Перейти к содержанию

Помогите восстановить зашифрованную информацию .doubleoffset

SergeyLSA
 Поделиться

Рекомендуемые сообщения

SergeyLSA

SergeyLSA

Опубликовано
Опубликовано

Добрый день , помогите восстановить данные после шифровщика 

 

Антивирус ничего не нашел 

файлы теперь переименованы в

 

email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-1Cv8.1CD.doubleoffset

 

Файлы FRST.txt и Addition.txt прикреплены

 

 

Sandor

Sandor

Опубликовано
Опубликовано

Scan result of Farbar Recovery Scan Tool (FRST) (x64) Version: 15-06-2019

Ran by Sergey (ATTENTION: The user is not administrator)

Переделайте от имени администратора.

Sandor

Sandor

Опубликовано
Опубликовано

Scan result of Farbar Recovery Scan Tool (FRST) (x64)

Эти переделайте, пожалуйста.
Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicyUsers\S-1-5-32-545\User: Restriction <==== ATTENTION
2019-06-14 23:18 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-14 23:18 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\AppData\Local\README.txt
2019-06-14 23:14 - 2019-06-14 23:17 - 000001275 _____ C:\Users\Все пользователи\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:14 - 2019-06-14 23:17 - 000001275 _____ C:\ProgramData\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:14 - 2019-06-14 23:17 - 000000078 _____ C:\Users\Все пользователи\README.txt
2019-06-14 23:14 - 2019-06-14 23:17 - 000000078 _____ C:\ProgramData\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Public\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Public\Downloads\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Public\Documents\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\Downloads\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\Documents\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\Desktop\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\AppData\Roaming\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\AppData\LocalLow\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000001275 _____ C:\Users\Lev\AppData\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Public\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Public\Downloads\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Public\Documents\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\Downloads\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\Documents\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\Desktop\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\AppData\Roaming\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\AppData\README.txt
2019-06-14 23:10 - 2019-06-14 23:18 - 000000078 _____ C:\Users\Lev\AppData\LocalLow\README.txt
2019-06-14 23:10 - 2019-06-14 23:17 - 000001275 _____ C:\Users\Lev\AppData\Local\email-butterfly.iron@aol.com.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

 

Несколько небольших зашифрованных офисных документов упакуйте в архив и тоже прикрепите к следующему сообщению.

Sandor

Sandor

Опубликовано
Опубликовано

Смените пароль на RDP и некоторое время подождите.

SergeyLSA

SergeyLSA

Опубликовано
  • Автор
Опубликовано

Смените пароль на RDP и некоторое время подождите.

 

Спасибо, ждем.

Можете уточнить как возможно что данные менялись под учеткой, который в целом нет в списке ?

SergeyLSA

SergeyLSA

Опубликовано
  • Автор
Опубликовано (изменено)

Вы об этой?

C:\Users\Lev

Да , эта запись была изменена более года назад и под таким наименованием просто отсутствовала , а в логах фигурирует

Изменено пользователем SergeyLSA
Sandor

Sandor

Опубликовано
Опубликовано

Причем, в логах разных утилит. Поэтому возможно она все-таки есть, смотрите внимательно.

 

К сожалению, расшифровки для этой версии нет.

 

Проверьте уязвимые места системы:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
  • 2 недели спустя...
thyrex

thyrex

Опубликовано
Опубликовано

Прикрепите пару файлов: зашифрованный и его оригинал до шифрования.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Llywelyn
      [Расшифровано] вирус-шифровальщик зашифровал все файлы на компьютере, помогите восстановить
      Автор Llywelyn
      Оставили комп работать, на ночь, утром уже увидели зашифрованные файлы, помогите пожалуйста решить, заранее спасибо!
      Addition.txt FRST.txt virus.zip
    • Николай НИК
      Помогите восстановить нормальную работу PDC/
      Автор Николай НИК
      Приветствую!
      После шифрования файлов в домене, контроллер домена работает не адекватно.
      некоторые оснастки не открываются.
      управление сервером не работает.
      повершел не работает.
      Addition.txt FRST.txt
    • x010d
      Зашифрованы все файлы пользователей + информация на серверах
      Автор x010d
      Коллеги, добрый, надеюсь хотя бы у вас день. Сегодня ночью в период 01:00-06:00 было зашифровано огромное количество пользовательских файлов. 99% ПК, которые были в сети попали под удар. Так же были поражены несколько виндовых серверов, DC, Exchange, SQL. При входе в систему хакерское стандартное приветствие-уведомление. В процессах некий closethedoor.exe, который ведёт в папку C:\Telemerty, ниже содержимое папки, если необходимо залью запароленный архив в облако. Во вложении 2 файла: исходный и зашифрованый. Стандартные дешифраторы касперского не помогли. Надеюсь на вашу помощь. 
       
       

      _Расчет стоимости КД.txt AIDS_Расчет стоимости КД.txt
    • himik100
      Помогите, зашифровали все файлы
      Автор himik100
      Здравствуйте, словил шифровальщика, видимо по RDP, так как были левые учётки, зашифровали все файлы с расширением .ENC
      прикладываю файлы. Система была переустновлена. Возможно ли восстановить что нибудь?
      virus pass.rar
    • Abbat56
      Возможно ли восстановить ?
      Автор Abbat56
      Добрый день возможно ли восстановить данные после шифровальщика? 
      Новая папка.7z
×
×
  • Создать...