Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Зашифрованы файлы (Trojan-Ransom.Win32.Cryptor.bsd)

forent
 Поделиться

Рекомендуемые сообщения

forent Новичок

forent

Опубликовано
Опубликовано (изменено)

Здравствуйте,

Сегодня ночью поймал вирус Trojan-Ransom.Win32.Cryptor.bsd (на Windows 7). Название определил при проверке вирусного файла на www.virustotal.com (Kaspersky). [/size]Заражение скорее всего произошло по RDP.

Вирус создал в каждой папке на всех дисках файл !!!RESTORE_FILES!!!.txt (прикрепил). И начал шифровать...

Я в это время работал по удаленному подключению, заметил торможение, запустил диспетчер задач в котором обнаружил fgggj.exe (прикрепил архив с вирусом, сохранил оригинальное название архива endddddd546666.zip). Я завершил этот процесс, затем в папке "Загрузки" обнаружил архив с вирусом. Повезло. Вирус проработал около получаса. Потерял только 3 папки с важными файлами (были зашифрованы). Шифрует добавляя в конец имени файла "CONTACTUS" (один из зашифрованных файлов прикрепил file_xls.zip).

Прошу помочь в расшифровке, если это еще возможно.

!!!RESTORE_FILES!!!.txt

file_xls.zip

Изменено пользователем Sandor
Убрал вирус
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Образцы зашифрованных документов упакуйте в архив и тоже прикрепите к следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2018-06-04 15:44 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignf134b00298491d3b
2018-06-04 15:44 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign13518d5921534b50
2018-06-04 15:05 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignb4be395686fd3ddc
2018-06-04 15:05 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsigna958c9054446cb11
2018-06-04 13:25 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignb3b519c04a3cbfee
2018-06-04 13:25 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign5b22a4cf30b82150
2018-06-01 17:28 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignc3579fa212baf098
2018-06-01 17:28 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign39d39915eccdbf53
2018-06-01 16:08 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign745e59da9ebfcc7d
2018-06-01 16:08 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign14500aa781b846a2
2018-05-25 17:33 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign606d9121e85e6656
2018-05-25 17:33 - 2018-06-07 09:49 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign16abde8355214a6e
2018-06-07 09:49 - 2018-05-04 16:35 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignd1a06978bc515f29
2018-06-07 09:49 - 2018-05-04 16:35 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign975f59740a13ccda
2018-06-07 09:49 - 2018-04-25 18:01 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignd7c89b51f0b78bb5
2018-06-07 09:49 - 2018-04-25 18:01 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign77f7864661ef0307
2018-06-07 09:49 - 2018-04-19 16:32 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign5bbbbbc2e9f7d6cd
2018-06-07 09:49 - 2018-04-19 16:32 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign52f5dfc0a1df8660
2018-06-07 09:49 - 2018-04-17 13:01 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignaa28c4f4d8d6f839
2018-06-07 09:49 - 2018-04-17 13:01 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign4dd4b517dbce9f5f
2018-06-07 09:49 - 2018-04-16 12:59 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign4aac9c9bf6ea495b
2018-06-07 09:49 - 2018-04-16 12:59 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign2d8df360508d1e1e
2018-06-07 09:49 - 2018-04-11 17:06 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignc57461cfc159bb90
2018-06-07 09:49 - 2018-04-11 17:06 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign53a48dd891d1fd6d
2018-06-07 09:49 - 2018-04-10 13:33 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign8230ceaec5ffe910
2018-06-07 09:49 - 2018-04-10 13:33 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign31fa746978952f7c
2018-06-07 09:49 - 2018-04-05 16:47 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignc47e21e6b08a10d1
2018-06-07 09:49 - 2018-04-05 16:47 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign859988fb7a9b3225
2018-06-07 09:49 - 2018-02-06 14:11 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign9eea481384ad1c96
2018-06-07 09:49 - 2018-02-06 14:11 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign35b4287178b2c763
2018-06-07 09:49 - 2017-11-05 23:48 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignf113292d57720ec7
2018-06-07 09:49 - 2017-11-05 23:48 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignee3b8299881c30ef
2018-06-07 09:49 - 2017-10-26 03:24 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignfc42882b28dd3caf
2018-06-07 09:49 - 2017-10-26 03:24 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign516370ac1b462d23
2018-06-07 09:49 - 2017-10-22 23:38 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsigneef5cfc8133c53b6
2018-06-07 09:49 - 2017-10-22 23:38 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignad22b75b9a70a4e4
2018-06-07 09:49 - 2017-10-03 15:19 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsigna71436d94e1bf5f4
2018-06-07 09:49 - 2017-10-03 15:19 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign98c24a236f68993c
2018-06-07 09:49 - 2017-09-27 18:04 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignd7b817f70f6e974a
2018-06-07 09:49 - 2017-09-27 18:04 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign761f4cc3f7ea5575
2018-06-07 09:49 - 2017-09-26 19:54 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign91a9cc3908b8d101
2018-06-07 09:49 - 2017-09-26 19:54 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign261aa9fe12e60f25
2018-06-07 09:49 - 2017-08-26 17:00 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignf19f9dce69c6bf13
2018-06-07 09:49 - 2017-08-26 17:00 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign3e3ea1fada52da94
2018-06-07 09:49 - 2017-08-19 15:10 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign84141480ab18c4c5
2018-06-07 09:49 - 2017-08-19 15:10 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign27e94716d24a00bb
2018-06-07 09:49 - 2017-08-19 12:02 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignb57f73684541c2a5
2018-06-07 09:49 - 2017-08-19 12:01 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignf218ede5f60ea71f
2018-06-07 09:49 - 2017-08-11 00:37 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsigna73c2542d8ff5bef
2018-06-07 09:49 - 2017-08-11 00:37 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign8f922e09743661da
2018-06-07 09:49 - 2017-08-11 00:34 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignef327e90fa4c1ded
2018-06-07 09:49 - 2017-08-11 00:34 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign2bb5565d98544a87
2018-06-07 09:49 - 2017-08-11 00:05 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignde5a0faabdd59218
2018-06-07 09:49 - 2017-08-11 00:05 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign65f16322dd238ef4
2018-06-07 09:49 - 2017-08-09 21:47 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign79a8ff0a79514c50
2018-06-07 09:49 - 2017-08-09 21:47 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign635c9e508d2c6b69
2018-06-07 09:49 - 2017-08-09 21:28 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign4dc97ddf2450a12a
2018-06-07 09:49 - 2017-08-09 21:23 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignacc2b0c4ae0d5ea0
2018-06-07 09:49 - 2017-08-09 21:23 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign2531f6ca3c67a11b
2018-06-07 09:49 - 2017-08-04 18:26 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsignb4f83230ee54533d
2018-06-07 09:49 - 2017-08-04 18:26 - 000000000 ____D C:\Users\SERGEY\AppData\Local\Tempzxpsign8f1ffff114c1663f
bl (HKLM\...\{2A075BB4-E976-4278-BF3F-E5C6945D84C0}) (Version: 1.0.0 - Your Company Name) Hidden
ph (HKLM\...\{185F9795-9663-4F13-9EF9-307A282ADB5A}) (Version: 1.0.0 - Your Company Name) Hidden
AlternateDataStreams: C:\Users\SERGEY:id [32]
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

 

В перечне установленных программ появятся

bl

ph

Деинсталлируйте их.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Kdademon
      Помогите в расшифровке файлов после вируса шифровальщика Trojan-Ransom.Win32.Mimic.gen
      Автор Kdademon
      02.072025 обнаружили что на 2 компа (Windows 7) попал вирус шифровальщик 
      подключились предположительно по RDP
      зашифровали все базы 1с, бэкапы, архивы, документы
      файл с обращением от вымогателей нашли
      Kaspersky Virus Removal Tool нашел вируc HEUR:Trojan-Ransom.Win32.Mimic.gen

      Подскажите порядок действий по лечению этих компов и возможна ли дешифровка?
      Как можно обезопасится от подобного?
      Поможет ли установка Kaspersky на все компьютеры сети?

      Во вложении архив с примерами зашифрованных файлов из папки php
      Файлы постарался выбрать стандартные, общеизвестные может поможет в дешифровке
      Также приложил скрин с проверкой от Kaspersky Virus Removal Tool

      php.rar
    • itman
      История про зашифрованные файлы.
      Автор itman
      Добрый день всем! Хочу поведать вам всем поучительную историю как делать НЕ НАДО!!! В апреле месяце подцепили вирус -шифровальщик! Утром пришли  пользователи, а там все зашифровано на 3 севаках и 2х локалках на которых была расшаренная какая-то папка!! печаль !!! ну а что делать?! благо сисадмин делал копию раз в месяц акрониксом всех серверов, а бухгалтер помимо всего копии на внешний hdd каждое утро и хдд этот хранил в сейфе! (рекомендую всем бухгалтерам так делать!!!) и вот утром сисадмину звонок: -ААА!! Все пропало!! Что делать???? ничего не работает!!!  Помоги!!! и проч))) ну что проснулся от и начал смотреть что все таки произошло! на каждом из серваков при запуске вот такой текст: Encrypted by trust
       Email us for recovery: Rdpdik6@gmail.com
       In case of no answer, send to this email: Rdpp771@gmail.com
      Your unqiue ID:  писать не буду.
       Почти  все файлы (кроме *.dll и тому подобных и системных зашифрованы и переименованы по формуле имя.расширение. [Rdpdik6@gmail.com].lockedfile) и в каждой папке файлик txt c вот таким содержимым:
       Email 1:
      Rdpdik6@gmail.com
      Email 2:
      Rdpp771@gmail.com
      Send messages to both emails at the same time
      So send messages to our emails, check your spam folder every few hours
      ID: эту строчку сотру на всякий случай)
      If you do not receive a response from us after 24 hours, create a valid email, for example, gmail,outlook
      Then send us a message with a new email
      Ну сисадмин начал заниматься восстановлением копии то есть пусть месячные но все же копии а базы 1с так вообще вчерашние!!!  (а это самое главное!) прежде чем все восстанавливать сделал копию того что зашифровали а мало ли)) ну и параллельно всё-таки решил он написать этим недо людям (медикам на букву П), что так и так копии есть ущерб не большой на то что пока будет восстанавливаться копия уйдет время давайте разойдемся все миром и в итоге договорились на 30 баксах. Сисадмин им перевел на их кошелек, а они его кинули ни хрена они ему не прислали!!!!
      Прошло какое-то время (месяца полтора!) и тут пользователи посмотрели что у одного там пара доков осталась в общей папке уже после того как делалась копия у другого тоже какие-то доки  у третьего вообще фото с корпоратива и подумали они что всё-таки давай заплатим этим  людям нетрадиционной ориентации) сумму которую они просят! Скинулись толпой. Вот на переговоры опять отправили сисадмина (как жаль его)! Опять шли переговоры пару дней а то и больше ну вроде нашли они компромисс с шантажистами в размере 250$ те опять прислали адрес куда переводить деньги причем второй раз без гарантий! Типа из всех гарантий попросили прислать любой зашифрованный файл не более мегабайта и они покажут что всё-таки могут расшифровать. Отправили им какой-то pdf они в ответ скрин файла только весь замазанный видно только пару слов по которым надо только больше догадываться! По итогу  Он им опять перевел общий банк:
      Получаете:
      200.0813 Tether TRC20 USDT
      На счет:
      TBgx7szAXYNSwPJz1Ama2K85kTXrCcsnG1
       
      И? что вы думаете? Эти деятели пишут:
      Sinior (это ник в телеге одного из шантажистов )
      Deposit $50
      Sinior
      I won't give you the key until you pay me $50.
      Типа вы не доплатили 50 баксов!! Вот так уважаемые читатели этого поста ни в коем случае не вздумайте им платить так как они вам все равно ничего не пришлют!!! А деньги вы потеряете!!! И ни одного файла не расшифруете там рассчитано не на то чтоб найти компромисс а на то чтоб выдурить с вас побольше денег!!!!!!!
      P.S.    Делайте резервные копии и храните их на внешних hhd  и не оставляйте их подключенными к компьютеру! Сделал копию и отключай да не удобно зато надежно!!!! Всем удачи!!!!
       
      Сообщение от модератора thyrex Перенесено из раздела по шифровальщикам
       
    • MirTa
      Троян ISTANBULTEAM зашифровал файлы
      Автор MirTa
      Здравствуйте, вчера в два этапа  10.00 и  20.00 оказались зашифрованы почти все файлы, в том числе и архиватор, поэтому не могу сложить в архив и не могу их прикрепить, подскажите, пожалуйста, как их сюда добавить
      Important_Notice.txt Addition.txt FRST.txt
    • RQST
      Помощь по шифровальщику HEUR:Trojan-Ransom.Win32.Mimic.gen
      Автор RQST
      Добрый день!

      Прошу помощи с шифровальщиком mimic / elpaco. Поражена инфраструктура офиса.

      -----------

      Сообщение шифровальщика:

      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your decryption ID is D6F1UYsBfAD8vuYRO-7qBajEYC86q4SkUIPo7z8LpE0*ELPACO-team
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us
      1) eMail - de_tech@tuta.io
      2) Telegram - @Online7_365  or https://t.me/Online7_365
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.

      -----------

      Пароль на архивы - "virus" (без кавычек)

      root.zip - Файлы из корня диска, в том числе зашифрованные (расширение зашифрованных файлов - .ELPACO-team)
      temp.zip - временные файлы вируса
      F6A3737E-E3B0-8956-8261-0121C68105F3.zip - вирус (запуск через ветку реестра run) по ссылке https://disk.yandex.ru/d/dkHtydu6GhGFEA

      ----

      frst.zip и FS01-S-2024-07-21_09-25-57_v4.15.7v.7z - отчеты
      frst.zip root.zip temp.zip FS01-S-2024-07-21_09-25-57_v4.15.7v.7z
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
×
×
  • Создать...