Перейти к содержанию
Интервью с экспертом: задай вопрос Евгению Козлову, руководителю направления подбора персонала

Шифровальщик [forestt@protonmail.com].adobe

Anonymous86
 Поделиться

Рекомендуемые сообщения

Anonymous86

Anonymous86

Опубликовано
Опубликовано (изменено)

Добрый вечер,  поймали шифровальщика который напроч зашифровал всю систему вместе с 1с , ситуация схожа с пользователем ниже.

Теперь все файлы выглядят таким образом :  1Cv8.lgf.id-5EBA90DF.[forestt@protonmail.com].adobe

 

Прошу хоть какой то помощи, очень нужно выдернуть 1С базы, заранее благодарен!

 

Сколько перерыл интернета предположения на шифровальщик "dharma cezar family"

 

CollectionLog-2018.11.23-09.06.zip

Изменено пользователем Anonymous86
SQ

SQ

Опубликовано
Опубликовано

Знакома ли Вам?

O4 - HKCU\..\StartupApproved\Run: [DriverUpdaterPro] = C:\Program Files (x86)\oTweak\DriverUpdaterPro\DriverUpdaterPro.exe /ot /as /ss (file missing) (2018/11/15)

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


 

Anonymous86

Anonymous86

Опубликовано
  • Автор
Опубликовано

Знакома ли Вам?

O4 - HKCU\..\StartupApproved\Run: [DriverUpdaterPro] = C:\Program Files (x86)\oTweak\DriverUpdaterPro\DriverUpdaterPro.exe /ot /as /ss (file missing) (2018/11/15)

 

Я не занимался этим компьютером поэтому не могу сказать что знакомо, но уже примерно понял откуда ноги растут.

 

Вот отчеты:

Addition.txt

FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Служба рабочих столов повреждена:

S3 TermService; C:\Windows\System32\svchost.exe [30208 2012-07-26] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S3 TermService; C:\Windows\SysWOW64\svchost.exe [23040 2012-07-26] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    Start::
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [C:\Users\User\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\User\AppData\Roaming\Info.hta"
HKLM-x32\...\Run: [] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
File: C:\Windows\system32\netcfg-1859656.txt
2018-11-22 16:51 - 2018-11-22 16:51 - 000000167 _____ C:\Windows\system32\netcfg-1859656.txt
2018-11-14 09:28 - 2018-11-15 11:31 - 000000220 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
2018-11-09 15:37 - 2018-11-09 15:37 - 000001095 _____ C:\Windows\system32\netcfg-23290840.txt
2018-11-09 15:37 - 2018-11-09 15:37 - 000000117 _____ C:\Windows\system32\netcfg-23301962.txt
2018-11-09 15:37 - 2018-11-09 15:37 - 000000117 _____ C:\Windows\system32\netcfg-23298811.txt
2018-11-09 15:37 - 2018-11-09 15:37 - 000000117 _____ C:\Windows\system32\netcfg-23268594.txt
2018-11-09 15:37 - 2018-11-09 15:37 - 000000117 _____ C:\Windows\system32\netcfg-23266020.txt
2018-11-09 15:35 - 2018-11-09 15:37 - 000001095 _____ C:\Windows\system32\netcfg-23196022.txt
2018-11-09 15:35 - 2018-11-09 15:35 - 000000156 _____ C:\Windows\system32\netcfg-23171234.txt
2018-11-09 15:35 - 2018-11-09 15:35 - 000000156 _____ C:\Windows\system32\netcfg-23156710.txt
2018-11-08 09:18 - 2018-11-08 09:18 - 000000117 _____ C:\Windows\system32\netcfg-394120.txt
2018-11-08 09:18 - 2018-11-08 09:18 - 000000117 _____ C:\Windows\system32\netcfg-393231.txt
2018-10-12 13:36 - 2018-10-12 13:36 - 000000117 _____ C:\Windows\system32\netcfg-15985328.txt
2018-10-12 13:36 - 2018-10-12 13:36 - 000000117 _____ C:\Windows\system32\netcfg-15983987.txt
2018-10-12 13:31 - 2018-10-12 13:31 - 000000117 _____ C:\Windows\system32\netcfg-15693840.txt
2018-10-12 13:31 - 2018-10-12 13:31 - 000000117 _____ C:\Windows\system32\netcfg-15693263.txt
2018-10-08 09:47 - 2018-10-08 09:47 - 000000117 _____ C:\Windows\system32\netcfg-1456238.txt
2018-10-08 09:47 - 2018-10-08 09:47 - 000000117 _____ C:\Windows\system32\netcfg-1452774.txt
2018-09-26 10:57 - 2018-09-26 10:57 - 000000117 _____ C:\Windows\system32\netcfg-10128848.txt
2018-09-26 10:57 - 2018-09-26 10:57 - 000000117 _____ C:\Windows\system32\netcfg-10128708.txt
2018-09-24 09:25 - 2018-09-24 09:25 - 000000117 _____ C:\Windows\system32\netcfg-1463616.txt
2018-09-24 09:25 - 2018-09-24 09:25 - 000000117 _____ C:\Windows\system32\netcfg-1461136.txt
2018-09-07 16:42 - 2018-09-07 16:42 - 000000117 _____ C:\Windows\system32\netcfg-31141808.txt
2018-09-07 16:42 - 2018-09-07 16:42 - 000000117 _____ C:\Windows\system32\netcfg-31141356.txt
2018-08-27 08:56 - 2018-08-27 08:56 - 000000117 _____ C:\Windows\system32\netcfg-164788411.txt
2018-08-27 08:56 - 2018-08-27 08:56 - 000000117 _____ C:\Windows\system32\netcfg-164788333.txt
2018-08-27 08:56 - 2018-08-27 08:56 - 000000117 _____ C:\Windows\system32\netcfg-164785041.txt
2018-08-27 08:56 - 2018-08-27 08:56 - 000000117 _____ C:\Windows\system32\netcfg-164783934.txt
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{19170A69-A883-40D5-AF97-F6DC41495F15}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{2D6BD2F0-5F84-4a06-924F-AEE0598B6272}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{33A431BB-FF15-4047-8FEC-F82FD3523A00}\localserver32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDisk.exe -autoplay => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{63D48440-63AB-44D0-B323-4731DFCDE9E9}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{97836AB9-12C5-4C30-A128-B75196DD1787}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{AF8D197E-7022-4c3d-BD88-68AD35C9C169}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{CD207EA4-DC2F-55B7-A06A-F6F4D087406A}\InprocServer32 -> C:\Users\User\AppData\Roaming\Rostelecom\IFCPlugin\3.0.0.0\x64\IFCPlugin.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{D12F1670-FD69-4BBA-9ED5-4FA5502236B1}\InprocServer32 -> C:\Users\User\AppData\Local\SkbKontur\DiagPlugin\3.0.10.79\kdaxapi64.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll => No File
CustomCLSID: HKU\S-1-5-21-2771997220-1861017182-3537047526-1001_Classes\CLSID\{FB2FE984-05F5-4512-9D9B-69D3DE61F6D9}\InprocServer32 -> C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll => No File
ShellIconOverlayIdentifiers: [    YndCase0Sync] -> {63D48440-63AB-44D0-B323-4731DFCDE9E9} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
ShellIconOverlayIdentifiers: [    YndCase1Modified] -> {7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
ShellIconOverlayIdentifiers: [    YndCase2Error] -> {FB2FE984-05F5-4512-9D9B-69D3DE61F6D9} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
ShellIconOverlayIdentifiers: [    YndCase3Shared] -> {AF8D197E-7022-4c3d-BD88-68AD35C9C169} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
ShellIconOverlayIdentifiers: [ SkyDrivePro1 (ErrorConflict)] -> {8BA85C75-763B-4103-94EB-9470F12FE0F7} => C:\PROGRA~1\MICROS~1\Office16\GROOVEEX.DLL -> No File
ShellIconOverlayIdentifiers: [ SkyDrivePro2 (SyncInProgress)] -> {CD55129A-B1A1-438E-A425-CEBC7DC684EE} => C:\PROGRA~1\MICROS~1\Office16\GROOVEEX.DLL -> No File
ShellIconOverlayIdentifiers: [ SkyDrivePro3 (InSync)] -> {E768CD3B-BDDC-436D-9C13-E1B39CA257B1} => C:\PROGRA~1\MICROS~1\Office16\GROOVEEX.DLL -> No File
ContextMenuHandlers1-x32: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} => C:\Program Files (x86)\7-Zip\7-zip.dll -> No File
ContextMenuHandlers4-x32: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} => C:\Program Files (x86)\7-Zip\7-zip.dll -> No File
ContextMenuHandlers4-x32: [IobitStartMenu] -> {AF8FA9C9-9907-463e-BDC3-4CC1200D6310} => C:\Program Files (x86)\IObit\Classic Start\IObitStartMenuExtension.dll -> No File
ContextMenuHandlers6-x32: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} => C:\Program Files (x86)\7-Zip\7-zip.dll -> No File
ContextMenuHandlers6-x32: [IobitStartMenu] -> {AF8FA9C9-9907-463e-BDC3-4CC1200D6310} => C:\Program Files (x86)\IObit\Classic Start\IObitStartMenuExtension.dll -> No File
ContextMenuHandlers1_S-1-5-21-2771997220-1861017182-3537047526-1001: [Yandex.Disk] -> {97836AB9-12C5-4C30-A128-B75196DD1787} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll -> No File
ContextMenuHandlers4_S-1-5-21-2771997220-1861017182-3537047526-1001: [Yandex.Disk] -> {97836AB9-12C5-4C30-A128-B75196DD1787} => C:\Users\User\AppData\Roaming\Yandex\YandexDisk\YandexDiskShellExt-4724.dll -> No File
HKLM\...\StartupApproved\Run: => "C:\Users\User\AppData\Roaming\Info.hta"
HKLM\...\StartupApproved\Run: => "C:\Windows\System32\Info.hta"
HKU\S-1-5-21-2771997220-1861017182-3537047526-1001\...\StartupApproved\Run: => "DriverUpdaterPro"
Reboot:
End::
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.



 

Anonymous86

Anonymous86

Опубликовано
  • Автор
Опубликовано

Добрый день.

 

Вот лог:


Когда сканировал антивирусом, он нашел мне Info.hta с вирусом, вот тело его в тексте если чем то поможет:


Когда сканировал антивирусом, он нашел мне Info.hta с вирусом, вот тело его в тексте если чем то поможет:

 

 

 

Лог:

<!DOCTYPE HTML PUBLIC '-//W3C//DTD HTML 4.01//EN' 'http://www.w3.org/TR/html4/strict.dtd'>
<html>
  <head>
    <meta charset='windows-1251'>
    <title>forestt@protonmail.com</title>

    <HTA:APPLICATION
      ICON='msiexec.exe'
      SINGLEINSTANCE='yes'
      SysMenu="no">

    <script language='JScript'>
      window.moveTo(50, 50);
      window.resizeTo(screen.width - 100, screen.height - 100);
    </script>

    <style type='text/css'>

      body {
        font: 15px Tahoma, sans-serif;
        margin: 10px;
        line-height: 25px;
        background: #EDEDED;
      }

      .bold {
        font-weight: bold;
      }

      .mark {
        background: #D0D0E8;
        padding: 2px 5px;
      }

      img {
        display:block;
        margin:auto;
      }
      .header {
        text-align: center;
        font-size: 30px;
        line-height: 50px;
        font-weight: bold;
        margin-bottom:20px;
      }

      
      .info {
        background: #D0D0E8;
        border-left: 10px solid #00008B;
      }
      .alert {
        background: #FFE4E4;
        border-left: 10px solid #FF0000;
      }
      .private {
        border: 1px dashed #000;
        background: #FFFFEF;
      }

      .note {
        height: auto;
        padding-bottom: 1px;
        margin: 15px 0;
      }
      .note .title {
        font-weight: bold;
        text-indent: 10px;
        height: 30px;
        line-height: 30px;
        padding-top: 10px;
      }
      .note .mark {
        background: #A2A2B5;
      }
      .note ul {
        margin-top: 0;
      }
      .note pre {
        margin-left: 15px;
        line-height: 13px;
        font-size: 13px;
      }

    </style>
  </head>

  <body>
      <img src='data:image/png;base64,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'>
    <div class='header'>
        <div>All your files have been encrypted!</div>
    </div>
    <div class='bold'>All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail <span class='mark'>forestt@protonmail.com</span></div>     <div class='bold'>Write this ID in the title of your message <span class='mark'>5EBA90DF</span></div>
     <div class='bold'>In case of no answer in 24 hours write us to theese e-mails:<span class='mark'>forest@airmail.cc</span></div>

    <div>
        You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
    </div>
    
    <div class='note info'>
      <div class='title'>Free decryption as guarantee</div>
        <ul>Before paying you can send us up to 1 file for free decryption. The total size of files must be less than 1Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)        </ul>
    </div>

    <div class='note info'>
      <div class='title'>How to obtain Bitcoins</div>
      <ul>
        The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
          <br><a href='https://localbitcoins.com/buy_bitcoins'>https://localbitcoins.com/buy_bitcoins</a>
          <br> Also you can find other places to buy Bitcoins and beginners guide here:
          <br><a href='http://www.coindesk.com/information/how-can-i-buy-bitcoins/'>http://www.coindesk.com/information/how-can-i-buy-bitcoins/</a>
      </ul>
    </div>

    <div class='note alert'>
      <div class='title'>Attention!</div>
      <ul>
        <li>Do not rename encrypted files.</li>
        <li>Do not try to decrypt your data using third party software, it may cause permanent data loss.</li>
        <li>Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.</li>
      </ul>
    </div>
  </body>
</html>

 

 

Сообщение от модератора Mark D. Pearlstone
Не копируйте текст лога в сообщение. Добавлен спойлер.

Fixlog.txt

SQ

SQ

Опубликовано
Опубликовано

Пробуйте выполнить следующие инструкции: https://forum.kasperskyclub.ru/index.php?showtopic=48525

P.S. карантин утилиты FRST (C:\FRST) не удаляйте пока не решите вопроc с расшифровкой, так как возможно антивирусным вендорам потребуется какие-то данные от туда.

Anonymous86

Anonymous86

Опубликовано
  • Автор
Опубликовано

Выполнил, спасибо за помощь, если будут идею на мой счет, с радостью с вами еще поработаю!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • mihailster
      Шифровальщик [heriberto_lazcano@aol.com].adobe
      Автор mihailster
      Коллеги, ситуация стандартная, все зашифровалось в  формат ADOBE, в конце фай дописано [heriberto_lazcano@aol.com].adobe.
      Возможно уже есть какое то решение? 
       
      Прикрепил архив, с самим шифровальщиков, зашифрован файл, файл с требованиями.
       
      Эти файлы были найдены в %AppData% конкретного пользователя которого походу ломанули, также эти файлы были и в C:\Windows\System32
      realtec.exe   -  сам шифровальщик
      Info.hta - этот файл можно открыть блокнотом в котором требования.
       
      В архиве файлы с именами realtec.exe1 и Info.hta1  -  это сделал для того чтобы при старте сервера эти файлы повторно не запускались,
      в реестре есть ссылка на эти файлы, потом в автозагрузке тоже была ссылка на открытие этих файлов при загрузке винды.
       

      Строгое предупреждение от модератора thyrex Не нужно прикреплять вредоносы к сообщению
    • TheLoveS
      Помогите пожалуйста расшифровать файлы от .id-148318A8.[veracrypt@foxmail.com].adobe
      Автор TheLoveS
      Доброе время. В апреле подхватил вирус и он зашифровал почти все файлы, нужные и не нужные.
      Сам шифровальщик удален.
      А вот если ставлю программу какую либо, то на экране появляется ярлык в виде белого значка.
      Автологгером собрал логи и прикрепил.
      Очень надеюсь на Вашу помощь. 
      ---------------------------------------------
      PS: Перепробовал все ваши утилиты для расшифровки и не одна не подошла.
    • monochrome
      удалить вирус .adobe dharma
      Автор monochrome
      взломан brute через rdp . Необходимо удалить вирус его последствия из системы для ее дальнейшей работы
      CollectionLog-2019.02.19-16.01.zip
    • Primlux
      .[veracrypt@foxmail.com].adobe
      Автор Primlux
      Зашифровали данные. Антивируса кроме как windows defender ничего не стояло. Можно ли расшифровать данные?
      CollectionLog-2019.02.11-13.56.zip
    • VooDoo0099
      Поймали шифровальщик id-AA049E72.[ovthafeja1987@aol.com].adobe
      Автор VooDoo0099
      Доброго времени суток. 
      Поймали шифровальщика. 

      Файлы стали с расширением id-AA049E72.[ovthafeja1987@aol.com].adobe
       
      Зашифрованы все файлы. 
       
      Отсканировали программой FRST64, логи прикрепляются, антивирус лицензионный, корпоративный, на 2 года.
      FRST.txt
      Addition.txt
×
×
  • Создать...