0kilobyte Как расшифровать файлы *.

[klm792]

Сегодня утром увидел, что в облачном накопителе все файлы стали отображаться с расширением *.crypt и имеют подобный вид: 9905_01873.jpg.[iyieg9eB@secmail.pro].CRYPT Причём и картинки и видео и воровские документы. Есть ли какое-либо лечение? Можно ли вернуть файлы обратно?

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

[klm792]

Сегодня утром, обнаружил что все файлы в облаке (графические, текстовые, офисные) имеют расширение *.crypt Прошу помощи подсказать способ  дешифрирования обратно всех файлов. Сейчас они имеют вот такой формат: 9905_01873.jpg.[iyieg9eB@secmail.pro].CRYPT 

 

Как написано в инструкции, провёл проверку ПК программой Kaspersky Virus Removal Tool 2015 Программа, вредоносного кода, не нашла!

 

Так же в приложении лог от сборщика логов в приложении

 

Сообщение от модератора Mark D. Pearlstone

Темы объединены.

CollectionLog-2018.12.10-15.47.zip

[mike 1]

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[klm792]

 

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

Сделал, всё как описано выше. Прикладываю файлы к письму

FRST.txt

Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CloseProcesses:

CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION

BHO: HP Network Check Helper -> {E76FD755-C1BA-4DCB-9F13-99BD91223ADE} -> No File

Toolbar: HKU\S-1-5-21-1405093162-2308607558-2947513643-1002 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File

Toolbar: HKU\S-1-5-21-1405093162-2308607558-2947513643-1002 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File

2014-12-16 12:19 - 2014-12-16 12:19 - 000000111 _____ () C:\Program Files (x86)\ps.bat

2014-12-16 12:19 - 2014-12-16 12:19 - 000000117 _____ () C:\Program Files (x86)\WelcomeToPunto.bat

2014-12-16 12:19 - 2014-11-26 14:10 - 003741472 ____H () C:\Users\Игорь\AppData\Roaming\YаndехDiskSсrееnshоtЕditоr.bаt.exe

2014-12-16 12:19 - 2014-07-22 13:00 - 000876328 ____H (Yandex LLC) C:\Users\Игорь\AppData\Local\ВrоwsеrМаnаgеr.bаt.exe

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  

Изменено 13 декабря, 2018 пользователем mike 1

[klm792]

В приложении созданный Fixlog.txt

Fixlog.txt

[mike 1]

Пришлите несколько зашифрованных файлов и записку с требованием выкупа. 

[klm792]

Пример файлов в архиве - "Стол в Гайдпарк.rar"

А в качестве требования - это название файла во втором архиве 

Стол в Гайдпарк.rar

!!!ДОСТУП_К_ФАЙЛАМ_ПИШИТЕ__(Iyieg9eB@secmail.pro).txt.Iyieg9eB@secmail.pro.rar

[mike 1]

Что запускали перед появлением проблемы?

[klm792]

Вот точно уже не смогу вспомнить. Искал какое-то ПО в интернете, скачал его, запустил. Потом, ничего не произошло, ну подумал какой-то "левый" дистрибутив. А это скорее всего оказался этот замаскированный "шифратор" (теперь уже понял). Сейчас посмотрел в папке "Загрузка", искал только дистрибутивы WINRAR и FileZilla примерно в рамках этих дат, когда произошло шифрование.

[mike 1]

 

04-12-2018 17:16:52 Запланированная контрольная точка

Восстановите из теневых копий то что запускали в тот вечер. + Можете попробовать восстановить часть файлов из теневых копий с помощью ShadowExplorer. 

Изменено 16 декабря, 2018 пользователем mike 1

[klm792]

А если копии не создавались? В свойствах диска написано, что "Предыдущие версии не обнаружены". Вирус же именно кодировал внешние накопители. 

[mike 1]

Написал же:

 

 

 

Можете попробовать восстановить часть файлов из теневых копий с помощью ShadowExplorer.