Перейти к содержанию

Trojan-Ransom.Win32.Shade.crypted000007 Расшифровка.

dmzhrv
 Share

Рекомендуемые сообщения

dmzhrv Новичок

dmzhrv

Опубликовано
Опубликовано

Добрый день!

 

Поймали шифровальщик через письмо.

Файлов важных на компьютере не было, по этому снесли все и работаем дальше.

Но вот на компьютере где все произошло, была подключена шара как сетевой диск, естественно куда хватило прав под пользователем, все зашифровано.

 

Понимаю что утилиты для расшифровки нету, но есть некоторые успехи.

 

Значит что имею на данный момент:

 

Есть зашифрованный файл, есть оригинал.

Путем долгих потуг было выяснено различие в 389 байт в конце файла.

 

Убираем эти 389 байт, скармливаем файл в KasperskyRannoh decryptor tool 1.12.4.13 и вуаля, получаем расшифрованный файл.

Но есть одно но, имя файла не меняется, расширение тоже не возвращается. Руками дописываем .doc, открываем. Все нормально.

 

 

Есть у кого какие идеи на счет того как автоматизировать процесс расшифровки?

 

Лог дешифратора и сами файлы прилагаю.

 

Второй файл, с 389 байтами не расшифровывает.

 

лог дешифратора:

12:59:44.0327 0x0a34 Processing file: \\?\C:\Users\domozhirov\Desktop\тесты\e3sNP4nEtGS+IPKMvDLdVONB+qmX6x5XFlqJxiCHj7AxenR8oGQUJ1LWysio9+4ijLCGhJeZ1OXMtBe0NhR9Yg==.EDCCF0C32115A5290ABC.crypted000007
12:59:44.0328 0x0a34 Decrypted successfully: \\?\C:\Users\domozhirov\Desktop\тесты\e3sNP4nEtGS+IPKMvDLdVONB+qmX6x5XFlqJxiCHj7AxenR8oGQUJ1LWysio9+4ijLCGhJeZ1OXMtBe0NhR9Yg==.EDCCF0C32115A5290ABC.crypted000007
12:59:44.0328 0x0a34 Processing file: \\?\C:\Users\domozhirov\Desktop\тесты\fx-p1GVsY4zlIcUwnTVUOpEc+CcluPE3ffbEGvLLhcOG1+UycSob23c+rN8K5Y99Dcfmj--2yBihJgue7LItjvvaynKAMBGap3mhFCA03RU=.EDCCF0C32115A5290ABC.crypted0000007
12:59:44.0328 0x0a34 Cannot decrypt file: \\?\C:\Users\domozhirov\Desktop\тесты\fx-p1GVsY4zlIcUwnTVUOpEc+CcluPE3ffbEGvLLhcOG1+UycSob23c+rN8K5Y99Dcfmj--2yBihJgue7LItjvvaynKAMBGap3mhFCA03RU=.EDCCF0C32115A5290ABC.crypted0000007, size too large.
12:59:44.0328 0x0a34 Cannot decrypt: \\?\C:\Users\domozhirov\Desktop\тесты\fx-p1GVsY4zlIcUwnTVUOpEc+CcluPE3ffbEGvLLhcOG1+UycSob23c+rN8K5Y99Dcfmj--2yBihJgue7LItjvvaynKAMBGap3mhFCA03RU=.EDCCF0C32115A5290ABC.crypted0000007
12:59:44.0328 0x0a34
12:59:44.0329 0x0a34 Folder scan statistic (C:\Users\domozhirov\Desktop):
12:59:44.0329 0x0a34 Processed: 234
12:59:44.0329 0x0a34 Suspicious: 0
12:59:44.0329 0x0a34 Found: 2
12:59:44.0329 0x0a34 Decrypted: 1
12:59:44.0329 0x0a34 ================================================================================
12:59:44.0329 0x0a34 Scan finished
12:59:44.0329 0x0a34 ================================================================================

 

 

 

Заявление на мат. помощь.docx

файлы.zip

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Kirill Abdulov Новичок

Kirill Abdulov

Опубликовано
Опубликовано (изменено)

Сообщение от модератора kmscom
нарушение «Общие правила раздела "Уничтожение вирусов"».
Изменено пользователем kmscom
Ссылка на комментарий
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
 Share
Перейти к списку тем

  • Похожий контент

    • Ivy_Sekoru
      Trojan
      От Ivy_Sekoru
      После включения ноутбука начала появляться сообщения от касперски по поводу обнаружения HEUR:Trojan.Multi.GenBadur.genw
      Выполняла лечение с перезагрузкой но после этого снова появляется тоже самое сообщение
    • bakanov
      HEUR:Trojan-Ransom.Win32.Mimic.gen
      От bakanov
      Добрый день , поймали шифровальщик HEUR:Trojan-Ransom.Win32.Mimic.gen. Залез судя по всему через RDP , отсканировал домен, получил доступы к администратору домена domain\administrator и начал все шифровать куда есть доступы админа. Машину вырубили, загрузился с livecd , нашел хвосты , временные файлы и т.д. Есть варианты файлов до шифровки и после шифровки , есть ли возможность найти ключик для дешифровки для конкретно это машины ?
    • Seraph Luteus
      NET:MALWARE.URL и trojan siggen 20 2783
      От Seraph Luteus
      Доброго времени суток. Решил провести проверку системы на майнеры и прочие вирусы. Как итог, я выявил сначала такой файл trojan siggen 20 2783, после чего удалил (на что надеюсь) его через антивирусник. После сделал ещё проверки и обнаружил уже net malware.url, а его удалить не получается.  Прошу совета и помощи в решении проблемы у знатоков.
       
      По уже похожей проблеме у другого пользователя собрал нужные логи и прикреплю их. 
      PIKA_2024-11-18_15-41-59_v4.99.4v x64.7z
      FRST.txt Addition.txt AV_block_remove_2024.11.18-15.35.log
    • Aman2008
      trojan multi genbadur genw
      От Aman2008
      решил в игрульки поиграть, скачал и касперский находит троян, я перезапускаю и касперский снова его находит, и снова и снова, что делать
    • Marauders666
      Необходима помощь в расшифровке после Mimic
      От Marauders666
      Приветствую всех! Прошу о помощи, залетел шифровальщик. Путем поиска нашел что возможно расшифровать с помощью RannohDecryptor, но он мне пишет:Can't initialize on pair
      Файлы которые нашел прикладываю. (Я так понимаю софт через который это все сделали и оригинал файла xx .txt я подумал может быть это ключ..
       
×
×
  • Создать...