Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Обнаружил шифровальщика на компьютере

denchcom
 Поделиться

Рекомендуемые сообщения

denchcom

denchcom

Опубликовано
Опубликовано

Добрый день 29 числа обнаружил шифровальщика на компьютере. К данному компьютеру подключались 5 пользователей на нем была расширена общая папка для документов. Соответственно все файлы теперь зашифрованы. Был открыт RDP, также ломанули инсту. Поменял все пароли, закрыл РДП и пока ничего не делал т.к. уезжал.

Все сделал по вашей инструкции

 

Файлы имеют такой вид

eman@tutanota.de_7A656D616E.......

 

CollectionLog-2018.06.14-11.02.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Текстовый файл с требованием выкупа вместе с парой зашифрованных документов упакуйте в архив и прикрепите к следующему сообщению.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
Startup: E:\Users\Иван\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW DECRIPT FILES.hta [2018-05-28] ()
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Малов\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Малов\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Малов\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Николай\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Николай\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Николай\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Евфимовский\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Евфимовский\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Евфимовский\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Юра\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Юра\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Юра\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Чемерисов Д\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Чемерисов Д\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Чемерисов Д\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Лазарев\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Лазарев\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Лазарев\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Иван\Documents\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Иван\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Иван\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Иван\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\Иван\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\ \HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\ \AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:39 - 2018-05-28 22:39 - 000009046 _____ E:\Users\ \AppData\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Иван\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Иван\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Иван\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Public\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Public\Documents\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\AppData\Local\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\Default\AppData\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\ЮÑа\HOW DECRIPT FILES.hta
2018-05-28 22:38 - 2018-05-28 22:38 - 000009046 _____ E:\Users\ЮÑа\Downloads\HOW DECRIPT FILES.hta
2018-05-28 22:13 - 2018-05-28 22:13 - 000009046 _____ E:\Users\Иван\Desktop\HOW DECRIPT FILES.hta
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

denchcom

denchcom

Опубликовано
  • Автор
Опубликовано

Получается просто скопировать в буфер? или куда-то конкретно?


Сделал

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

Продолжим здесь. Упакуйте в архив и прикрепите файлы, которые не получилось расшифровать.

denchcom

denchcom

Опубликовано
  • Автор
Опубликовано

Добрый день, попробовал эксель восстановить, сам файл определился, но открывает с ошибкой. не допустимый формат файла(

thyrex

thyrex

Опубликовано
Опубликовано

Написано же

Упакуйте в архив и прикрепите файлы, которые не получилось расшифровать.

Самодеятельность чревата потерей информации

  • Согласен 1
denchcom

denchcom

Опубликовано
  • Автор
Опубликовано

очень личное чтобы выкладывать публично, Один файл тут размещаю другой в ЛС

Здесь, есть файл АКт И Счет они не открываются

Январь.rar

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Vich
      имена файлов зашифрованны something_ne@india.com_(id)
      Автор Vich
      после выходных на рабочем компьютере, который остался включенным увидел что имена файлов приобрели вид:
       
      something_ne@india.com_73657475702E696E69
       
      на рабочем столе и в каждой папке присутствует файл:
       
      HOW DECRIPT FILES.hta
       
      Прочтя соседнюю тему воспользовался утилитой FRST64.
       
      В прикрепленном addition, frst
       
      Окажите помощь, в расшифровке.....
      ransom.7z
    • vinny_b
      Шифровальщик-вымогатель биткоинов (something_ne@india.com)
      Автор vinny_b
      Товарищ на работе словил вышеуказанного зловреда.
      Просят 0,7 биткоинов: требования:
       
       
      Штатным Kaspersky Small Office был обнаружен и помещен в карантин единственный зашифрованный файл в папке "C:\Confused\folder". (архив virus.zip, пароль "virus").
      CollectionLog-2017.02.28-03.38.zip
    • xander21
      Файлы зашифрованы uncrypte@india.com
      Автор xander21
      К сожалению, не получается расшифровать. Программа пропускает файлы. Вот лог:
      41EC4F072318644D3074FF skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_6D94D9F33AF40A8098EAC9AC0A30FE57A3E0D6EB17DFFEB9DF109F303AF17858 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_8AF2E4BF1FFA56424B652F903338539EB8A6C0604C6259BCB1493EE77A493EB2 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_C21DC898EF12E9196792FA977AB7DE74 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_EEC76F7A1D7184C287D23999B88E19527E8419C66FBDFD2DCD858A145D909E26 skipped
       
      Successfully decrypted 0 files!
       
      Skipped 5 files
       

      Сообщение от модератора thyrex Выделено из темы https://forum.kasperskyclub.ru/index.php?showtopic=54305
    • elec3on
      Шифровальщик heineken@tuta.io...
      Автор elec3on
      Добрый день!
      Найден шифровальщик 
      зашифровал файлы под именем heineken@tuta.io_D0B2D0B5D0B4D0BED0BCD0BED181D182D18C2E786C73
      после @tuta.io значения разные.
      Определить Шифровальщик не получается, в связи с чем невозможно определить существует ли дешифровщик к нему.
      Нужна помощь! 
      CollectionLog-2018.06.09-10.28.zip
    • Monmak25
      Вирус-шифровальщик excaliburarthur@protonmail.com
      Автор Monmak25
      Всем доброго времени суток!
       
      Не успел я расшифровать файлы от вируса zeman@tutanota.de (естественно, с помощью специалистов этого форума), как тут же не успел защитить их от нового шифровальщика (кто-то открыл какое-то письмо).
       
      Второй email в сообщении: symbyosis@protonmail.com.
       
      Проверил KVRT - чисто.
      Запустил FRST и Autologger - собрал нужные логи.
       
      Также в корне расшаренной папки на другом компьютере среди зашифрованных файлов нашел файл формата .key, которого раньше не было. Правда, ни в какой кодировке он у меня не принял читабельный вид.
       
      Кроме этого, в приложенном архиве зашифрованный файл и readme.txt с PID.
       
       
      Прошу помощи с расшифровкой.
      406.rar
×
×
  • Создать...