Перейти к содержанию
Важная информация для бета-тестеров

Файлы зашифрованы. Расширение crypted000007

Александр Семенов

От Александр Семенов
в Помощь в борьбе с шифровальщиками-вымогателями

 Share

Рекомендуемые сообщения

Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

Доброго времени суток! Поймали вирус, он зашифровал все данные. Злоумышленники согласились расшифровать 1 файл, прикладываю его и зашифрованный.

 

Сообщение от модератора Mark D. Pearlstone
Темы объединены

CollectionLog-2018.04.23-17.52.zip

Новая папка.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 




begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 QuarantineFile('C:\Windows\winstart.bat','');

 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');

 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\ml.py','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\vofer\ml.py','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ForceUpdateVOF','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SafeWeb','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\vofer','command');

 DeleteFile('C:\Windows\winstart.bat','32');

ExecuteSysClean;

RebootWindows(true);

end.


 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 




begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.


 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Пофиксите следующие строчки в HiJackThis (Используйте версию из папки Автологгера).

 




O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ForceUpdateVOF.lnk [backup] => C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\ml.py" --APPNAME="ForceUpdateVOF" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^SafeWeb.lnk [backup] => C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py" --APPNAME="SafeWeb" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^VOF.lnk [backup] => C:\Users\Кадры\AppData\Roaming\VOF\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\VOF\ml.py" --APPNAME="VOF" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^vofer.lnk [backup] => C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\vofer\ml.py" --APPNAME="vofer" (2017/01/17) (file missing)

O4 - MSConfig\startupreg: Client Server Runtime Subsystem [command] = C:\ProgramData\Windows\csrss.exe (HKCU) (2018/04/18)

O4 - MSConfig\startupreg: SafeWeb [command] = C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py" --APPNAME="SafeWeb" (file missing) (HKCU) (2017/01/17)

O4 - MSConfig\startupreg: vofer [command] = C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\vofer\ml.py" --APPNAME="vofer" (file missing) (HKCU) (2017/01/17)


 

Сделайте новые логи Автологгером. 

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Все сделал как Вы сказали, файлы выше

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 


  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.


  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

GroupPolicy: Restriction ? <==== ATTENTION

GroupPolicy\User: Restriction ? <==== ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION

2018-04-18 12:50 - 2018-04-18 12:50 - 006220854 _____ C:\Users\Кадры\AppData\Roaming\89C50EDA89C50EDA.bmp

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README9.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README8.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README7.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README6.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README5.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README4.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README3.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README2.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README10.txt

2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\Users\Все пользователи\Windows

2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\ProgramData\Windows

2017-08-21 13:47 - 2017-08-11 18:20 - 001314008 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\3de4-eab5-dfcf-9c25.exe

2017-08-21 07:47 - 2017-08-21 07:47 - 001022208 _____ () C:\Users\Кадры\AppData\Local\Temp\7ff2-5d4c-479b-7009.exe

2017-05-23 07:54 - 2018-01-16 12:00 - 055341560 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\amigo_setup.exe

2017-07-07 07:40 - 2017-07-03 18:44 - 004087000 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\mrutmp.exe

Task: {5D4FC271-6B74-4F92-9B22-1281E1873215} - \{2BC76388-5E62-B44A-D41B-478D8AA64DC3} -> No File <==== ATTENTION

Task: {6A840B66-4716-492E-84B3-CEF8E8511B98} - \{0D040547-7909-0B7A-0D11-0A050D091108} -> No File <==== ATTENTION

zip:C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! На рабочем столе будет создан архив Дата_время.zip, прикрепите его к сообщению.

 

 

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
2018-04-18 12:50 - 2018-04-18 12:50 - 006220854 _____ C:\Users\Кадры\AppData\Roaming\89C50EDA89C50EDA.bmp
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README9.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README8.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README7.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README6.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README5.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README4.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README3.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README2.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README10.txt
2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\Users\Все пользователи\Windows
2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\ProgramData\Windows
2017-08-21 13:47 - 2017-08-11 18:20 - 001314008 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\3de4-eab5-dfcf-9c25.exe
2017-08-21 07:47 - 2017-08-21 07:47 - 001022208 _____ () C:\Users\Кадры\AppData\Local\Temp\7ff2-5d4c-479b-7009.exe
2017-05-23 07:54 - 2018-01-16 12:00 - 055341560 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\amigo_setup.exe
2017-07-07 07:40 - 2017-07-03 18:44 - 004087000 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\mrutmp.exe
Task: {5D4FC271-6B74-4F92-9B22-1281E1873215} - \{2BC76388-5E62-B44A-D41B-478D8AA64DC3} -> No File <==== ATTENTION
Task: {6A840B66-4716-492E-84B3-CEF8E8511B98} - \{0D040547-7909-0B7A-0D11-0A050D091108} -> No File <==== ATTENTION
zip:C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! На рабочем столе будет создан архив Дата_время.zip, прикрепите его к сообщению.

 

Размер архива 14 Мб, здесь не получилось прикрепить, я отправил Вам на почту mike1@avp.su  с темой письма С форума Касперского

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

?

 

 

 

Зашифрованы все файлы.

На момент заражения KAV2017 был включен? Включен ли был компонент Мониторинг активности?

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

 

 

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

?

 

 

 

Зашифрованы все файлы.

На момент заражения KAV2017 был включен? Включен ли был компонент Мониторинг активности?

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму. Касперский был включен, мониторинг думаю тоже

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму.

Создайте запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525. Дополнительно к запросу приложите содержимое папки C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist (упакуйте в архив содержимое папки), укажите точное или приблизительное время шифрования файлов. Приложите к запросу архив quarantine.zip из папки AVZ. В запросе укажите ссылку на данную тему. Процитируйте ответ техподдержки. 

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано (изменено)

 

 

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму.

Создайте запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525. Дополнительно к запросу приложите содержимое папки C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist (упакуйте в архив содержимое папки), укажите точное или приблизительное время шифрования файлов. Приложите к запросу архив quarantine.zip из папки AVZ. В запросе укажите ссылку на данную тему. Процитируйте ответ техподдержки. 

 

они спрашивают пароль на архив quarantine. Пришлите его, пожалуйста, на почту [скрыто]

Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Андрюс
      Файлы зашифрованы с расширением vTEyZg5DZ
      От Андрюс
      Получили по почте письмо, открыли его и сразу произошла шифровка всех документов. Прилагаем требуемые файлы
      x1.rar
      Скажите возможно ли расшифровать?
    • DennisKo
      Зашифровали файлы расширение ANDRE
      От DennisKo
      Помогите в расшифровке. Файлы kl_to_1C.txt это оригинал файла, а kl_to_1C_crypt.txt ' это зашифрованный файл. andre 
      может поможет в понимании как зашифровали. 

      Addition.txt Andrews_Help.txt FRST.txt kl_to_1c.txt kl_to_1c_crypt.txt
    • vogd
      Зашифрованы файлы, расширение HeeMY17Ky
      От vogd
      Добрый день. Все файлы сервера зашифрованы с расширением HeeMY17Ky
      HeeMY17Ky.README.txt FRST.txt Addition.txt Примеры файлов.zip
    • Иван Иванович Ивановский
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Иван Иванович Ивановский
      сегодня утром зашифровал все файлы
      часть данных у меня были на флешке, есть исходные, не зашифрованные файлы - положил их тоже в архив
      что это за тип шифровальщика, возможна ли расшифровка?
      и с компом чего теперь делать, возможно ли очистить и работать дальше или лучше все отформатировать и переустановить ?
       
      архив и логи FRST прилагаю
      Архив.7z Addition.txt FRST.txt
    • Александр Щепочкин
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      От Александр Щепочкин
      Добрый день, зашифровали данные ,никто ничего не скачивал и по ссылкам не переходил, работают на удаленном рабочем столе, переносят только файлы ворд или экселя. Кидаю пример файла и текст с выкупом
      Ведомость выроботки по объекту Радиальная (белорусы) общее.xlsx.rar 6iENBa2rG.README.txt
×
×
  • Создать...