[РЕШЕНО] Помогите с расшифровкой файлов Trojan-Ransom.Win32.Xorist.ln

[Dimamusz 0]

Здравствуйте.

Поймал троян Trojan-Ransom.Win32.Xorist.ln. Все файлы зашифрованы имеют следующий вид (устав pdf_10.jpg.EnCiPhErEd)

Пробовал воспользоваться Xorist Decryptor (не помог) и RectorDecryptor. После работы RectorDecryptor появились файлы без расширения EnCiPhErEd, но файлы не открываются. Письмо требование прикрепляю. Есть ли надежда на расшифровку?

[kmscom 1 659]

Забыли прикрепить. и логи тоже
внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

[Dimamusz 0]

Отправляю Логи

CollectionLog-2019.06.22-17.51.zip

КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

Изменено 22 июня, 2019 пользователем Dimamusz

[thyrex 1 145]

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('wmmdservdrver', 4);
 DeleteService('wmmdservdrver');
 SetServiceStart('winsdrvsrvs', 4);
 DeleteService('winsdrvsrvs');
 SetServiceStart('pocfiso', 4);
 DeleteService('pocfiso');
 SetServiceStart('dspfsrto', 4);
 DeleteService('dspfsrto');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe');
 TerminateProcessByName('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe');
 TerminateProcessByName('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','');
 QuarantineFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\lsm.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\mms.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\1049\5.0\spoolsv.exe','32');
 DeleteFile('c:\windows\inf\displaydrivers\000d\1049\5.0\sql\ssms.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\0015\vdns.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000a\0010\vdsmng.exe','32');
 DeleteFile('c:\windows\inf\definitions\0010\0011\000e\000a\0015\vmms.exe','32');
 DeleteFile('C:\Users\Лариса\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[Dimamusz 0]

Выполнил.

 

Результат загрузки Файл сохранён как 190622_160012_quarantine_5d0e508c582fb.zip Размер файла 464117 MD5 a5f8bbd65cb6731978431d6f91c74231

CollectionLog-2019.06.22-19.19.zip

[thyrex 1 145]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[Dimamusz 0]

Выполнил.

Desktop.zip

[thyrex 1 145]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\Users\USR1СV82\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt [2011-02-25] () [File not signed]
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {01D687EB-341A-4DC9-88A7-D9ED9B9BF8CF} - \{E12F0422-8364-4E2B-9016-C8275B5D859F} -> No File <==== ATTENTION
Task: {633276D9-3F6C-4878-86AC-B5866B68CFA7} - \{D50A9C64-7515-4FD4-B59F-CB6DB4411EFB} -> No File <==== ATTENTION
Task: {8424D195-50C5-44DF-857E-DF5EA8069EE3} - \{A522F511-350E-4CA7-84F4-F0468C09B071} -> No File <==== ATTENTION
Task: {A747203B-9FC6-442A-AD55-62732C46937B} - \{70C1DDA1-1C14-435B-83D2-BB934D0C99CF} -> No File <==== ATTENTION
Task: {B139DE16-9358-4CC1-AF0D-8F449CD2F4CD} - \{EA0829A9-E1EC-45DE-A07B-AACCA62BA162} -> No File <==== ATTENTION
Task: {B2CCF146-8F74-498B-9C53-94DD5F39DA6D} - \{22689240-C81C-48D0-877B-AEBE68EEA56A} -> No File <==== ATTENTION
Task: {BCEE19CF-6B4B-491D-B8DA-C339AD5DDE59} - System32\Tasks\{60DFB645-C6AB-4B59-B2A6-088AB2517984} => C:\Windows\system32\pcalua.exe -a C:\Users\Лариса\AppData\Local\Temp\Temp1_RDPWrap-v1.6.2.zip\RDPWInst.exe <==== ATTENTION
Task: {DB55A28E-9E13-4983-A3AA-C996C761BD60} - \{526BD3F0-B579-4DE3-9C4C-B6EA30345C7E} -> No File <==== ATTENTION
Task: {DC05625A-3494-45CF-A8E9-32BF69EEC98A} - \{49BDC307-CC5E-420F-BC74-3AFF028663D4} -> No File <==== ATTENTION
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Dimamusz 0]

готово

Fixlog.txt

[thyrex 1 145]

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщению.

[Dimamusz 0]

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Образец зашифрованного doc или docx-файла прикрепите в архиве к следующему сообщения

Загрузить не получилось (Ошибка Вы не можете загружать файлы подобного типа)

Выложил на облако https://cloud.mail.ru/public/4fHM/443v5FKQm

 

Загружал не архиве

Desktop.zip

[thyrex 1 145]

Загрузить не получилось

Читали невнимательно, вот и не получилось. Я же просил в архиве прикрепить

 

Используйте присланный Вами файл, расшифрованный файл https://www.sendspace.com/file/35axmyи утилиту https://www.emsisoft.com/decrypter/download/xorist для подбора ключа (будет подобран около 48,5%) и расшифровки.

Инструкция на английском https://decrypter.emsisoft.com/howtos/emsisoft_howto_xorist.pdf

[Dimamusz 0]

Большое спасибо. Получилось.

[thyrex 1 145]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

[Dimamusz 0]

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 23.06.2019 12:45:56
Path starting: C:\Users\Лариса\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Лариса
VersionXML: 6.57is-18.06.2019
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x86) HomeBasic Lang: Russian(0419)
Дата установки ОС: 15.06.2010 17:13:05
Статус лицензии: Windows® 7, HomeBasic edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Mozilla Firefox\firefox.exe
Системный диск: C: ФС: [NTFS] Емкость: [48.8 Гб] Занято: [43.8 Гб] Свободно: [5 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
Запрос на повышение прав для обычных пользователей отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Windows Update (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2003 v.11.0.8173.0
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Avast Free Antivirus v.19.5.2378
--------------------------- [ OtherUtilities ] ----------------------------
FastStone Image Viewer, версия 5.3 v.5.3
K-Lite Codec Pack 5.0.5 (Full) v.5.0.5 Внимание! Скачать обновления
TeamViewer 13 v.13.2.36215 Внимание! Скачать обновления
Microsoft Office - профессиональный выпуск версии 2003 v.11.0.8173.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office FrontPage 2003 v.11.0.5614.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
TeamViewer 13 (TeamViewer) - Служба работает
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.71 (32-bit) v.5.71.0
7-Zip 19.00 v.19.00.00.0
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 ActiveX v.32.0.0.207
------------------------------- [ Browser ] -------------------------------
Google Chrome v.75.0.3770.100
Mozilla Firefox 67.0.4 (x86 ru) v.67.0.4 [+]
Opera 11.60 v.11.60 Внимание! Скачать обновления
Yandex v.19.6.1.153
------------------ [ AntivirusFirewallProcessServices ] -------------------
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
C:\Program Files\AVAST Software\Avast\AvastUI.exe v.19.5.4444.0
aswbIDSAgent (aswbIDSAgent) - Служба остановлена
Avast Antivirus (avast! Antivirus) - Служба работает
C:\Program Files\AVAST Software\Avast\AvastSvc.exe v.19.5.4444.0
Защитник Windows (WinDefend) - Служба остановлена
Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
SkyMonk Client v.1.54 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Кнопка "Яндекс" на панели задач v.2.0.0.2116 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------