Перейти к содержанию
Конкурс по разработке Telegram-бота Kaspersky Club

Файлы зашифрованы. Расширение crypted000007

Александр Семенов

Автор Александр Семенов
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

Доброго времени суток! Поймали вирус, он зашифровал все данные. Злоумышленники согласились расшифровать 1 файл, прикладываю его и зашифрованный.

 

Сообщение от модератора Mark D. Pearlstone
Темы объединены

CollectionLog-2018.04.23-17.52.zip

Новая папка.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 




begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 QuarantineFile('C:\Windows\winstart.bat','');

 QuarantineFile('C:\ProgramData\Windows\csrss.exe','');

 DeleteFile('C:\ProgramData\Windows\csrss.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Client Server Runtime Subsystem','command');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\ml.py','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe','32');

 DeleteFile('C:\Users\Кадры\AppData\Roaming\vofer\ml.py','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ForceUpdateVOF','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SafeWeb','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\vofer','command');

 DeleteFile('C:\Windows\winstart.bat','32');

ExecuteSysClean;

RebootWindows(true);

end.


 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 




begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.


 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

 

Пофиксите следующие строчки в HiJackThis (Используйте версию из папки Автологгера).

 




O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ForceUpdateVOF.lnk [backup] => C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\ForceUpdateVOF\ml.py" --APPNAME="ForceUpdateVOF" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^SafeWeb.lnk [backup] => C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py" --APPNAME="SafeWeb" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^VOF.lnk [backup] => C:\Users\Кадры\AppData\Roaming\VOF\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\VOF\ml.py" --APPNAME="VOF" (2017/01/17) (file missing)

O4 - MSConfig\startupfolder: C:^Users^Кадры^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^vofer.lnk [backup] => C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\vofer\ml.py" --APPNAME="vofer" (2017/01/17) (file missing)

O4 - MSConfig\startupreg: Client Server Runtime Subsystem [command] = C:\ProgramData\Windows\csrss.exe (HKCU) (2018/04/18)

O4 - MSConfig\startupreg: SafeWeb [command] = C:\Users\Кадры\AppData\Roaming\SafeWeb\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\SafeWeb\ml.py" --APPNAME="SafeWeb" (file missing) (HKCU) (2017/01/17)

O4 - MSConfig\startupreg: vofer [command] = C:\Users\Кадры\AppData\Roaming\vofer\python\pythonw.exe "C:\Users\Кадры\AppData\Roaming\vofer\ml.py" --APPNAME="vofer" (file missing) (HKCU) (2017/01/17)


 

Сделайте новые логи Автологгером. 

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Все сделал как Вы сказали, файлы выше

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 


  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.


  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

GroupPolicy: Restriction ? <==== ATTENTION

GroupPolicy\User: Restriction ? <==== ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION

2018-04-18 12:50 - 2018-04-18 12:50 - 006220854 _____ C:\Users\Кадры\AppData\Roaming\89C50EDA89C50EDA.bmp

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README9.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README8.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README7.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README6.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README5.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README4.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README3.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README2.txt

2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README10.txt

2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\Users\Все пользователи\Windows

2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\ProgramData\Windows

2017-08-21 13:47 - 2017-08-11 18:20 - 001314008 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\3de4-eab5-dfcf-9c25.exe

2017-08-21 07:47 - 2017-08-21 07:47 - 001022208 _____ () C:\Users\Кадры\AppData\Local\Temp\7ff2-5d4c-479b-7009.exe

2017-05-23 07:54 - 2018-01-16 12:00 - 055341560 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\amigo_setup.exe

2017-07-07 07:40 - 2017-07-03 18:44 - 004087000 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\mrutmp.exe

Task: {5D4FC271-6B74-4F92-9B22-1281E1873215} - \{2BC76388-5E62-B44A-D41B-478D8AA64DC3} -> No File <==== ATTENTION

Task: {6A840B66-4716-492E-84B3-CEF8E8511B98} - \{0D040547-7909-0B7A-0D11-0A050D091108} -> No File <==== ATTENTION

zip:C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! На рабочем столе будет создан архив Дата_время.zip, прикрепите его к сообщению.

 

 

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
2018-04-18 12:50 - 2018-04-18 12:50 - 006220854 _____ C:\Users\Кадры\AppData\Roaming\89C50EDA89C50EDA.bmp
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README9.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README8.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README7.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README6.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README5.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README4.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README3.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README2.txt
2018-04-18 12:50 - 2018-04-18 12:50 - 000004150 _____ C:\Users\Кадры\Desktop\README10.txt
2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\Users\Все пользователи\Windows
2018-04-18 10:26 - 2018-04-24 08:00 - 000000000 __SHD C:\ProgramData\Windows
2017-08-21 13:47 - 2017-08-11 18:20 - 001314008 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\3de4-eab5-dfcf-9c25.exe
2017-08-21 07:47 - 2017-08-21 07:47 - 001022208 _____ () C:\Users\Кадры\AppData\Local\Temp\7ff2-5d4c-479b-7009.exe
2017-05-23 07:54 - 2018-01-16 12:00 - 055341560 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\amigo_setup.exe
2017-07-07 07:40 - 2017-07-03 18:44 - 004087000 _____ (Mail.Ru) C:\Users\Кадры\AppData\Local\Temp\mrutmp.exe
Task: {5D4FC271-6B74-4F92-9B22-1281E1873215} - \{2BC76388-5E62-B44A-D41B-478D8AA64DC3} -> No File <==== ATTENTION
Task: {6A840B66-4716-492E-84B3-CEF8E8511B98} - \{0D040547-7909-0B7A-0D11-0A050D091108} -> No File <==== ATTENTION
zip:C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! На рабочем столе будет создан архив Дата_время.zip, прикрепите его к сообщению.

 

Размер архива 14 Мб, здесь не получилось прикрепить, я отправил Вам на почту mike1@avp.su  с темой письма С форума Касперского

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

?

 

 

 

Зашифрованы все файлы.

На момент заражения KAV2017 был включен? Включен ли был компонент Мониторинг активности?

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано

 

 

 

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

?

 

 

 

Зашифрованы все файлы.

На момент заражения KAV2017 был включен? Включен ли был компонент Мониторинг активности?

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму. Касперский был включен, мониторинг думаю тоже

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму.

Создайте запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525. Дополнительно к запросу приложите содержимое папки C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist (упакуйте в архив содержимое папки), укажите точное или приблизительное время шифрования файлов. Приложите к запросу архив quarantine.zip из папки AVZ. В запросе укажите ссылку на данную тему. Процитируйте ответ техподдержки. 

Ссылка на комментарий
Поделиться на другие сайты
Александр Семенов Новичок

Александр Семенов

Опубликовано
  • Автор
Опубликовано (изменено)

 

 

 

Файлы зашифрованы все, но они расшифровали один в качестве доказательства,что можно это сделать за н-ую сумму.

Создайте запрос на расшифровку https://forum.kasperskyclub.ru/index.php?showtopic=48525. Дополнительно к запросу приложите содержимое папки C:\ProgramData\Kaspersky Lab\AVP17.0.0\SysWHist (упакуйте в архив содержимое папки), укажите точное или приблизительное время шифрования файлов. Приложите к запросу архив quarantine.zip из папки AVZ. В запросе укажите ссылку на данную тему. Процитируйте ответ техподдержки. 

 

они спрашивают пароль на архив quarantine. Пришлите его, пожалуйста, на почту [скрыто]

Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • Андрюс
      Файлы зашифрованы с расширением vTEyZg5DZ
      Автор Андрюс
      Получили по почте письмо, открыли его и сразу произошла шифровка всех документов. Прилагаем требуемые файлы
      x1.rar
      Скажите возможно ли расшифровать?
    • robocop1974
      Зашифрованные файлы
      Автор robocop1974
      Добрый день. Если есть возможность выяснить есть ли дешифратор?
      Система была переустановлена (но имеется клон, для анализа смогу без проблем предоставить логи Farbar Recovery Scan Tool, но к сожалению позже).
      В архиве несколько зашифрованных файлов.
      *.txt, *.html файлов для выкупа не было. Но была папка с названием "DontDeleteThisFolder" в ней лежал файл "enc". Файл так же в архиве.
       
      Пробовал некоторые дешифраторы с сайта Касперского и Крипто-шерифа, но к сожалению безуспешно.
       
      Заранее спасибо за уделенное время!
       
      files.zip
    • MidgardS1
      Зашифрованы файлы
      Автор MidgardS1
      Привет! Столкнулись с таким же шифровальщиком. Подскажите, есть возможность расшифровать данные?
       
      Сообщение от модератора Mark D. Pearlstone Перенесено из темы.
    • Иван Иванович Ивановский
      Шифровальщик зашифровал файлы расширение .6iENBa2rG
      Автор Иван Иванович Ивановский
      сегодня утром зашифровал все файлы
      часть данных у меня были на флешке, есть исходные, не зашифрованные файлы - положил их тоже в архив
      что это за тип шифровальщика, возможна ли расшифровка?
      и с компом чего теперь делать, возможно ли очистить и работать дальше или лучше все отформатировать и переустановить ?
       
      архив и логи FRST прилагаю
      Архив.7z Addition.txt FRST.txt
×
×
  • Создать...