005475 _____ C:\Users\user\Desktop\how_to_back_files.html
2018-03-25 00:35 - 2018-03-25 00:35 - 000005475 _____ C:\Users\user\Documents\how_to_back_files.html
2018-03-25 00:33 - 2018-03-25 00:33 - 000005475 _____ C:\Users\user\Downloads\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\Администратор\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\Администратор\Downloads\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\Администратор\Documents\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\Администратор\Desktop\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\Администратор\AppData\Local\how_to_back_files.html
2018-03-25 00:28 - 2018-03-25 00:28 - 000005475 _____ C:\Users\user\how_to_back_files.html
2018-03-25 00:19 - 2018-03-25 00:19 - 000005475 _____ C:\Users\Все пользователи\how_to_back_files.html
2018-03-25 00:19 - 2018-03-25 00:19 - 000005475 _____ C:\Users\how_to_back_files.html
2018-03-25 00:19 - 2018-03-25 00:19 - 000005475 _____ C:\ProgramData\how_to_back_files.html
Task: {0B81BC7D-A349-4BE4-91A1-1D3CA20074B9} - System32\Tasks\Digital Sites => C:\Users\user\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: {2BD05BA6-988D-4BD3-A9CD-9A39F80AF524} - \Microsoft\Windows\MemoryDiagnostic\CorruptionDetector -> No File <==== ATTENTION
Task: {2F33EE15-D7DB-455B-B0A5-ACC4DA91C48B} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {5B184694-64C3-4633-94C5-945B3FA561D6} - \Microsoft\Windows\WindowsBackup\ConfigNotification -> No File <==== ATTENTION
Task: {9F54B95F-5096-4803-AE61-E9B3AC5B616D} - \Microsoft\Windows\MemoryDiagnostic\DecompressionFailureDetector -> No File <==== ATTENTION
Task: {D21F6024-191F-4454-BBBC-09A650DA2549} - \Microsoft\Windows\Application Experience\AitAgent -> No File <==== ATTENTION
Task: {DE339851-DC5A-4039-8E6E-C6C3BDB459EA} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: C:\Windows\Tasks\Digital Sites.job => C:\Users\user\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[makdmin]

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  Готово во вложении.

Fixlog.txt

[thyrex]

Больше помочь нечем.

 

Просьба: прикрепите файл C:\how_to_back_files.html к следующему сообщению

[makdmin]

файл C:\how_to_back_files.html во вложении...

how_to_back_files.rar

Изменено 2 апреля, 2018 пользователем makdmin

[bourne333]

Добрый вечер,

аналогичная проблема.

Выслал вымогателю пару файлов и они прислали расшифрованные.

Требуют кучу денег

Есть ли надежда на расшифровку самостоятельную ?

Спасибо

Изменено 7 апреля, 2018 пользователем bourne333

[thyrex]

Никакой

[bourne333]

Понял,

а есть название вируса, ето что-то новое?

И может подскажите чем каким алгоритмом шифрует?

Есть три файла например , оригинальный, зашифрованый на одном диске и на другом. Оба зашифрованых отличаются, что печально.

Также вирус судя по всему убивает первые 5 мб через каждые 8кб.

[thyrex]

GlobeImposter2

[bourne333]

Может ли как то помочь с поиском ключа наличие полностью нулевых зашифрованых блоков ?

Тоесть возможно ли восстановить ключь с нулевых зашифрованых блоков.

Думаю маловероятно но все же.

Спасибо за помощь

[thyrex]

Нет, не может